गोपनीयता-केंद्रित एज़्टेक इकोसिस्टम से जुड़ा एक अप्रचलित DeFi ब्रिज, एज़्टेक कनेक्ट, रविवार को तब हैक कर लिया गया जब एक हमलावर ने एक पुराने एथेरियम स्मार्ट कॉन्ट्रैक्ट से लगभग $2.1 मिलियन निकाल लिए।

एज़्टेक लैब्स ने X पर कहा कि वह "एज़्टेक कनेक्ट को प्रभावित करने वाले एक संभावित शोषण की जांच कर रहा था।" टीम ने कहा कि प्लेटफ़ॉर्म के अपरिवर्तनीय कॉन्ट्रैक्ट से लगभग $2.1 मिलियन निकाल लिए गए थे, लेकिन यह भी जोड़ा कि वर्तमान एज़्टेक नेटवर्क उपयोगकर्ता और संपत्ति प्रभावित नहीं हुए थे।

इस बयान ने ध्यान आकर्षित किया क्योंकि एज़्टेक कनेक्ट अब एक सक्रिय उत्पाद नहीं था। एज़्टेक लैब्स द्वारा अपने गोपनीयता नेटवर्क के अगले संस्करण पर काम शुरू करने के बाद मार्च 2023 में प्लेटफ़ॉर्म को बंद कर दिया गया था।

पुराने एज़्टेक कनेक्ट के फंड कॉन्ट्रैक्ट में ही रहे

एज़्टेक कनेक्ट ने एक बार उपयोगकर्ताओं को गोपनीयता-केंद्रित ZK रोलअप के माध्यम से DeFi तक पहुँचने की अनुमति दी थी। जब सिस्टम को बंद किया गया, तो जमा रोक दिए गए, और उपयोगकर्ताओं के पास पुराने प्लेटफ़ॉर्म से अपने फंड निकालने का समय था।

कुछ संपत्तियां कॉन्ट्रैक्ट में ही रह गईं। क्रिप्टो डेवलपर परम ने कहा कि कॉन्ट्रैक्ट बाद में "पूरी तरह से अपरिवर्तनीय" हो गए और उन्हें अब अपग्रेड या रोका नहीं जा सकता था। एज़्टेक लैब्स ने यह भी कहा कि उसके पास पुराने सिस्टम पर कोई एडमिन कुंजी या नियंत्रण नहीं है।

एक लाइव प्रोटोकॉल के विपरीत, पुराने एज़्टेक कनेक्ट सिस्टम में गतिविधि को रोकने में सक्षम कोई ऑपरेटर नहीं था। इससे प्रतिक्रिया सार्वजनिक चेतावनियों, ट्रेसिंग और बचे हुए प्रभावित उपयोगकर्ताओं द्वारा ऑनलाइन जांच पर निर्भर करती थी।

इस व्यवस्था ने शोषण को रोकने का कोई आसान तरीका नहीं छोड़ा, एक बार हमलावर ने रास्ता ढूंढ लिया था। पुराना कोड अभी भी एथेरियम पर मौजूद था, और कॉन्ट्रैक्ट में अभी भी फंड थे, भले ही उत्पाद छोड़ दिया गया था।

सुरक्षा फर्में हमले की व्याख्या करती हैं

ब्लॉकसेक की फाल्कन टीम ने कहा कि हमले ने एथेरियम पर एज़्टेक कनेक्ट के RollupProcessorV3 कॉन्ट्रैक्ट को निशाना बनाया। फर्म ने कहा कि संदिग्ध गतिविधि के बाद नुकसान $2.15 मिलियन से अधिक हो गया।

ब्लॉकसेक के अनुसार, इस मुद्दे में लेनदेन को कैसे सत्यापित किया गया और उन्हें एथेरियम पर कैसे निपटाया गया, इसके बीच एक बेमेल शामिल था। सीधे शब्दों में कहें तो, प्रूफ सिस्टम और सेटलमेंट लॉजिक ने ट्रांजैक्शन सूची को एक ही तरीके से नहीं पढ़ा।

उस कमी ने हमलावर को ऐसे बैलेंस बनाने की अनुमति दी जो एथेरियम पर वैध मूल्य द्वारा समर्थित नहीं थे। हमलावर ने फिर उन बैलेंस को निकाल लिया। यही पैटर्न कई संपत्तियों में सात बार दोहराया गया।

X पर साझा किए गए सर्टिक डेटा में चोरी हुई संपत्तियों में 909 ETH, लगभग 270,000 DAI, 167 रैप्ड स्टेक्ड ETH और अन्य टोकन की छोटी मात्रा शामिल थी। परम ने यह भी कहा कि हमलावर ने शोषण से पहले टॉर्नेडो कैश के माध्यम से वॉलेट को फंड किया था।

जून में हैक से हुए नुकसान बढ़ते जा रहे हैं

एज़्टेक कनेक्ट शोषण DeFi सुरक्षा घटनाओं के लिए एक और सक्रिय महीने में इजाफा करता है। DeFiLlama का हैक्स ट्रैकर जून में कई नुकसान दिखाता है, जिसमें 8 जून को ह्यूमैनिटी प्रोटोकॉल से $30 मिलियन और 7 जून को सिसकॉइन ब्रिज से $8 मिलियन शामिल हैं।

जैसा कि crypto.news द्वारा पहले रिपोर्ट किया गया था, ह्यूमैनिटी प्रोटोकॉल ने कहा कि हमलावरों द्वारा एथेरियम और BNB स्मार्ट चेन पर इसके ब्रिज इन्फ्रास्ट्रक्चर से जुड़ी प्रशासनिक कुंजियों से समझौता करने के बाद $36 मिलियन से अधिक चोरी हो गए थे।

Crypto.news ने यह भी बताया कि मई में हैक से हुए नुकसान घटकर $68.3 मिलियन हो गए, जो अप्रैल से लगभग 90% कम थे। फिर भी, सर्टिक ने कहा कि कोड की खामियों के कारण मई के लगभग $45 मिलियन का नुकसान हुआ, जिससे वे उस महीने के लिए सबसे बड़ा हमला मार्ग बन गए।

एज़्टेक मामला दिखाता है कि पुराने DeFi कॉन्ट्रैक्ट सुरक्षा मानचित्र का हिस्सा क्यों बने रहते हैं। भले ही कोई उत्पाद बंद कर दिया जाए, अपरिवर्तनीय कॉन्ट्रैक्ट में बचे हुए कोई भी फंड वर्षों बाद भी हमलावरों को आकर्षित कर सकते हैं।