ہفتہ کو Stake DAO کے ایکسپلوٹ نے پروٹوکول کی Arbitrum ڈیپلوئر کلید کو متاثر کر لیا۔ ایک حملہ آور نے عوامی روتر کے ذریعہ ایتھر کے لیے تبادلہ کرنے سے پہلے تقریباً 5.4 ٹریلین جعلی ووٹ-بوسٹڈ sdCRV (vsdCRV) ٹوکنز جاری کیے۔
خرابی نے موجودہ ہر اسمارٹ کنٹریکٹ کنٹرول کو دور کر دیا۔ اس سال ایک منفرد پرائیویٹ کلید نے DeFi میں سینکڑوں ملین کے نقصانات کا سبب بنایا۔
اسٹیک DAO کے ایکسپلوٹ کیسے ہوا
Blockaid کے آن-چین ایلرٹس نے بریچ کو Stake DAO ڈیپلویر والٹ تک ٹریس کیا۔ حملہ آور نے vsdCRV کے لیے LayerZero v2 برج پیئر کو ری سیٹ کرنے کے لیے کلید استعمال کی۔
لگभگ 25 سیکنڈ بعد، ایک جعلی کراس چین پیغام نے آرٹیبرم پر 5.4 ٹریلین vsdCRV جاری کیا۔
حملہ آور نے ایتھر کے لیے ٹوکنز MetaMask کے پبلک راؤٹر کے ذریعے ڈمپ کر دیے۔ کوئی اسمارٹ کنٹریکٹ کی خامی نہیں ملی۔
قابل ذکر ہے کہ KelpDAO پر ایک ہالک LayerZero کا استعمال مشابہ پیئر-کنفیگریشن کے غلط استعمال کے ذریعے ہوا۔
کلیدی مسائل کا ایک پرچھایا ہوا نمونہ
اسٹیک ڈی او ای کا ایکسپلوٹ اپریل کے واسابی پروٹوکول کے ڈرین کے ایک ہی ٹیمپلیٹ کے مطابق ہے۔ ایک متاثرہ ڈیپلوئر والٹ نے چار چینز پر وولٹس سے تقریباً 4.5 ملین امریکی ڈالر نکال لیے۔
اسی ماہ درفت پروٹوکول نے سولانا پر 285 ملین امریکی ڈالر کا نقصان اٹھایا۔ آرٹیبٹرم کا کیلپ ڈی او ای کا فریز کچھ ہفتے بعد 292 ملین امریکی ڈالر کے برج ایکسپلوٹ کے بعد ہوا۔
ہر پروٹوکول نے آڈٹس سے گزر لیا تھا۔ خرابی کوڈ کے اوپر تھی، وہ کلیدیں جو برج پیئرز یا اپگریڈ ایمپلیمنٹیشنز کو سیٹ کرتی تھیں۔ Resolv کا 80 ملین ڈالر کا مینٹ اس سال کے شروع میں اسی نمونے کے مطابق تھا
2026 میں DeFi کو جواب دینا ہوگا کہ کیا پروٹوکولز کی جانچ ہوتی ہے، کیونکہ تقریباً تمام پروٹوکولز کی جانچ ہوتی ہے۔ سوال یہ ہے کہ ان جانچ شدہ معاہدوں کے پیچھے موجود چند چھوٹے آپریشنل کلیدیں… اب بھی ایک ہی لیپ ٹاپ پر ایک واحد آبجیکٹ کے طور پر رہنے کی اجازت رکھتی ہیں،" Sodot کے ماسہل شلیو کیرن نے BeInCrypto کو بتایا، اور اضافہ کیا کہ جانچ اب مرکزی سوال کا جواب نہیں دیتی۔
اسٹیک ڈی اے او اور اس کے مساوی کے لیے، متعدد دستخط والٹ کی حفاظت ڈیپلوئر کلوز اور جعلی مینٹس کے درمیان ہونی چاہیے۔ ورنہ، اگلی ڈیفی پلیٹ فارم کی خرابی بری کوڈ کی بجائے ایک منفرد لیپ ٹاپ تک جا کر گھسٹے گی۔