ڈیفی قرضہ دینے والا پروٹوکول Inertia کا کہنا ہے کہ حالیہ حملہ جس نے متعدد قرضہ مارکیٹس سے تقریباً 152,000 امریکی ڈالر کی رقم چھین لی، ایک لمبے عرصے سے جانے جانے والے ERC4626 کمزوری کی قسم سے نکلا جو اہم آرکل اور خطرہ انتظام کے تحفظات کو پار کرنے میں کامیاب رہا۔
25 مئی کو جاری کیے گئے ایک تفصیلی پوسٹ مارٹم میں، پروٹوکول نے کہا کہ حملہ آوروں نے پانچ انرٹیا قرضہ مارکیٹس میں اثاثوں کے ادائیگی سے پہلے roETH کے ساتھ گارنٹی کی قیمت مانیپولیٹ کر دی۔
ایک حملے کے دوران جس نے تقریباً ایک گھنٹہ اور 13 منٹ تک چلنا جاری رکھا، USDC، INIT، sINIT، TIA، اور roTIA مارکیٹس متاثر ہوئے۔
انرتیا نے کہا کہ اس کا انشورنس فنڈ متاثرہ صارفین کے بالانسز کو واپس کر چکا ہے اور قرضہ دینے کی سرگرمیاں دوبارہ شروع ہو چکی ہیں۔
حملہ جانا جانے والی ERC4626 شیئر قیمت کی کمزوریوں کا استعمال کرتا تھا
پروٹوکول کے مطابق، حملہ آوروں نے roETH لیکویڈ اسٹیکنگ کنٹریکٹ کی ایکسچینج ریٹ کو مانیپولیٹ کرنے کے لیے فراہمی میں کمی اور ب без تھیکن ڈونیشنز کا استعمال کیا۔
ایکسپلوٹ ERC4626 کے ایک جانے جانے والے خطرے کے نمونے پر مرکوز تھا جس میں شیئر قیمت کے اکاؤنٹنگ میکانزم شامل تھے۔
انریشیا نے کہا کہ حملہ آوروں نے سب سے پہلے ایک نکالنے کی درخواست کے ذریعے گردش میں موجود roETH کی فراہمی کو تقریباً 99.7% تک کم کر دیا۔ پھر انہوں نے مزید شیئرز جاری کیے بغیر wstETH کو براہ راست معاہدے میں منتقل کر دیا۔
اس نے رپورٹ کیا گیا ایکسچینج ریٹ کو تیزی سے بڑھا دیا۔
پروٹوکول نے کہا کہ roETH کی رپورٹ شدہ قیمت ہر ٹوکن کے لیے تقریباً 1.234 stETH سے بڑھ کر تقریباً 33.75 stETH ہو گئی، جس سے تقریباً 27 گنا کا انفلیشن فیکٹر بن گیا۔
حملہ آوروں نے پھر بڑھائی گئی ضمانت کی قیمت کا استعمال کرتے ہوئے متعدد ادھار پولز سے اثاثے خالی کر دیے۔
اوریکل کے محفوظ نظاموں نے غیر معمولی قیمتیں روکنے میں ناکام رہے
انریشیا نے کہا کہ اس حملہ کی کامیابی صرف لکویڈ اسٹیکنگ معاہدے کی کمزوری کی وجہ سے نہیں بلکہ اس کے اپنے قیمت کے تحفظات بھی مانیپولیٹڈ ضمانت کی قیمت کو روکنے میں ناکام رہے۔
پروٹوکول نے اعتراف کیا کہ اس کی قیمت دہنے کی نظام میں کمی تھی:
- اوپری حد قیمت کے انحراف کنٹرولز،
- ثانوی اوریکل تصدیق،
- موثر ریل ٹائم ایلرٹ ریسپانسز،
- اور ہر اکاؤنٹ کے لیے قرض کی شرح کی حدود۔
پروٹوکول نے یہ بھی تسلیم کیا کہ ERC4626 کمزوری کی قسم کو 2022 سے عوامی طور پر دستیاب کر دیا گیا ہے اور اس کے لیے پہلے ہی وسیع طور پر دستیاب اقدامات موجود ہیں۔
انریشیا وسیع خطرہ کنٹرول کے جائزے کی منصوبہ بندی کر رہا ہے
حملے کے بعد، انریشیا نے کہا کہ وہ اپنی اورکل آرکیٹیکچر اور کالٹرل ریویو فریم ورک کے کچھ حصوں کو دوبارہ تعمیر کرے گی۔
پروٹوکول منصوبہ بند ہے کہ متعارف کرائے جائیں:
- متعدد ذرائع کا اوریکل تصدیق
- انحراف سرکٹ بریکرز،
- سخت تر فہرست کی جانچ پڑتال
- اور مائع اسٹیکنگ ضمانتی اثاثوں کے ارد گرد سخت نگرانی۔
انرشیا نے کہا کہ وہ اسکے ایسے اثاثوں کے بحالی کے کاموں کو جاری رکھ رہا ہے جو ویلیڈیٹر کی قطاروں، لکویڈیٹی پولز، اور برج انفراسٹرکچر پر اب بھی ٹریس کیے جا سکتے ہیں۔
آخری خلاصہ
- انریشیا نے کہا کہ حملہ آوروں نے ایک جانا جانے والا ERC4626 کمزوری کا استعمال کرتے ہوئے roETH کے ضمانتی داموں کو بڑھایا اور ادھار بازاروں سے تقریباً 152,000 امریکی ڈالر کھینچ لیا۔
- پروٹوکول نے اپنے اورکل سुرکھا کے خرابیوں کو تسلیم کیا ہے اور سخت قیمت اور خطرہ کنٹرولز لاگو کرنے شروع کر دیے ہیں۔