बिनेंस ने 18 अगस्त को कहा कि उसकी सुरक्षा टीम ने एक दुर्भावनापूर्ण गवर्नेंस प्रस्ताव को रोकने में मदद की, जिससे एक अज्ञात विकेन्द्रीकृत स्वायत्त संगठन (DAO) के खजाने से लगभग 1.2 मिलियन डॉलर के टोकन खतरे में पड़ सकते थे।
क्रिप्टोकरेंसी एक्सचेंज ने कहा कि उसके निगरानी प्रणालियों ने निष्पादन से 48 घंटे से भी कम समय पहले इस प्रस्ताव की स्वतंत्र रूप से पहचान की। बिनेंस ने तब परियोजना से संपर्क किया और प्रभावित टोकन के लिए जमा बंद करने के लिए अन्य केंद्रीकृत एक्सचेंजों के साथ समन्वय किया।
बिनेंस के प्रकाशित विवरण के अनुसार, परियोजना ने प्रस्ताव के निष्पादित होने से पहले ही उसके खिलाफ मतदान किया। कंपनी ने कहा कि कोई धन हानि नहीं हुई।
एक्सचेंज ने कहा कि हमलावर ने परियोजना के ऑन-चेन गवर्नेंस तंत्र में एक कमजोरी का फायदा उठाने की कोशिश की। कथित तौर पर एक प्रस्ताव बनाने की सीमा इतनी कम थी कि हमलावर इच्छित प्रोटोकॉल आवश्यकताओं को दरकिनार कर सके।
कंपनी ने यह नहीं बताया कि वे आवश्यकताएँ क्या थीं या प्रस्ताव कैसे खजाने तक पहुँचता। उसने यह भी खुलासा नहीं किया कि हमलावर ने गवर्नेंस टोकन जमा किए थे, मतदान शक्ति उधार ली थी या निष्पादन योग्य कोड के भीतर दुर्भावनापूर्ण निर्देशों को छिपाया था।
गवर्नेंस सिस्टम टोकन धारकों को खजाने के खर्च, अपग्रेड और प्रोटोकॉल सेटिंग्स पर मतदान करने की अनुमति देते हैं। एक हमलावर तब नियंत्रण प्राप्त कर सकता है जब प्रस्ताव सीमाएं कम हों, मतदान भागीदारी कमजोर हो या प्रतिनिधियों के जवाब देने के लिए निष्पादन में देरी बहुत कम हो।
प्रभावित DAO की मतदान प्रक्रिया ने हस्तक्षेप के लिए पर्याप्त समय प्रदान किया, लेकिन बिनेंस ने कहा कि दो दिन से भी कम समय बचा था। एक्सचेंज ने यह खुलासा नहीं किया कि प्रस्ताव कब प्रस्तुत किया गया था या सटीक निष्पादन की समय-सीमा क्या थी।
प्रस्ताव की पहचान करने के बाद, बिनेंस ने परियोजना और अपने टोकन को सूचीबद्ध करने वाले अन्य एक्सचेंजों से संपर्क किया। उन प्लेटफार्मों ने एहतियात के तौर पर जमा बंद कर दिए, यदि प्रस्ताव पारित हो जाता और हमलावर केंद्रीकृत स्थानों के माध्यम से खजाने के टोकन को स्थानांतरित करने का प्रयास करता।
जमा बंद होने से दुर्भावनापूर्ण प्रस्ताव स्वयं नहीं रुकता। इसके बजाय, वे निष्पादन के बाद समझौता किए गए टोकन को बेचने, परिवर्तित करने या लॉन्डर करने के एक संभावित मार्ग को प्रतिबंधित करते।
परियोजना के समुदाय ने अंततः प्रस्ताव के खिलाफ मतदान किया। बिनेंस ने यह नहीं बताया कि कितने वोटों ने इसे अस्वीकार किया, क्या प्रतिनिधियों ने पहले की स्थिति बदल दी या क्या परियोजना प्रशासकों ने आपातकालीन अधिकार का उपयोग किया।
बिनेंस के मुख्य सुरक्षा अधिकारी जिमी सू ने कहा कि उनकी टीम ने एक ऐसे खतरे की पहचान की थी जिसे “किसी बाहरी सुरक्षा प्रदाता ने इंगित नहीं किया था।” इस बयान की पुष्टि अज्ञात परियोजना या स्वतंत्र सुरक्षा फर्मों से नहीं हुई है।
एक्सचेंज ने परियोजना, प्रभावित टोकन, गवर्नेंस प्लेटफॉर्म या सहयोग करने वाले एक्सचेंजों की पहचान नहीं की। इसने प्रस्ताव पहचानकर्ता, अनुबंध पता, वोट रिकॉर्ड या संबंधित ब्लॉकचेन लेनदेन भी प्रकाशित नहीं किए।
इन चूकों से 1.2 मिलियन डॉलर के जोखिम और हस्तक्षेप की समय-सीमा का स्वतंत्र सत्यापन बाधित होता है। इसलिए इस आंकड़े को स्वतंत्र रूप से स्थापित हानि राशि के बजाय बिनेंस के अनुमान के रूप में माना जाना चाहिए।
इसके अलावा, कोई पहचान योग्य बाजार प्रतिक्रिया नहीं थी क्योंकि प्रभावित संपत्ति का खुलासा नहीं किया गया है। प्रस्ताव के तहत कोई धन स्थानांतरित नहीं हुआ, जिसका अर्थ है कि यह मामला एक सफल खजाना चोरी के बजाय एक प्रयासित हमला है।
यह घटना अन्य हमलों का अनुसरण करती है जिन्होंने प्रोटोकॉल परिसंपत्तियों तक पहुंचने के लिए गवर्नेंस प्रक्रियाओं का उपयोग किया। जैसा कि crypto.news ने पहले रिपोर्ट किया था, हमलावरों ने जुलाई में एक दुर्भावनापूर्ण प्रस्ताव के माध्यम से BonkDAO से लगभग 20 मिलियन डॉलर निकाल लिए थे।
एक अन्य मामले में, DAO निर्णयों को प्रभावित करने वाली खरीदी गई मतदान शक्ति के बारे में चिंताओं ने दिखाया कि अनुबंध कोड का शोषण किए बिना कम भागीदारी और प्रतिनिधि मत गवर्नेंस सुरक्षा को कैसे कमजोर कर सकते हैं।
परियोजना को उन नियमों को बदलने की आवश्यकता होगी जिन्होंने प्रस्ताव को मतदान तक पहुंचने की अनुमति दी थी। संभावित नियंत्रणों में उच्च प्रस्तुति सीमाएं, लंबी टाइमलॉक, कोरम आवश्यकताएं और निष्पादन योग्य प्रस्तावों की स्वतंत्र समीक्षा शामिल हैं।
आपातकालीन रद्द करने का अधिकार भी दुर्भावनापूर्ण कार्यों को रोक सकता है, हालांकि यह केंद्रीकृत नियंत्रण का परिचय देता है। परियोजनाओं को टोकन धारकों से वादा किए गए गवर्नेंस मॉडल के साथ त्वरित हस्तक्षेप को संतुलित करना चाहिए।
एक्सचेंज ने यह नहीं बताया कि क्या प्रभावित परियोजना ने उन परिवर्तनों को पूरा किया है। इसने तत्काल जोखिम समाप्त होने के बाद आगे के तकनीकी विवरण प्रकाशित करने या परियोजना की पहचान करने की योजनाओं की भी घोषणा नहीं की है।
एक सार्वजनिक पोस्टमॉर्टम उपयोगकर्ताओं को वोट की पुष्टि करने, भेद्यता को समझने और यह आकलन करने की अनुमति देगा कि क्या वही मार्ग अभी भी खुला है। तब तक, सफल हस्तक्षेप और 1.2 मिलियन डॉलर का जोखिम मुख्य रूप से बिनेंस के खाते पर आधारित है।
DAO
BTC
