2021–2022 की 10 प्रमुख DeFi और ब्रिज सुरक्षा घटनाएं

ये दस ऐतिहासिक सुरक्षा घटनाएं DeFi, ब्लॉकचेन ब्रिज और क्रिप्टो सेवाओं के अलग-अलग जोखिम दिखाती हैं। DeFi का अर्थ विकेंद्रीकृत वित्त है, जिसमें व्यापार, ऋण और तरलता सेवाएं शामिल हैं। विकेंद्रीकरण अपने आप गोपनीयता, सुरक्षा या लाभ सुनिश्चित नहीं करता। सूची की हर कंपनी स्वयं विकेंद्रीकृत प्रोटोकॉल नहीं है।

विकास के साथ कॉन्ट्रैक्ट, कुंजी प्रबंधन, शासन और वेबसाइट सुरक्षा की कमजोरियां भी सामने आईं। यह 2021–2022 की दस परिचित घटनाओं का चयन है, वर्तमान की सबसे बड़ी हैक्स की रैंकिंग नहीं। डॉलर मूल्य उस समय के अनुमान हैं; चोरी गई संपत्ति, जोखिम में पड़ी राशि और अंतिम नुकसान अलग हैं।

1. Ronin Network — लगभग 62.5 करोड़ डॉलर

Ronin ब्रिज पर हमला 23 मार्च 2022 को हुआ और 29 मार्च को उसकी जानकारी सार्वजनिक हुई। ऐतिहासिक मूल्यांकन लगभग 62.5 करोड़ डॉलर था। ब्रिज Ronin साइडचेन को Ethereum से जोड़ता था और Axie Infinity खिलाड़ियों की संपत्तियों के लिए भी इस्तेमाल होता था।

Axie Infinity ब्लॉकचेन गेम है जिसमें खिलाड़ी डिजिटल जीव इकट्ठा करते, उनसे लड़ाई कराते और उनका प्रजनन करते हैं। गुण दुर्लभता को प्रभावित कर सकते हैं, लेकिन पुरस्कार या बाजार मूल्य सुनिश्चित नहीं हैं।

हमलावर ने नौ में से पांच वैलिडेटरों के अधिकार पर नियंत्रण पाया और 1,73,600 ETH तथा 2.55 करोड़ USDC की अनधिकृत निकासी की। Sky Mavis ने बाद में उपयोगकर्ताओं की राशि की भरपाई की, जो चुराया धन वापस पाने से अलग है। सितंबर 2022 में Chainalysis ने चोरी की 3 करोड़ डॉलर से अधिक संपत्ति जब्त किए जाने की सूचना दी। इसलिए कुछ भी वापस न मिलने का मूल दावा गलत था।

2. Poly Network — लगभग 61 करोड़ डॉलर

10 अगस्त 2021 को Poly Network से Ethereum, BNB Smart Chain और Polygon पर लगभग 61 करोड़ डॉलर की संपत्ति निकाली गई। SlowMist के तकनीकी विश्लेषण के अनुसार हमलावर ने क्रॉस-चेन कॉन्ट्रैक्ट कॉल की कमजोरी से विश्वसनीय कीपर बदल दिया। यह Ronin जैसी वैलिडेटर की निजी कुंजी चोरी नहीं थी।

वसूली के दौरान बची हुई बड़ी राशि अस्थायी रूप से मल्टीसिग वॉलेट में थी, जिसके लिए परियोजना और हमलावर दोनों का सहयोग जरूरी था। Poly Network ने 5 लाख डॉलर का इनाम और मुकदमा न चलाने की बात की, लेकिन सरकारी अभियोजन से प्रतिरक्षा की गारंटी नहीं दे सकता था। 26.8 करोड़ डॉलर अभी भी लॉक होने का दावा अंतिम स्थिति नहीं बताता।

23 अगस्त को Poly Network ने बताया कि बची संपत्तियों पर नियंत्रण वापस मिल गया। Tether ने लगभग 3.343 करोड़ फ्रीज USDT भी 25 अगस्त को निर्धारित रिकवरी वॉलेट भेज दिए। 26 अगस्त को परियोजना ने प्रभावित संपत्तियों की पूरी वसूली घोषित की। इसलिए 3.3 करोड़ डॉलर को लापता नहीं कहना चाहिए। हमलावर का सिर्फ मनोरंजन के लिए हमला करने का दावा उसका अपना कथन था।

3. Wormhole Bridge — लगभग 32.5 करोड़ डॉलर

Wormhole अलग-अलग ब्लॉकचेन के बीच संदेश और टोकन हस्तांतरण की व्यवस्था करता है। रैप्ड टोकन किसी दूसरी श्रृंखला की संपत्ति का प्रतिनिधित्व करता है और उसकी सुरक्षा सही सत्यापन तथा पर्याप्त आधार संपत्ति पर निर्भर है।

इस घटना में 2 फरवरी 2022 को Solana की ओर सत्यापन को दरकिनार किया गया। हमलावर ने बिना पर्याप्त आधार संपत्ति 1,20,000 wETH बनाए, केवल 93,750 नहीं। उनमें से 93,750 को ब्रिज से Ethereum पर ETH में बदला गया। Jump Crypto ने 1,20,000 ETH देकर कमी पूरी की; यह हमलावर से मिली वापसी नहीं थी।

4. Nomad Bridge — लगभग 18.6–19 करोड़ डॉलर

1 अगस्त 2022 को Nomad के कॉन्ट्रैक्ट बदलाव से बनी प्रमाणीकरण कमजोरी ने अमान्य संदेश स्वीकार कर लिए। हमलावर बिना समान जमा के राशि निकाल सके। यह उनके द्वारा बनाया गया नया ऋण विकल्प नहीं था।

तरीका आसानी से कॉपी किया जा सकता था। Nomad ने जांच और वसूली में मदद के लिए संबंधित पतों और लेनदेन का डेटा प्रकाशित किया।

Nomad के अनुसार 300 से अधिक अलग पते अनधिकृत निकासी में शामिल हुए। पते अनिवार्य रूप से अलग व्यक्ति नहीं हैं। टीम ने राशि वापस मांगी और रिकवरी वॉलेट तथा इनाम कार्यक्रम बनाया।

17 अगस्त 2022 को Nomad ने 3.7 करोड़ डॉलर से अधिक, लगभग 20%, वापस मिलने की सूचना दी। यह बिना तारीख के 3 करोड़ से अधिक वापस और बाकी अभी भी लापता कहने से अधिक सटीक है। वसूली में स्वैच्छिक वापसी और जांच दोनों शामिल थे।

5. Beanstalk Farms — लगभग 18.2 करोड़ डॉलर का प्रभाव, 7.7 करोड़ डॉलर की गैर-Bean संपत्ति चोरी

Beanstalk ऋण-आधारित स्टेबलकॉइन प्रोटोकॉल है। Bean की कीमत का लक्ष्य ऋण देने के प्रोत्साहन से संभालना था, हर टोकन के पीछे सामान्य एक डॉलर रिजर्व से नहीं। एल्गोरिदमिक स्टेबलकॉइन के डिजाइन अलग होते हैं और सभी समान डिजिटल रिजर्व नहीं रखते।

17 अप्रैल 2022 को हमलावर ने फ्लैश लोन से पर्याप्त मतदान शक्ति ली और दुर्भावनापूर्ण शासन प्रस्ताव लागू करके प्रोटोकॉल की संपत्ति निकाल ली। अक्सर बताया गया 18.2 करोड़ डॉलर का कुल प्रभाव हमलावर की शुद्ध कमाई नहीं था। Beanstalk ने लगभग 7.7 करोड़ डॉलर की गैर-Bean संपत्ति चोरी होने की बात कही।

लगभग 2.5 लाख डॉलर की छोटी राशि यूक्रेन के दान पते पर गई। यह कहना गलत था कि हमलावर ने लगभग 7 करोड़ डॉलर रखे और 18.2 करोड़ की पूरी बाकी राशि शरणार्थियों को दे दी। फ्लैश लोन लौटाना तथा कुल प्रभाव और शुद्ध प्राप्ति में अंतर विशाल परोपकारी दान नहीं है।

6. Wintermute — लगभग 16 करोड़ डॉलर

Wintermute क्रिप्टो मार्केट मेकर है। 20 सितंबर 2022 को उसकी DeFi गतिविधियों से लगभग 16 करोड़ डॉलर चोरी हुए। घटना Profanity से बनाए पहचानने योग्य वॉलेट पते और कमजोर कुंजी निर्माण से जोड़ी गई। Vanity wallet सभी ग्राहकों की भंडारण सेवा का उत्पाद नाम नहीं था।

ऑफलाइन कुंजी रखना ऑनलाइन हमलों का जोखिम कम कर सकता है, जैसे नेटवर्क से भौतिक अलगाव के जरिए। लेकिन कोल्ड स्टोरेज हर कॉन्ट्रैक्ट त्रुटि या दुर्भावनापूर्ण टोकन अनुमति को नहीं रोकता। सुरक्षित कुंजी निर्माण, सीमित अधिकार और परिचालन वॉलेट का उचित प्रबंधन भी जरूरी हैं।

7. Compound — गलत COMP पुरस्कार वितरण, 15 करोड़ डॉलर का सिद्ध शुद्ध नुकसान नहीं

Compound ऋण प्रोटोकॉल है जो घटना के बाद भी संचालित रहा। 29 सितंबर 2021 को प्रस्ताव 62 से COMP पुरस्कार गणना में त्रुटि आई। कभी टपकते नल जैसी बताई गई इस त्रुटि ने मौजूदा COMP अधिक बांटे; इससे असीमित नए टोकन नहीं बने।

सुधार सामुदायिक शासन प्रस्तावों और निर्धारित समयावधि के जरिए होना था। इसलिए दोष तुरंत बंद करना संभव नहीं था। प्रस्ताव 64 ने नई अत्यधिक पुरस्कार गणना रोकने और प्रभावित खातों के वितरण को सीमित करने के उपाय किए।

शुरू में बताई गई 2,80,000 COMP राशि Comptroller कॉन्ट्रैक्ट के उपलब्ध पुरस्कार थे, हैकर्स द्वारा बनाया तरलता पूल नहीं। बाद में Reservoir से और COMP उपलब्ध हो सकते थे। समस्या पुरस्कार वितरण में थी, उपयोगकर्ताओं की सभी जमा राशियों से सिद्ध चोरी में नहीं।

Compound ने 14 अक्टूबर को बताया कि 1,63,000 गलत क्लेम किए COMP लौटाए गए, 1,30,000 Comptroller में बचे और लगभग 2,00,000 गलत वितरित COMP अभी बाहर थे। प्रस्ताव 64 ने 8 अक्टूबर को त्रुटि सुधारी; बाकी लेखांकन सुधार के लिए अगला प्रस्ताव जरूरी था। ये आंकड़े 15 करोड़ डॉलर की निश्चित चोरी या किसी निश्चित कुल का आधे से अधिक वापस मिलने का दावा सिद्ध नहीं करते।

8. Vulcan Forged — लगभग 14 करोड़ डॉलर

दिसंबर 2021 का Vulcan Forged हमला खिलाड़ियों के वॉलेट पर पड़ा। यह प्लेटफ़ॉर्म ब्लॉकचेन गेम और NFT बाजार उपलब्ध कराता है। अन्य एप्लिकेशन में टोकन इस्तेमाल करने की सुविधा अधिक लाभ सुनिश्चित नहीं करती।

Venly के अनुसार Vulcan Forged के सर्वर प्रभावित हुए और पिन तथा कंपनी के लॉगिन विवरण से कम से कम 96 वॉलेट एक्सपोर्ट किए गए। Venly ने अपने सर्वर हैक होने से इनकार किया। PYR की चोरी का तत्कालीन मूल्य लगभग 14 करोड़ डॉलर था। 13 दिसंबर को Venly ने कहा कि Vulcan Forged ने अपने कोष से अधिकांश राशि की भरपाई कर दी थी, न कि सभी नुकसान तुरंत भर दिए गए थे।

9. BadgerDAO — लगभग 12 करोड़ डॉलर

2 दिसंबर 2021 के हमले में तत्कालीन अनुमान के अनुसार लगभग 12 करोड़ डॉलर का नुकसान हुआ। मूल सूची ने करीब 2,100 BTC और 151 ETH का उल्लेख किया; बिटकॉइन राशि प्रतिनिधि टोकनों या बिटकॉइन मूल्य की थी, Ethereum कॉन्ट्रैक्ट में मूल BTC की नहीं। BadgerDAO बिटकॉइन-केंद्रित DeFi उत्पाद देता था। हमला वेबसाइट इंटरफेस पर था।

फ्रंटएंड के दुर्भावनापूर्ण कोड ने उपयोगकर्ताओं से अनचाही टोकन अनुमतियां साइन कराईं। तकनीकी रिपोर्ट ने Badger की व्यवस्था में Cloudflare API कुंजी के दुरुपयोग की बात कही, पूरे Cloudflare में सिद्ध सेंध की नहीं। बाद में परियोजना की वेबसाइट ने पुराने वॉल्ट उत्पाद बंद करने की योजना बताई। यह अलग उत्पाद परिवर्तन था, हमले के समय सभी प्रोटोकॉल कॉन्ट्रैक्ट समाप्त होने का प्रमाण नहीं।

10. Horizon Bridge — लगभग 10 करोड़ डॉलर

Horizon Bridge पर हमला 23 जून 2022 को हुआ और 24 जून को सार्वजनिक किया गया। ब्रिज की Ethereum ओर से लगभग 10 करोड़ डॉलर चोरी हुए। Harmony ने संचालन सीमित किया और सुरक्षा साझेदारों तथा अधिकारियों के साथ जांच शुरू की।

प्रभावित निजी कुंजियों से अनधिकृत हस्ताक्षर संभव हुए। शुरू की सीमा पांच में से दो हस्ताक्षर थी, चार में से दो नहीं। Harmony ने बाद में इसे पांच में से चार करने की सूचना दी। कम सीमा पर चिंताएं हमले से पहले सार्वजनिक रूप से उठ चुकी थीं। मल्टीसिग की सुरक्षा सीमा और स्वतंत्र, सुरक्षित कुंजी प्रबंधन दोनों पर निर्भर है।

इन घटनाओं से सीख

नई तकनीक धोखाधड़ी और हमलों का जोखिम खत्म नहीं करती। घटनाएं उधार की मतदान शक्ति, कॉन्ट्रैक्ट लॉजिक, कुंजी प्रबंधन और वेबसाइट की अलग-अलग कमजोरियां दिखाती हैं। जांच और वसूली मदद कर सकती हैं, लेकिन एक पुराना हमला दूसरे प्लेटफ़ॉर्म पर वही दोष रोकने या पीड़ितों का पैसा लौटाने की गारंटी नहीं है।