सैंडबॉक्स ब्रिज का दुरुपयोग किया गया, जिससे अनुमान से कहीं अधिक रेत का निर्माण हुआ...

सैंडबॉक्स में एक क्रॉस-चेन ब्रिज एक्सप्लॉइट पाया गया है, जिसने हमलावर को बेस और बीएनबी स्मार्ट चेन पर बिना समर्थन वाले सैंड टोकन बनाने की अनुमति दी, जिससे क्रिप्टो जगत की उन खबरों में से एक सामने आई जो पहली नजर में भौतिक रूप से असंभव लगती है: सुरक्षा शोधकर्ताओं ने अरबों नए ढाले गए सैंड टोकन गिने, एक अनुमान के अनुसार उनका नाममात्र मूल्य लगभग 49 बिलियन डॉलर है।

नहीं, किसी हमलावर ने सैंडबॉक्स से 49 अरब डॉलर नहीं चुराए। वहां कभी भी 49 अरब डॉलर की वास्तविक राशि मौजूद नहीं थी जिसे निकाला जा सके। यह आंकड़ा सैंडबॉक्स के सामान्य बाजार मूल्य को उन टोकनों की एक बेतुकी संख्या पर लागू करने से आया है जिन्हें बिना किसी गारंटी के बनाया गया था।

यही अंतर इस कहानी का केंद्र बिंदु है।

हमलावर को वास्तव में क्या मिला

प्रभावित इंफ्रास्ट्रक्चर बेस और बीएनबी स्मार्ट चेन पर इस्तेमाल होने वाला SAND का क्रॉस-चेन संस्करण था। एक सामान्य ब्रिज सेटअप में, SAND को एथेरियम पर लॉक किया जाता है और उसके अनुरूप मात्रा किसी अन्य समर्थित नेटवर्क पर मौजूद हो सकती है। गंतव्य चेन पर आपूर्ति मूल टोकन द्वारा समर्थित रहनी चाहिए।

ब्लॉकचेन सुरक्षा फर्म ब्लॉकएड के अनुसार, हमलावर ने SAND के ओमनीचेन फंजीबल टोकन अनुबंध से जुड़े LayerZero प्रतिनिधि अनुमतियों को हाईजैक कर लिया और उनका उपयोग किया। approveAndCall उन टोकनों को बनाने का फ़ंक्शन जिनके पीछे कोई संबंधित SAND लॉक नहीं था। ब्लॉकएड फ्लैग किए गए हमले के दौरान ही 400 से अधिक लेनदेन में लगभग 49 अरब डॉलर के अंकित मूल्य के नोटों की ढलाई की गई।

पेकशील्ड ने बाद में दो हमलावर पतों पर लगभग 14.9 बिलियन सैंड टोकन मिंट किए जाने की गिनती की। संदर्भ के लिए, सैंड की घोषित अधिकतम आपूर्ति केवल 3 बिलियन टोकन है। पेकशील्ड द्वारा पहचानी गई जाली राशि टोकन की अधिकतम आपूर्ति से लगभग पाँच गुना अधिक थी।

क्रिप्टो जगत ने टोकन आपूर्ति चार्ट को अजीबोगरीब दिखाने के कई रचनात्मक तरीके खोजे हैं। एक ही बार में कई जीवनकालों के बराबर आपूर्ति उत्पन्न करना निश्चित रूप से उनमें से एक है।

49 अरब डॉलर वास्तव में कभी 49 अरब डॉलर क्यों नहीं थे?

घटना के समय, SAND का कुल बाज़ार पूंजीकरण लगभग 140 मिलियन डॉलर ही था। जाहिर है, Base, BNB Chain, केंद्रीकृत एक्सचेंजों या कहीं और भी इतनी तरलता नहीं थी कि अरबों डॉलर के नए टोकनों को अरबों डॉलर में बदला जा सके।

यदि कोई व्यक्ति 10 अरब अनधिकृत टोकन बनाता है और वैध टोकन का मूल्य पाँच सेंट है, तो ब्लॉक एक्सप्लोरर 500 मिलियन डॉलर का सैद्धांतिक मूल्य प्रदर्शित कर सकता है। इसका यह अर्थ नहीं है कि 500 ​​मिलियन डॉलर देने को तैयार खरीदार मौजूद हैं। इस तरह के दुरुपयोग में, अनधिकृत आपूर्ति बढ़ने के साथ-साथ प्रदर्शित मूल्य तेजी से काल्पनिक होता जाता है।

आर्थिक दृष्टि से महत्वपूर्ण प्रश्न यह हैं कि हमलावर कितनी वैध तरलता प्राप्त कर सका, क्या नियंत्रण से पहले कोई समर्थित टोकन या अन्य परिसंपत्तियाँ बच निकलीं, और प्रभावित तरलता पदों पर कौन रह गया। सैंडबॉक्स ने अभी तक पूर्ण तकनीकी विश्लेषण या अंतिम लेखापरीक्षित हानि आंकड़ा प्रकाशित नहीं किया है।

सैंडबॉक्स ने बेस और बीएनबी चेन के दरवाजे बंद कर दिए

सैंडबॉक्स ने कहा कि उसने इस खामी की पहचान कर उसे नियंत्रित कर लिया है, बेस और बीएनबी स्मार्ट चेन से आने-जाने वाले ब्रिज को निष्क्रिय कर दिया है, और उन नेटवर्कों पर SAND को अलग कर दिया है ताकि प्रभावित टोकन को आधिकारिक ब्रिज के माध्यम से स्थानांतरित या भुनाया न जा सके।

कंपनी ने यह भी कहा कि एथेरियम और पॉलीगॉन पर मौजूद SAND अप्रभावित रहा, किसी भी उपयोगकर्ता के वॉलेट से छेड़छाड़ नहीं हुई, और वैध ब्रिज्ड टोकन को सपोर्ट करने वाला एथेरियम पर मौजूद SAND सुरक्षित है। कंपनी ने उपयोगकर्ताओं को चेतावनी दी कि जब तक बेस या बीएनबी स्मार्ट चेन पर लिक्विडिटी प्रभावित है, तब तक इन नेटवर्कों पर SAND की खरीद-बिक्री या व्यापार न करें। कॉइनडेस्क की रिपोर्ट में यह भी बताया गया कि इस घटना के बाद अपबिट और बिथंब ने SAND जमा और निकासी को निलंबित कर दिया है।

टीम घटना से पहले की स्थिति का जायजा ले रही है और प्रभावित लिक्विडिटी पूल के पात्र उपयोगकर्ताओं के लिए मुआवजे की तैयारी कर रही है। घटना की पूरी रिपोर्ट और तकनीकी विश्लेषण अभी आना बाकी है।

एक संख्या ऐसी है जिसके बारे में अभी स्पष्टीकरण की आवश्यकता है।

सैंडबॉक्स ने इस प्रभाव को कुल सैंड आपूर्ति के 0.01% से भी कम बताया। 3 अरब टोकन की अधिकतम आपूर्ति के संदर्भ में, 0.01% का मतलब 300,000 सैंड से भी कम होगा।

यह स्पष्ट रूप से अनधिकृत रूप से बनाए गए टोकनों की कुल संख्या का वर्णन नहीं करता है, क्योंकि स्वतंत्र सुरक्षा फर्मों ने अरबों टोकनों का अवलोकन किया है। सबसे तर्कसंगत व्याख्या यह है कि द सैंडबॉक्स "प्रभाव" शब्द का उपयोग नकली टोकनों की संख्या के बजाय प्रभावित वैध मूल्य की मात्रा का वर्णन करने के लिए कर रहा है। कंपनी ने अभी तक इन आंकड़ों का सार्वजनिक रूप से पूरी तरह से स्पष्टीकरण नहीं दिया है, इसलिए निवेशकों को 0.01% के कथन को एक्सप्लॉइट की टोकन बनाने की गतिविधि के माप के रूप में नहीं लेना चाहिए।

यह अंतर महत्वपूर्ण है क्योंकि सुर्खियाँ आसानी से एक गलत व्याख्या से दूसरी गलत व्याख्या की ओर मुड़ सकती हैं। इसे 49 अरब डॉलर की चोरी कहना गलत होगा। परियोजना के अनुसार प्रभाव 0.01% से कम था, इसलिए इसे मामूली गड़बड़ी कहना भी वास्तविकता को नजरअंदाज करना होगा।

सबसे कमजोर कड़ी क्रॉस-चेन लेयर थी।

एथेरियम सैंड के स्वयं प्रभावित होने की कोई रिपोर्ट नहीं मिली। इस हमले ने उस तंत्र को निशाना बनाया जो सैंड के स्वरूपों को अन्य नेटवर्कों पर मौजूद रहने देता है। क्रिप्टो सुरक्षा में यह एक आम बात है: अंतर्निहित चेन या टोकन ठीक उसी तरह काम कर सकता है जैसा कि डिज़ाइन किया गया है, जबकि ब्रिज में अनुमतियाँ एक पूरी तरह से अलग हमले का क्षेत्र बना देती हैं।

तकनीकी मुद्दा विशेष रूप से महत्वपूर्ण है क्योंकि हमले में LayerZero से संबंधित डेलीगेट अनुमतियाँ शामिल थीं। इसका यह मतलब नहीं है कि LayerZero स्वयं ही असुरक्षित हो गया था। उपलब्ध रिपोर्टें The Sandbox के SAND OFT परिनियोजन से जुड़ी अनुमतियों की ओर इशारा करती हैं। अंतिम विश्लेषण में यह स्पष्ट करना होगा कि नियंत्रण कहाँ विफल हुआ, डेलीगेट प्राधिकरण कैसे प्राप्त किया गया और मिंटिंग पथ ने इसे क्यों स्वीकार किया।

जब तक वह रिपोर्ट नहीं आ जाती, व्यापारियों को उन तथ्यों पर ध्यान देना चाहिए जिन्हें स्थापित किया जा सकता है: बिना समर्थन के SAND को बेस और BNB स्मार्ट चेन पर ढाला गया था, प्रभावित ब्रिज मार्गों को निष्क्रिय कर दिया गया है, एथेरियम और पॉलीगॉन SAND को सुरक्षित बताया गया है, और चौंका देने वाली 49 बिलियन डॉलर की राशि चोरी हुए धन के बजाय सैद्धांतिक अंकित मूल्य को मापती है।

इस गड़बड़ी से प्रत्यक्ष वित्तीय नुकसान भले ही मामूली साबित हो, लेकिन अनुमति प्राप्त करने में हुई विफलता का नुकसान बहुत बड़ा था। जब कोई ब्रिज टोकन की अधिकतम आपूर्ति से कई गुना अधिक टोकन बना सकता है, इससे पहले कि कोई इसे रोकने की कोशिश करे, तो इसके बाद की जांच उतनी ही महत्वपूर्ण हो जाती है जितनी कि मुआवज़े की योजना।

---------------

लेखक: सेड्रिक हॉलोवे
न्यूयॉर्क न्यूज़रूम
ब्रेकिंग क्रिप्टो न्यूज