अक्रॉस प्रोटोकॉल (Across Protocol) के रिस्क लैब्स (Risk Labs) द्वारा संचालित रिलेयर (relayer) को 4 मिलियन डॉलर से कम का नुकसान हुआ, जब एक हमलावर ने 41.7 मिलियन डॉलर के सोलाना (Solana) डिपॉजिट इवेंट्स को गढ़ा, जैसा कि क्रॉस-चेन प्रोटोकॉल द्वारा जारी एक घटना-पश्चात रिपोर्ट में बताया गया है।

अक्रॉस हमलावर ने 1,627 सोलाना जमा को गढ़ा

अक्रॉस प्रोटोकॉल की पोस्टमार्टम रिपोर्ट के अनुसार, यह हमला 17 जुलाई को 05:07 और 06:14 यूटीसी के बीच हुआ। हमलावर ने उतने ही नकली डिपॉजिट इवेंट बनाने के लिए 1,627 एकल-उपयोग वाले सोलाना वॉलेट का इस्तेमाल किया।

उन डिपॉजिट्स का कुल अंकित मूल्य लगभग 41.7 मिलियन डॉलर था और उन्होंने 18 डेस्टिनेशन चेनों में भुगतान का अनुरोध किया था। अक्रॉस ने बताया कि ये फंड एक इथेरियम वर्चुअल मशीन-संगत नेटवर्क पर एक प्राप्तकर्ता पते पर भेजे गए थे।

रिस्क लैब्स के रिलेयर ने अक्रॉस द्वारा सोलाना ऑपरेशंस बंद करने से पहले 581 अनुरोधों को पूरा किया। वे भुगतान कपटपूर्ण अनुरोधों का लगभग 35.7% थे, लेकिन उनके बताए गए मूल्य का केवल 10.8% थे।

रिलेयर ने अपनी पूंजी से लगभग 4.5 मिलियन डॉलर का अग्रिम भुगतान किया। अक्रॉस ने शेष 1,046 अनुरोधों को अमान्य कर दिया, जिससे लगभग 37 मिलियन डॉलर के अतिरिक्त भुगतान को रोका जा सका।

हमलावर के लगभग 500,000 डॉलर प्रोटोकॉल के भीतर फंसे रहे। अक्रॉस ने इस राशि को सकल भुगतान से घटाकर अपना शुद्ध नुकसान 4 मिलियन डॉलर से कम कर दिया।

अक्रॉस उपयोगकर्ताओं ने रिलेयर के नुकसान से क्यों बचा

अक्रॉस ने इस उल्लंघन का कारण रिस्क लैब्स के ऑफ-चेन इवेंट-रीडिंग सॉफ्टवेयर में एक कमी को बताया, न कि इसके स्मार्ट कॉन्ट्रैक्ट्स में किसी भेद्यता को। प्रोटोकॉल ने यह भी बताया कि हमलावर ने सोलाना नेटवर्क से समझौता नहीं किया।

अक्रॉस ऐसे रिलेयरों का उपयोग करता है जो पुनर्भुगतान का दावा करने से पहले क्रॉस-चेन ट्रांसफर पूरा करने के लिए अपनी संपत्ति को अग्रिम करते हैं। इस संरचना ने वैध लेनदेन जमा करने वाले उपयोगकर्ताओं के बजाय रिस्क लैब्स के रिलेयर को नुकसान के लिए जिम्मेदार बनाया।

अक्रॉस के अनुसार, सभी वैध हस्तांतरण 17 जुलाई को पूरे कर दिए गए या पूरी तरह से वापस कर दिए गए। प्रोटोकॉल की वेबसाइट से पता चलता है कि उसने उपयोगकर्ता निधियों के नुकसान की रिपोर्ट किए बिना 34 बिलियन डॉलर से अधिक के हस्तांतरण को संसाधित किया है।

यह घटना 24 जुलाई को क्रिप्टो.न्यूज द्वारा रिपोर्ट किए गए लिएन फाइनेंस (Lien Finance) एक्सप्लॉइट से अलग थी। स्लोमिस्ट (SlowMist) ने पाया कि लिएन के हमलावर ने एक स्मार्ट कॉन्ट्रैक्ट सत्यापन दोष का फायदा उठाकर असमर्थित बॉन्ड टोकन को मिंट किया और लगभग 542,144.63 USDC निकाल लिए।

क्रिप्टो.न्यूज ने यह भी बताया कि 285 मिलियन डॉलर के ड्रिफ्ट प्रोटोकॉल (Drift Protocol) एक्सप्लॉइट से जुड़ा एक वॉलेट 23 और 24 जुलाई को टॉर्नेडो कैश (Tornado Cash) के माध्यम से 23,095.1 ETH, जिसकी कीमत लगभग 44.4 मिलियन डॉलर थी, को स्थानांतरित कर दिया। कुल मिलाकर, इन घटनाओं में अलग-अलग हमला विधियाँ शामिल थीं: अक्रॉस में ऑफ-चेन सॉफ्टवेयर विफलता, लिएन में दोषपूर्ण कॉन्ट्रैक्ट लॉजिक, और ड्रिफ्ट से जुड़ी एक्सप्लॉइट-पश्चात मनी लॉन्ड्रिंग।

अमेरिकी उपयोगकर्ताओं के लिए CCTP परिवर्तन का क्या अर्थ है

अक्रॉस ने लगभग 12 घंटों में सर्कल (Circle) के क्रॉस-चेन ट्रांसफर प्रोटोकॉल (Cross-Chain Transfer Protocol) के माध्यम से हस्तांतरण को रूट करके सोलाना सेवा को बहाल कर दिया। प्रोटोकॉल ने बताया कि उसके इंजीनियरों ने हमले के लगभग पांच घंटे बाद मूल-कारण फिक्स को तैनात किया।

इस बदलाव का सीधा अमेरिकी संबंध है क्योंकि सर्कल USDC जारी करता है और CCTP संचालित करता है। सर्कल बताता है कि CCTP पारंपरिक ब्रिज लिक्विडिटी पूल या तीसरे पक्ष के फिलर्स का उपयोग किए बिना स्रोत नेटवर्क पर मूल USDC को बर्न करता है और गंतव्य नेटवर्क पर समान मात्रा को मिंट करता है।

अमेरिकी उपयोगकर्ताओं के लिए जो USDC को सोलाना में या उससे बाहर स्थानांतरित कर रहे थे, यह फॉलबैक प्रभावित रिस्क लैब्स इवेंट रीडर पर निर्भर किए बिना हस्तांतरण को फिर से शुरू करने की अनुमति देता है। प्रोटोकॉल के निष्कर्षों के अनुसार, अक्रॉस उल्लंघन में USDC के भंडार या सर्कल के मिंटिंग कॉन्ट्रैक्ट शामिल नहीं थे।

यह बदलाव संयुक्त राज्य अमेरिका द्वारा GENIUS अधिनियम के माध्यम से अपना पहला संघीय भुगतान-स्टेबलकॉइन ढांचा स्थापित करने के बाद भी आया है। व्हाइट हाउस की एक फैक्ट शीट के अनुसार, यह कानून अनुमत जारीकर्ताओं को योग्य भंडार बनाए रखने और नियमित प्रकटीकरण प्रकाशित करने की आवश्यकता है। ये नियम स्टेबलकॉइन जारीकर्ताओं को नियंत्रित करते हैं न कि उस अलग रिलेयर सॉफ्टवेयर को जिसने अक्रॉस के नुकसान का कारण बना।

ACX बायबैक अपरिवर्तित रहा

पोस्टमार्टम के बाद ACX CoinGecko के अनुसार लगभग 0.041 डॉलर पर ट्रेड कर रहा था, जिसका बाजार पूंजीकरण लगभग 29 मिलियन डॉलर था। यह टोकन अपने सर्वकालिक उच्च स्तर से 97% से अधिक नीचे रहा।

अक्रॉस ने कहा कि नुकसान उसके नियोजित ACX टोकन बायबैक को प्रभावित नहीं करेगा। हालांकि, प्रोटोकॉल ने यह खुलासा नहीं किया कि रिस्क लैब्स अपनी रिलेयर फंडिंग, निगरानी प्रणालियों या परिचालन सीमाओं को बदलेगा या नहीं।

सोलाना ऑर्डर फ्लो CCTP के माध्यम से रूट किया जाना जारी है। अक्रॉस ने अपनी पिछली रूटिंग प्रणाली पर लौटने या किसी भी अतिरिक्त फंड की वसूली की घोषणा के लिए कोई समय-सीमा प्रदान नहीं की है।