AFX ने घोषणा की है कि उसने पिछले सप्ताह के 24.15 मिलियन डॉलर के ब्रिज एक्सप्लॉइट से प्रभावित उपयोगकर्ताओं के लिए एक सद्भावना योजना तैयार की है, जिसमें रिकवरी प्रस्ताव 3 अगस्त को जारी किया जाना है।

AFX द्वारा साझा की गई एक घोषणा के अनुसार, विकेन्द्रीकृत डेरिवेटिव प्रोटोकॉल 22 जुलाई की सुरक्षा घटना के बाद एक सद्भावना योजना को अंतिम रूप दे रहा है और सोमवार, 3 अगस्त को विवरण प्रकाशित करेगा। टीम ने कहा कि निवेशक, कर्मचारी और शुरुआती समर्थक सभी इस हमले से प्रभावित हुए हैं और समुदाय से अंतिम प्रस्ताव पूरा होने तक धैर्य बनाए रखने का अनुरोध किया है।

यह अपडेट AFX द्वारा एक्सप्लॉइट की अपनी तकनीकी जांच पूरी करने के बाद आया है, जिसके परिणामस्वरूप AFX द्वारा संचालित कस्टडी ब्रिज से लगभग 24.15 मिलियन USDC की चोरी हुई थी। प्रोटोकॉल ने अभी तक यह खुलासा नहीं किया है कि क्षतिपूर्ति या रिकवरी कैसे संरचित की जाएगी, लेकिन कहा कि उसकी अगली घोषणा सद्भावना योजना पर केंद्रित होगी।

पहले के सार्वजनिक बयानों ने पुष्टि की थी कि एक्सप्लॉइट ने आर्बिट्रम के नेटिव ब्रिज के बजाय AFX द्वारा संचालित इन्फ्रास्ट्रक्चर को निशाना बनाया था। उस समय, ब्लॉकचेन सुरक्षा फर्म Blockaid और आर्बिट्रम टीम ने घटना की जांच की थी, जबकि Offchain Labs के सह-संस्थापक स्टीवन गोल्डफेडर ने कहा था कि संदिग्ध लेनदेन आर्बिट्रम के मुख्य ब्रिज के बजाय एक तृतीय-पक्ष प्रोटोकॉल से उत्पन्न हुआ था।

AFX का कहना है कि हमला एक डेवलपर से शुरू हुआ

घटना के बाद जारी एक विस्तृत पोस्ट-मॉर्टम में, AFX ने कहा कि सेंध उसके स्मार्ट कॉन्ट्रैक्ट्स या ब्लॉकचेन इन्फ्रास्ट्रक्चर में भेद्यता के बजाय उसके एक डेवलपर के खिलाफ सोशल इंजीनियरिंग अभियान से उत्पन्न हुई थी। प्रोटोकॉल के अनुसार, हमलावर ने 9 जुलाई को ओडियम लैब नामक कंपनी के एक भर्तीकर्ता के रूप में खुद को प्रस्तुत किया और डेवलपर को एक वैध सॉफ्टवेयर रिपॉजिटरी के रूप में दिखने वाले कोड को क्लोन करने के लिए मना लिया।

AFX ने कहा कि रिपॉजिटरी में एक दुर्भावनापूर्ण गिट कॉन्फ़िगरेशन था जिसने एक नियमित गिट वर्कफ़्लो के दौरान एक छिपा हुआ पेलोड निष्पादित किया, जिससे हमलावर को डेवलपर के वर्कस्टेशन में प्रारंभिक पकड़ मिल गई। समझौता किए गए डिवाइस का उपयोग करके, हमलावर ने धीरे-धीरे आंतरिक विकास प्रणालियों में पहुंच का विस्तार किया और कई दिनों बाद प्रोजेक्ट स्रोत कोड डाउनलोड किया।

जांच में कहा गया है कि हमलावर ने बाद में प्रोटोकॉल की JFrog आर्टिफैक्ट रिपॉजिटरी में एक दुर्भावनापूर्ण ग्रूवी प्लगइन अपलोड किया, जिससे सॉफ्टवेयर डिलीवरी वातावरण के भीतर रिमोट कोड एग्ज़ीक्यूशन प्राप्त हुआ। AFX के अनुसार, JFrog सर्वर पर बार-बार मेमोरी से बाहर होने वाली घटनाओं को शुरू में विक्रेता की सहायता से परिचालन समस्याओं के रूप में माना गया, जिससे दुर्भावनापूर्ण प्लगइन को सुरक्षा प्रतिक्रिया को ट्रिगर किए बिना कई रीस्टार्ट्स के बाद भी जीवित रहने दिया गया।

फ़ोरेंसिक विश्लेषण में बाद में पाया गया कि हमलावर ने सिस्टम बाइनरीज़ को ट्रोजनयुक्त संस्करणों से बदल दिया था, दुर्भावनापूर्ण साझा लाइब्रेरीज़ को इंजेक्ट किया था और मैलवेयर के कुछ हिस्सों के क्रैश होने से पहले सुरक्षा लॉग को मिटाने का प्रयास किया था। रिपोर्ट के अनुसार, SELinux लॉग्स ने आउटबाउंड कमांड-एंड-कंट्रोल ट्रैफ़िक, शेल एग्ज़ीक्यूशन और इन-मेमोरी कोड एग्ज़ीक्यूशन को कैप्चर किया जो जांच के दौरान महत्वपूर्ण सबूत बन गए।

वैलिडेटर समझौता ने ब्रिज चोरी को सक्षम किया

प्रोटोकॉल ने कहा कि हमलावर अंततः समझौता किए गए विकास वातावरण से अपनी परिचालन इन्फ्रास्ट्रक्चर में एक आंतरिक एंसिबल-आधारित प्रबंधन सेवा का उपयोग करके चला गया, जिसके पास पहले से ही वैलिडेटर नोड्स तक विशेषाधिकार प्राप्त पहुंच थी। नए क्रेडेंशियल्स चुराने या बाहरी सेवा का फायदा उठाने के बजाय, हमलावर ने मौजूदा भरोसेमंद संबंधों का उपयोग करके वैलिडेटर के एक सबसेट पर दुर्भावनापूर्ण पेलोड तैनात किए।

AFX ने कहा कि संक्रमित वैलिडेटर नोड्स ने सर्वसम्मति-संदेश हैंडलिंग में हस्तक्षेप करने से पहले एक रिमोट सर्वर से दूसरे चरण का पेलोड डाउनलोड किया। 22 जुलाई को रात 9:27 बजे UTC पर, प्रभावित वैलिडेटर्स ने एक ब्रिज लेनदेन पर सह-हस्ताक्षर किए जिसने AFX द्वारा संचालित कस्टडी ब्रिज से लगभग 24.15 मिलियन USDC स्थानांतरित किए।

प्रोटोकॉल ने कहा कि उसकी जांच में आर्बिट्रम नेटवर्क या आर्बिट्रम के नेटिव ब्रिज से समझौता होने का कोई सबूत नहीं मिला। हमला AFX द्वारा प्रबंधित इन्फ्रास्ट्रक्चर तक ही सीमित रहा, जो प्रारंभिक प्रतिक्रिया के दौरान Offchain Labs और Blockaid द्वारा पहले जारी किए गए बयानों से मेल खाता है।

ऑन-चेन जांचकर्ताओं ने बाद में चोरी किए गए USDC को ट्रैक किया जब वह आर्बिट्रम से एथेरियम में स्थानांतरित हो गया, जहां आय को लगभग 12,467 ETH में परिवर्तित किया गया। प्रारंभिक जांच के समय, किसी भी सार्वजनिक रिपोर्ट ने इस बात की पुष्टि नहीं की थी कि चोरी की गई संपत्तियों का कोई भी हिस्सा बरामद किया गया था।

जांच सप्लाई चेन समझौते की ओर इशारा करती है

AFX के अनुसार, इस घटना ने प्रदर्शित किया कि सॉफ्टवेयर सप्लाई चेन हमले सीधे स्मार्ट कॉन्ट्रैक्ट्स का फायदा उठाए बिना ब्लॉकचेन सुरक्षा को बायपास कर सकते हैं। प्रोटोकॉल ने निष्कर्ष निकाला कि हमला ऑन-चेन कोड में कमजोरियों के बजाय भरोसेमंद विकास उपकरण, आंतरिक परिनियोजन प्रणालियों और वैलिडेटर इन्फ्रास्ट्रक्चर पर निर्भर था।

रिपोर्ट में कहा गया है कि प्रोटोकॉल ने प्रभावित इन्फ्रास्ट्रक्चर का पुनर्निर्माण किया है, परिचालन क्रेडेंशियल्स को घुमाया है, निगरानी संवेदनशीलता बढ़ाई है और उत्पादन प्रणालियों को ज़ीरो-ट्रस्ट सेगमेंटेशन के साथ अधिक अलग-थलग वातावरण में स्थानांतरित किया है। आने वाले महीनों में नियोजित अतिरिक्त कार्यों में मजबूत व्यवहारिक निगरानी, उत्पादन सेवाओं को फिर से शुरू करने से पहले अनिवार्य सुरक्षा समीक्षाएं, विस्तारित ख़तरे का पता लगाने के अभ्यास और सोशल इंजीनियरिंग हमलों के खिलाफ कर्मचारी प्रशिक्षण शामिल हैं।

फ़ोरेंसिक साक्ष्य, हमला तकनीकों और जांच के दौरान देखे गए इन्फ्रास्ट्रक्चर के आधार पर, AFX ने कहा कि उसके निष्कर्ष UNC4899, जिसे ट्रेडरट्रेटर के नाम से भी जाना जाता है, एक DPRK-से जुड़े ख़तरे वाले समूह से इस घटना को जोड़ने वाले स्वतंत्र एट्रिब्यूशन के अनुरूप हैं, जिसे Mandiant, Microsoft Threat Intelligence, FBI और CISA द्वारा ट्रैक किया जाता है। प्रोटोकॉल ने कहा कि वह चोरी की गई संपत्तियों का पता लगाने और चल रहे प्रतिक्रिया प्रयासों का समर्थन करने के लिए बाहरी सुरक्षा भागीदारों के साथ काम करना जारी रखे हुए है।

कई DeFi एक्सप्लॉइट्स में ऑफ-चेन हमले सामने आए हैं

नवीनतम निष्कर्ष घटनाओं की एक श्रृंखला में जुड़ते हैं जिसमें प्रोटोकॉल ने निष्कर्ष निकाला है कि हमलावरों ने स्मार्ट कॉन्ट्रैक्ट्स में खामियों का फायदा उठाने के बजाय सहायक इन्फ्रास्ट्रक्चर को खतरे में डाल दिया था।

30 जुलाई को, ऑस्टियम ने कहा कि उसके 23.75 मिलियन USDC के अलग एक्सप्लॉइट की जांच में पाया गया कि ऑफ-चेन इन्फ्रास्ट्रक्चर तक अनाधिकृत पहुंच ने धोखाधड़ी वाले BTC-USD मूल्य रिपोर्टों को उसकी लिक्विडिटी वॉल्ट से फंड निकालने की अनुमति दी, जबकि उसके स्मार्ट कॉन्ट्रैक्ट्स और गवर्नेंस मल्टीसिग्स सुरक्षित रहे। 

इस महीने की शुरुआत में, सिंगापुर स्थित स्थिरकॉइन भुगतान फर्म ट्रिपल-ए ने भी कंपनी के स्वामित्व वाली डिजिटल संपत्तियों वाले ट्रेजरी वॉलेट्स तक अनाधिकृत पहुंच का खुलासा किया, हालांकि उसने कहा कि ग्राहक फंड और भुगतान संचालन अप्रभावित थे।