क्रिप्टो हैक्स और डीफ़ाई एक्सप्लॉइट्स के नुकसान Q2 में Q1 के आंकड़ों के बराबर होने की राह पर हैं

स्मार्ट कॉन्ट्रैक्ट सुरक्षा कंपनी CertiK के संकलित आँकड़ों के अनुसार, 2023 की पहली तिमाही में अपराधियों के कारण क्रिप्टो क्षेत्र को 32 करोड़ डॉलर से अधिक का नुकसान हुआ। यह 2022 की चौथी तिमाही और पिछले वर्ष की समान अवधि से काफी कम था। कंपनी ने इस कमी को उन संकटों से जोड़ा जिन्होंने इन तीन महीनों में उद्योग को प्रभावित किया था।

इनमें स्टेबलकॉइन बाजार की उथल-पुथल और डिजिटल परिसंपत्तियों तक फैला बैंकिंग संकट प्रमुख थे। इन घटनाओं ने निवेशकों को धन अलग रखने के लिए प्रेरित किया और नए निवेशकों तथा पूँजी के आगमन को भी हतोत्साहित किया। दूसरी तिमाही का आधा समय बीतने से पहले ही नए हमलों के नुकसान का अनुमान पहली तिमाही के आँकड़े के करीब पहुँचने लगा था। यह उस समय का आकलन था, पूरी दूसरी तिमाही का अंतिम परिणाम नहीं।

अप्रैल में हैकिंग, कमजोरियों के दुरुपयोग और धोखाधड़ी से 10.3 करोड़ डॉलर का नुकसान हुआ

मार्च में लगभग 21.1 करोड़ डॉलर की क्रिप्टो चोरी हुई, जिसमें Euler Finance पर 19.7 करोड़ डॉलर का हमला सबसे बड़ा था। अप्रैल में नुकसान इसके आधे से कुछ कम था; CertiK ने हैकिंग, कमजोरियों के दुरुपयोग और धोखाधड़ी से लगभग 10.37 करोड़ डॉलर के नुकसान का अनुमान दिया।

लेख के अनुसार वर्ष के पहले चार महीनों में कुल नुकसान 42.97 करोड़ डॉलर पहुँचा। अप्रैल की बड़ी घटनाओं में Ethereum पर MEV ट्रेडिंग बॉटों को निशाना बनाने वाला हमला शामिल था, जिसमें दुर्भावनापूर्ण वैलिडेटर ने बॉटों के लेनदेन का लाभ उठाया और लगभग 2.54 करोड़ डॉलर का नुकसान हुआ। Bitrue के एक हॉट वॉलेट से भी लगभग 2.3 करोड़ डॉलर मूल्य के ईथर और अन्य क्रिप्टो निकाले जाने की खबर थी।

फ़्लैश लोन हमले

Yearn Finance से जुड़ी घटना अप्रैल के बड़े फ़्लैश लोन हमलों में थी; Yearn ने हमला नहीं किया था, बल्कि उसके पुराने iEarn प्रोटोकॉल और संबंधित पूलों की कमजोरी का दुरुपयोग हुआ था। PeckShield के 13 अप्रैल के आकलन के अनुसार, हमलावर ने केवल 10,000 USDT से लगभग 1.3 क्वाड्रिलियन yUSDT टोकन बनाए। यह टोकनों की संख्या है, डॉलर मूल्य नहीं। बाद के स्वैप से मिले धन का मूल्य लगभग 1.16 करोड़ डॉलर था। हमलावर को लगभग 61,000 USDP, 15 लाख TUSD, 17.9 लाख BUSD, 12 लाख USDT, 25.8 लाख USDC और 30 लाख DAI मिले।

Hundred Finance को 15 अप्रैल को Ethereum के लेयर-2 नेटवर्क Optimism पर हुए हमले में, लेख के अनुमान के अनुसार, 74 लाख डॉलर का नुकसान हुआ। इसमें WBTC फ़्लैश लोन और hWBTC विनिमय दर में हेरफेर शामिल था। बातचीत आगे न बढ़ने पर परियोजना ने ऐसी सूचना के लिए 500,000 USDC का इनाम रखा जिससे हमलावर की गिरफ्तारी और सभी धन की वापसी हो सके। मार्च 2022 में भी Hundred Finance को रीएंट्रेंसी हमले से लगभग 65 लाख डॉलर का नुकसान हुआ था। लेख के अनुसार अप्रैल में एग्जिट स्कैम से कुल नुकसान 94 लाख डॉलर था, जिसमें Merlin की घटना भी शामिल थी।

CertiK का दावा है कि दुष्ट डेवलपर्स ने Merlin के हमले में $1.8 मिलियन चुरा लिए

zkSync पर स्थित विकेंद्रीकृत एक्सचेंज Merlin को अप्रैल के अंत में MAGE टोकन की तीन दिवसीय सार्वजनिक बिक्री के दौरान लगभग 18.2 लाख डॉलर का नुकसान हुआ। एक्सचेंज जमा पर आकर्षक प्रतिफल और CertiK के ऑडिट का प्रचार कर रहा था। उसने घटना की पुष्टि करके उपयोगकर्ताओं से वॉलेट अनुमतियाँ रद्द करने को कहा। CertiK ने इसे निजी कुंजी प्रबंधन की समस्या बताया।

CertiK ने बाद में कहा कि उसने Merlin की ऑडिट रिपोर्ट के विकेंद्रीकरण प्रयासों वाले भाग में केंद्रीकरण जोखिम बताया था। फिर भी उसके काम की गुणवत्ता पर सवाल उठे। zkSync पर बना एक्सचेंज और लॉन्चपैड eZKalibur उस कोड की ओर इशारा करता था जिससे कथित रूप से धन निकाला गया। उसके अनुसार initialize फ़ंक्शन एक तरह का पिछला रास्ता बनाता था, जिससे कॉन्ट्रैक्ट के पते से feeTo पते पर असीमित टोकन भेजे जा सकते थे।

एक मुआवजा योजना तैयार की जा रही है

CertiK ने 26 अप्रैल को कहा कि वह प्रभावित लोगों के लिए मुआवजे की योजना तलाश रहा है। उसने जिम्मेदार लोगों से 80% धन लौटाने और बाकी व्हाइट-हैट इनाम के रूप में रखने का आग्रह किया। उसके अनुसार मामला बाहरी हमले के बजाय बेईमान डेवलपरों से जुड़ा था, जिससे वे आसानी से लिक्विडिटी निकाल सके। कंपनी ने कहा कि संदिग्ध यूरोप में हो सकते हैं और सीधी बातचीत विफल होने पर वह कानून प्रवर्तन एजेंसियों के साथ कार्रवाई करेगी।

बाद के अपडेट में CertiK ने इसे Merlin के अंदरूनी लोगों का रग-पुल बताया, जिन्होंने वॉलेट अधिकारों से उपयोगकर्ताओं का धन निकाला। उसके अनुसार बचे हुए दल के कुछ प्रमुख सदस्य पहचान सत्यापित करने को तैयार नहीं थे, जिससे जाँच और पीड़ितों की सहायता कठिन हुई। CertiK ने 160,000 डॉलर की चोरी की गई संपत्ति फ्रीज़ करने और शेष पर निगरानी की बात कही। वह अमेरिका और ब्रिटेन की एजेंसियों के साथ काम कर रहा था और पीड़ितों की मदद तथा एग्जिट स्कैम से निपटने के लिए 20 लाख डॉलर देने का वादा किया।

हैकरों ने प्राइस ऑरेकल में हेरफेर करके Polygon के 0VIX से लगभग 20 लाख डॉलर निकाले

अप्रैल के अंत में 0VIX के प्राइस ऑरेकल में हेरफेर हुआ, जिससे प्रारंभिक अनुमान के अनुसार 20 लाख डॉलर से अधिक का नुकसान हुआ। हमला vGHST से जुड़ा था, जो Tamagotchi से प्रेरित Aavegotchi गेम के GHST की GotchiVault में हिस्सेदारी दर्शाता है। लेख में उद्धृत PeckShield के अनुसार, हमलावर ने लगभग 61.2 लाख डॉलर के स्टेबलकॉइन फ़्लैश लोन से vGHST उधार पोज़िशन खोली।

हमलावर ने vGHST के मूल्य की गणना और उधार पोज़िशन में हेरफेर किया। कॉन्ट्रैक्ट को GHST भेजने से वॉल्ट टोकन की विनिमय दर बढ़ी, जिसके बाद पोज़िशन का परिसमापन करके धन निकाला गया और खराब ऋण रह गया। इसे पूरे GHST बाजार मूल्य का साधारण उछाल कहना सही नहीं है। टीम ने Polygon PoS और zkEVM के उधार बाजार रोककर जाँच शुरू की।

0VIX Protocol Association ने बाद में zkEVM संचालन फिर शुरू करने की जानकारी दी, जिससे उपयोगकर्ताओं को धन तक बिना रोक पहुँच मिली। उसने पोज़िशन और हेल्थ फ़ैक्टर जाँचने तथा बकाया ऋण चुकाने को कहा। zkEVM को केवल एहतियातन रोका गया था; हमला उसे प्रभावित नहीं करता था। जारी जाँच की गोपनीयता बनाए रखने के लिए अतिरिक्त विवरण नहीं दिए गए, जबकि टीम और सुरक्षा साझेदार चोरी हुए धन की वापसी पर काम कर रहे थे।

Level Finance की पुरस्कार प्रणाली की त्रुटि से लगभग 10 लाख डॉलर मूल्य के LVL टोकन निकाले गए

मई की शुरुआत में Level Finance से लगभग 10 लाख डॉलर मूल्य के LVL टोकन चोरी हुए। BNB Chain पर चलने वाले इस गैर-कस्टोडियल स्पॉट और परपेचुअल कॉन्ट्रैक्ट एक्सचेंज ने 1 मई को बताया कि LevelReferralControllerV2 रेफ़रल कॉन्ट्रैक्ट निशाना बना। बार-बार पुरस्कार माँगने की त्रुटि से लगभग 214,000 LVL निकाले गए और 3,345 BNB में बदले गए।

PeckShield के अनुसार त्रुटि एक ही पुरस्कार अवधि में रेफ़रल पुरस्कार बार-बार लेने देती थी। Level Finance ने इसे प्रोत्साहन प्रणाली के हालिया अपडेट से जोड़ा। उसने हमला रोकने के लिए रेफ़रल कार्यक्रम अस्थायी रूप से बंद किया; लिक्विडिटी पूल और DAO कोष प्रभावित नहीं हुए।

Deus Finance ने $6 मिलियन के हैक के बाद कॉन्ट्रैक्ट्स को रोक दिया और DEI को बर्न किया

Deus Finance ने मई की शुरुआत में DEI स्टेबलकॉइन से जुड़े BNB Smart Chain और Arbitrum पर हमले की जानकारी दी। शुरुआती नुकसान का अनुमान 60 लाख डॉलर से अधिक था। DEI के burnFrom फ़ंक्शन की अनुमति-संबंधी त्रुटि से अनधिकृत हस्तांतरण संभव हुए और कुछ हमलावर लेनदेन दूसरों ने पहले निष्पादित किए। लेख ने DEI/BUSD पूल से 1,337,375 BUSD और Arbitrum पर लगभग 50 लाख डॉलर के नुकसान का उल्लेख किया; दूसरा आँकड़ा ARB/ETH ट्रेडिंग पूल का नहीं है। Deus ने आगे नुकसान रोकने के लिए कॉन्ट्रैक्ट रोके और DEI टोकन बर्न किए। टीम ने कहा कि वह DEI के अंतर्निहित संपार्श्विक का आकलन कर रही है और बर्न से पहले के शेष के आधार पर वसूली तथा मोचन योजना बनाएगी।

Deus ने कहा कि वह जाँच रहा है कि हमले के बाद आर्बिट्राज में फँसे लोगों के लेनदेन शीघ्र पलटे जा सकते हैं या नहीं। उसके अनुसार Deus v3, DEI से अलग था और प्रभावित नहीं हुआ। उसने निकाले गए धन का 80% लौटाने तथा शेष व्हाइट-हैट इनाम रखने का आग्रह किया। उस समय के एक ट्वीट में Deus ने 2,023 ETH की वापसी एक रिकवरी मल्टी-सिग वॉलेट के पते पर होने की जानकारी दी, जिसका प्रबंधन Yearn Finance से जुड़े विश्वसनीय सदस्यों के पास था।