ग्नोसिस (Gnosis) के सह-संस्थापक और सीईओ मार्टिन कोप्पेलमैन ने सोमवार को ज़ोडियाक डिले मॉड्यूल (Zodiac delay module) से संबंधित ग्नोसिस पे (Gnosis Pay) में एक सक्रिय एक्सप्लॉइट (exploit) की पुष्टि की।

"दुर्भाग्य से, ग्नोसिस पे (Gnosis Pay) और 'डिले मॉड्यूल' (delay module) से संबंधित एक हैक (hack) हुआ है। कृपया धैर्य रखें जब तक हम नुकसान को नियंत्रित करने का प्रयास करते हैं। निश्चिंत रहें, ग्नोसिस सभी उपयोगकर्ता नुकसानों की भरपाई करेगा," कोप्पेलमैन ने एक्स (X) पर लिखा। ब्लॉकचेन सुरक्षा फर्म पेकशिल्ड (PeckShield) ने भी इस सक्रिय एक्सप्लॉइट को चिह्नित किया था, और उपयोगकर्ताओं को अपनी संवेदनशीलता की जांच करने की चेतावनी दी थी।

हमले ने ज़ोडियाक डिले मॉड्यूल (Zodiac delay module) का फायदा उठाया, जो एक अनुमति परत है जो लेनदेन को निष्पादन से पहले कतारबद्ध करने की अनुमति देती है। कोप्पेलमैन ने कहा कि हमलावर ऐसे मॉड्यूल वाले सेफ वॉलेट (Safe wallets) से लेनदेन शुरू करने में सक्षम है, और ग्नोसिस अपने नियंत्रण प्रतिक्रिया के हिस्से के रूप में ब्रिज वैलिडेटर (bridge validators) को रोकने के लिए कह रहा है।

कोप्पेलमैन ने पहले एक अलर्ट पोस्ट किया था जिसमें सभी ग्नोसिस पे उपयोगकर्ताओं से तुरंत EURe और GNO निकालने का आग्रह किया गया था, लेकिन अद्यतन बयान से पहले उस पोस्ट को हटा दिया। कोप्पेलमैन ने कहा, "एक पहले के ट्वीट को हटा दिया गया जिसमें उपयोगकर्ताओं से फंड निकालने के लिए कहा गया था।" "अधिकांश उपयोगकर्ता ऐसा नहीं कर पाएंगे, लेकिन हम नुकसान को नियंत्रित करने के लिए सक्रिय रूप से काम कर रहे हैं। हमारा मानना है कि हम इसके अधिकांश हिस्से को नियंत्रित कर सकते हैं, और किसी भी स्थिति में, हम यह सुनिश्चित करेंगे कि सभी उपयोगकर्ताओं को पूरा मुआवजा मिले।"

ग्नोसिस पे (Gnosis Pay) ग्नोसिस का एक उत्पाद है, जो एथेरियम इंफ्रास्ट्रक्चर (Ethereum infrastructure) संगठन है जिसके सह-संस्थापक कोप्पेलमैन हैं, और इसे सेफ (Safe) — जिसे पहले ग्नोसिस सेफ (Gnosis Safe) कहा जाता था — से भ्रमित नहीं किया जाना चाहिए, जो 2022 में $100 मिलियन जुटाने के बाद ग्नोसिस से एक स्वतंत्र इकाई के रूप में अलग हो गया। 

ये दोनों आपस में घनिष्ठ रूप से जुड़े हुए हैं। ग्नोसिस पे (Gnosis Pay) सेफ (Safe) के स्मार्ट कॉन्ट्रैक्ट वॉलेट इंफ्रास्ट्रक्चर (smart contract wallet infrastructure) पर आधारित है, जिसमें सेफ हर ग्नोसिस पे कार्ड के तहत स्व-कस्टोडियल वॉलेट (self-custodial wallets) को सुरक्षित करता है। सोमवार को चिह्नित डिले-मॉड्यूल बग (delay-module bug) ग्नोसिस पे सिस्टम के भीतर है, न कि सेफ के मुख्य कॉन्ट्रैक्ट्स (core contracts) में।

निकाली गई राशि की सीमा और क्या फंड पहले ही खो चुके हैं, इसकी तत्काल पुष्टि नहीं हुई है। द ब्लॉक (The Block) ने टिप्पणी के लिए संपर्क किया है।

यह अलर्ट एक अलग एक्सप्लॉइट के कुछ दिनों बाद आया है जिसने स्क्विडराउटरमॉड्यूल (SquidRouterModule) नामक एक कमजोर थर्ड-पार्टी मॉड्यूल (third-party module) के माध्यम से 86 ग्नोसिस सेफ वॉलेट (Gnosis Safe wallets) से $3.2 मिलियन निकाल लिए थे। उस घटना में एक अनौपचारिक मॉड्यूल में कमजोर पहचान सत्यापन शामिल था, जिससे हमलावरों को वॉलेट हस्ताक्षरों (wallet signatures) की आवश्यकता के बिना मनमानी कॉलडेटा (calldata) निष्पादित करने की अनुमति मिली।

यह एक विकसित हो रही खबर है।