میں نے جو بھی DEX ہیک دیکھا ہے، وہ کسی نے کوڈ کو اُبھار دیا تھا۔ یہ ایک مختلف ہے۔ کسی نے تقریباً 2 ETH خرچ کیے اور ایک والٹ خالی کرنے کا حق خرید لیا۔ .5M چلے گئے، کسی بگ کی ضرورت نہیں تھی۔ 🧵

951 ڈالر نے 8.5 ملین ڈالر خریدے اور یہ ہیکنگ نہیں تھی، یہ ووٹ تھا۔ ایک حملہ آور نے صرف 0.5 ETH (~6.87M) + 1.68M USDC خرچ کیے۔ کوئی کوڈ ایکسپلوٹ نہیں۔ کوئی بگ نہیں۔ صرف ایک گورننس پراپوزل جسے کسی نے روکنے کی کوشش نہیں کی۔ حملہ حیرت انگیز طور پر سادہ تھا: · ٹرم فنانس والٹس میں ووٹنگ پاور کے لیے اسٹیکنگ والٹ شیئرز درکار تھے · تقریباً کسی نے اسٹیک نہیں کیا تھا — شرکت تقریباً صفر تھی · حملہ آور نے ~0.5 ETH کے لیے 0.4852 tmvETH خریدا اور فوراً والٹ پر کنٹرول حاصل کر لیا · ایک سپر میجورٹی کے ساتھ، انہوں نے تمام فنڈز اپنے اپنے ایڈریس پر منتقل کرنے کا ووٹ دیا جو خوفناک بات ہے: یہ نئے حملے کا نمونہ نہیں تھا۔ یہ جولائی میں بونک ڈی او ایکسپلوٹ کا سستا ورژن تھا، جہاں حملہ آور کو ووٹ خریدنے کے لیے ملینوں ڈالر درکار تھے۔ یہاں اس کا خرچ صرف 951 ڈالر تھا۔ ایک DeFi بنیادی شخص کا سیدھا جواب: "والٹس استعمال مت کرو۔" صنعت بالآخر تسلیم کر رہی ہے کہ والٹ ماڈلز ساختی طور پر خراب ہیں۔ "تقریباً صفر گورننس شرکت، غلط طور پر مربوط کیوریٹر خطرہ انگیجمنٹ، اور سستے، غیر بندھن والے آڈٹس والٹ ماڈلز کو کم لاگت والے قبضوں کے لیے زخمی بناتے ہیں۔" چेतاؤ: یہ اتفاق نہیں ہے۔ آٹومیٹڈ آنچین مانیٹرنگ اس غیر معمولی بات کو نشان زد کرسکتی تھی، لیکن جب تک پروٹوکولز غیر فعال گورننس اور کمزور انگیجمنٹ ساختوں کو درست نہیں کرتے، ان کم لاگت والے گورننس دروز بار بار واقع ہوتے رہیں گے۔ ٹرم فنانس نے والٹ پروڈکٹ کو مستقل طور پر بند کردیا اور گورننس اجازتوں کو منسوخ کردیا۔ یرن نے تصدیق کی کہ معیاری والٹس محفوظ رہتے ہیں — ایکسپلوٹ متعلقہ ٹرم کے کسٹم گورننس واپر سے تھا۔ $ETH ethereum:0x0bc529c00c6401aef6d220be8c6ea1667f6ad93e ethereum:0x7fc66500c84a76ad7e9c93437bfc5ac33e2ddae9 ethereum:0x1f9840a85d5af5bf1d1762f925bdaddc4201f984

ٹرم فنانس نے میٹا وولٹس کے تمام ڈیوائسز کو مستقل طور پر بند کر دیا، ڈی او اے کے گورننس حقوق واپس لے لیے اور نئے جمع کرائیں بند کر دیں۔ ضروری، لیکن اس کا مطلب یہ نہیں کہ واقعہ حل ہو گیا۔ صارفین اب بھی اپنا پیسہ نکال سکتے ہیں؛ اجارہ اور ریپو معاہدوں کا بازار متاثر نہیں ہوا ہے۔ تاہم، 24/8/2026 تک، ٹرم لیبس نے کوئی ٹیکنیکل رپورٹ یا مخصوص معاوضہ منصوبہ جاری نہیں کیا ہے۔ میرے لیے، پروڈکٹ بند کرنا صرف ابتدائی قدم ہے۔ بڑا سوال یہ ہے کہ اگر 8.5 ملین امریکی ڈالر واپس نہیں لائے جا سکتے تو کون سا خسارہ ادا کرے گا؟ انکار: معلومات کے حوالے کے لیے، سرمایہ کاری کی تجویز نہیں۔

ہم نے اپنے L1 پر Cosmos EVM کی کمزوری کا فائدہ اٹھاتے ہوئے مضر سرگرمیوں کی شناخت کر لی ہے اور اثرات کو روکنے کے لیے کام جاری ہے۔ ہم نے فوری اقدامات کیے ہیں اور ایک سافٹ ویئر فکس اور مزید اقدامات کے ذریعے محفوظ آپریشن کو یقینی بنانے کے بعد خدمات دوبارہ شروع کریں گے۔ تمام ایکسچینجز کو اطلاع دے دی گئی ہے اور ڈپازٹس مکمل ہونے پر دوبارہ شروع ہو جائیں گے۔

ٹرم لیبس نے ایک حملہ آور کے ذریعہ حکومتی کنٹرول حاصل کرنے کے بعد 8.5 ملین امریکی ڈالر کا نقصان اٹھایا۔ 2,843 $ETH اور 1.68 ملین $USDC کو زیربنیاد قرضہ معاہدوں کو متاثر نہ کیے گئے بغیر خالی کر دیا گیا۔ یہ ہے کہ حکومتی کنٹرول کیسے حملے کا ذریعہ بن گیا۔ کیا ہوا؟ حملہ آور نے زیربنیاد کنٹریکٹ کے منطق کا استعمال نہ کرتے ہوئے @term_labs وولٹس سے 8.5 ملین امریکی ڈالر خالی کر دیے۔ * ~6.87 ملین امریکی ڈالر کے برابر 2,843 ETH * 1.68 ملین USDC کو DAI میں تبدیل کر دیا گیا * کوئی ری اینٹرینسی، آرکل ماں پولیشن، یا ایڈمن کلید کا compromisation نہیں حکومتی کنٹرول، جو کہ کوڈ لیول کے اسپلوٹ کے بجائے، خالی کرنے کا سبب بن گیا۔ اس کیسے ہوا؟ حملہ آور نے پہلے ووٹنگ پاور حاصل کی، پھر اس کنٹرول کا استعمال کرتے ہوئے وولٹ حکومت کو اپنی اپنی پراپوزل انجام دینے کے لیے مجبور کر دیا۔ مرحلہ 1: ~0.5 ETH → 0.485 tmvETH، جس سے حملہ آور کو ضروری حکومتی نمائندگی حاصل ہوئی۔ مرحلہ 2: 0.485 tmvETH → 0.485 gtmvETH، جس سے ووٹنگ پاور انلاک ہوئی۔ مرحلہ 3: اس نے 5 میں سے 4 USDC وولٹس پر 100% ووٹنگ پاور اور ETH میٹا وولٹ پر ~91% ووٹنگ پاور حاصل کیا۔ مرحلہ 4: اس نے پراپوزل #5 جمع کروایا اور اپنے آپ کو ووٹ دے کر وولٹ کے اگلے اجرا پر کنٹرول حاصل کر لیا۔ چھ دن بعد، وولٹ خالی ہو گیا چھ دن بعد، پراپوزل انجام دیا گیا، جس سے وولٹ کانفگریشن تبدیل ہوئی اور $WETH کو پہلے سے ڈپلوئڈ شدہ خطرناک اسٹریٹجی میں روشٹ کر دیا گیا۔ حکومتی قبضہ → زوڈائک تاخیر بند → add_strategy + update_debt → WETH → خطرناک اسٹریٹجی → حملہ آور مقصد پہلے سے تیار تھا، اس لیے حملہ حکومتی قبضہ اور اسٹریٹجی ریڈائرکشن کا مجموعہ تھا۔ بڑا DeFi سبق ٹرم لیبس دکھاتا ہے کہ جب ووٹنگ پاور کا اخراج، جس پر قابو پایا جاتا ہے، اس سے بہت زیادہ سستا ہوتا ہے تو حکومت ایک انتہائی اہم سلامتی خطرہ بن جاتی ہے۔ آڈٹس کنٹریکٹ منطق کی تصدیق تو کرسکتے ہیں، لیکن وہ معاملاتی طور پر سستے حکومتی قبضے کو روک نہیں سکتے۔ DeFi کو حکومتی حملے کا اخراج TVL کے ساتھ ساتھ ناپنا چاہئے، کیونکہ سرمایہ کی حفاظت کا آغاز کنٹرول کی حفاظت سے شروع ہوتا ہے۔

سب کو اگلے 100x کے پیچھے بھاگ رہا ہے جبکہ وہ بنیادی ڈھانچے کو نظرانداز کر رہے ہیں جو اسے ٹریڈ کرنا ممکن بناتا ہے۔ بہترین الفا شاندار نئے پروٹوکول میں نہیں ہے۔ یہ اُن گندے ٹولز میں ہے جنہیں اب تک کوئی چھوتا نہیں چاہتا۔