Gravity Bridge, एक क्रॉस-चेन प्रोटोकॉल जो एथेरियम और कॉसमॉस इकोसिस्टम के बीच संपत्तियों को स्थानांतरित करता है, शनिवार की सुबह लगभग $5.4 मिलियन से खाली कर दिया गया। सुरक्षा शोधकर्ताओं का मानना है कि यह स्मार्ट कॉन्ट्रैक्ट में बग के बजाय एक समझौता की गई साइनिंग कुंजी के कारण हुआ।

असामान्य निकासी को सबसे पहले ऑनचेन विश्लेषक स्पेक्ट्रे ने झंडी दिखाई थी और बाद में सुरक्षा फर्म पेकशील्ड ने इसकी पुष्टि की। स्पेक्ट्रे ने कहा कि ऐसा लगता है कि ब्रिज की साइनिंग कुंजियों से समझौता किया गया होगा, जिससे हमलावर को अनाधिकृत निकासी की एक श्रृंखला को अंजाम देने की अनुमति मिली।

पेकशील्ड की गणना के अनुसार, चोरी हुए फंड में लगभग $4.3 मिलियन USDC, लगभग $553,000 मूल्य का 274 रैप्ड ईथर, $434,000 मूल्य का टीथर और लगभग $64,000 मूल्य के 14.16 PAXG टोकन शामिल हैं। संपत्तियों को 7C62da1F9 पर समाप्त होने वाले एक पते पर रूट किया गया था, जबकि स्पेक्ट्रे द्वारा पहचान की गई खाली की गई कॉन्ट्रैक्ट 1F2D906 पर समाप्त हो रही थी।

टीम ने शनिवार को एक्स पर लिखा, "ग्रेविटी पर एक दुर्भाग्यपूर्ण घटना हुई।" "जब तक इस घटना की जांच की जा रही है, तब तक वैलिडेटर्स को अपने वैलिडेटर्स और ऑर्केस्ट्रेटर्स को रोकना चाहिए।" एक फॉलो-अप पोस्ट में, टीम ने कहा कि हमले की जांच के दौरान ब्रिज को फिलहाल रोक दिया गया है। 

हमलावर ने तुरंत ही फंड को स्थानांतरित करना शुरू कर दिया। पेकशील्ड ने कहा कि चोरी का एक हिस्सा पहले ही इंस्टेंट-स्वैप सेवा चेंजनाउ और बिनेंस के माध्यम से लॉन्डर किया जा चुका है, जबकि उसकी रिपोर्ट के समय चोरी के वॉलेट में अभी भी लगभग 2,100 ETH, या लगभग $4.23 मिलियन, थे। स्पेक्ट्रे द्वारा साझा किए गए एक आर्कहम स्नैपशॉट में एक संबंधित वॉलेट में लगभग $4.16 मिलियन ईथर होने का पता चला।

Gravity Bridge एथेरियम नेटवर्क पर टोकन को लॉक करके और कॉसमॉस पर टोकन के मिरर किए गए संस्करणों को मिंट करके काम करता है, जिसमें वैलिडेटर हस्ताक्षर प्रत्येक हस्तांतरण को अधिकृत करते हैं। यदि कोई हमलावर पर्याप्त वैध साइनिंग कुंजियाँ प्राप्त कर लेता है, तो सिस्टम जाली निकासी को वैध मानता है। यह तंत्र शोधकर्ताओं की शुरुआती धारणा के अनुरूप प्रतीत होता है कि उल्लंघन कॉन्ट्रैक्ट लॉजिक के बजाय प्राधिकरण परत पर हुआ है।

यदि पुष्टि हो जाती है, तो यह घटना 2026 के ब्रिज हमलों के चल रहे पैटर्न में फिट बैठेगी, जिसमें अंतर्निहित स्मार्ट कॉन्ट्रैक्ट कोड में खामियों के बजाय प्रमुख सुरक्षा मुद्दे कमजोरियाँ प्रदान करते हैं। इस साल की शुरुआत में केल्प डीएओ और रिज़ॉल्व के कारनामों में भी इसी तरह का मूल कारण सामने आया था, जहां ऑडिट किया गया कोड कमजोर बिंदु नहीं था।

$5.4 मिलियन पर, ग्रेविटी ब्रिज का नुकसान साल के प्रमुख ब्रिज हैक्स की तुलना में मामूली है, लेकिन यह हाल ही में घटनाओं में एक बड़ी वृद्धि को दर्शाता है, जिसमें अप्रैल रिकॉर्ड पर सबसे अधिक हैक किया गया महीना रहा है। टीआरएम लैब्स के अनुसार, 2026 में ब्रिज एक महत्वपूर्ण हमला सतह रहे हैं और एक ऐसे वर्ष के प्राथमिक चालक रहे हैं जिसमें क्रिप्टो हैक से नुकसान अरबों तक पहुंच गया है। इस श्रेणी का क्रिप्टो के सबसे आकर्षक लक्ष्यों में से एक के रूप में एक लंबा ट्रैक रिकॉर्ड है, जिसमें 2022 में $190 मिलियन नोमैड एक्सप्लॉइट से लेकर 2024 में $81.5 मिलियन ऑर्बिट ब्रिज हैक शामिल है।

Althea टीम सहित योगदानकर्ताओं द्वारा निर्मित और अपने मूल ग्रेविटॉन (GRAV) टोकन द्वारा सुरक्षित Gravity Bridge ने अभी तक एक पोस्टमॉर्टम जारी नहीं किया है, जिससे सटीक प्रवेश बिंदु अनिश्चित बना हुआ है। द ब्लॉक टिप्पणी के लिए Gravity Bridge या Althea तक तुरंत पहुंचने में असमर्थ रहा।