योिंक नामक एक एथेरियम एमईवी बॉट ने 2,900 आरएसईटीएच (लगभग $7.8 मिलियन मूल्य) से जुड़े एक सेफ वॉलेट एक्सप्लॉइट के प्रयास को फ्रंट-रन किया और ब्लॉक में पहली स्थिति सुरक्षित करने के लिए लगभग 19 ईटीएच का भुगतान किया।

योिंक एमईवी बॉट ने ली पहली स्थिति

पेकशिल्ड ने इस घटना को केल्पडीएओ से जुड़े एक लिक्विड रीस्टेकिंग टोकन आरएसईटीएच से जुड़े लगभग $7.81 मिलियन के हमले के रूप में पहचाना, जब एक एमईवी बॉट ने अपने लेनदेन को संदिग्ध हमलावर से पहले रखा।

सुरक्षा शोधकर्ताओं द्वारा उद्धृत ऑन-चेन रिकॉर्ड बताते हैं कि योिंक को एथेरियम ब्लॉक 25980525 में 2,900 आरएसईटीएच प्राप्त हुए। कुल राशि में से, लेनदेन ने 2,882.37 आरएसईटीएच को पते 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 पर भेजा।

जब पते की समीक्षा की गई, तो उसका बैलेंस 2,882.36740883 आरएसईटीएच था। प्रारंभिक रिपोर्टों में पते से कोई हस्तांतरण वर्णित नहीं किया गया था, और उपलब्ध जानकारी ने इसके मालिक की पहचान नहीं की या यह स्थापित नहीं किया कि फंड वापस किए जाएंगे या नहीं।

शेष 17.63 आरएसईटीएच यूनिस्वैप v4 पूल मैनेजर में चले गए। लेनदेन पथ के अनुसार, पूल मैनेजर ने तब योिंक कॉन्ट्रैक्ट को 18.95 ईटीएच भेजे, जिसने 18.93 ईटीएच ब्लॉक बिल्डर को भेजे।

बिल्डर को लगभग पूरी ईटीएच राशि का भुगतान करने से लेनदेन के उस हिस्से से बहुत कम सीधा ईटीएच लाभ हुआ। बड़े भुगतान ने इसके बजाय बॉट की प्राथमिकता प्लेसमेंट के लिए बोली के रूप में काम किया, हालांकि उद्धृत शोधकर्ताओं ने रखे गए आरएसईटीएच या अन्य लेनदेन लागतों को कवर करने वाली पूरी लाभ गणना प्रकाशित नहीं की।

योिंक का लेनदेन और मूल एक्सप्लॉइट प्रयास दोनों ब्लॉक 25980525 में हुए। योिंक ब्लॉक के शीर्ष पर दिखाई दिया, जबकि मूल लेनदेन बाद में चला और रद्द हो गया। सुरक्षा शोधकर्ताओं ने इस क्रम और विफल अनुवर्ती लेनदेन को इस बात के प्रमाण के रूप में देखा कि बॉट ने हमले का पता लगा लिया था और पहले कदम उठाया था।

ऐसी प्रतिस्पर्धा अधिकतम निष्कर्षण योग्य मूल्य, या एमईवी पर निर्भर करती है, जो लेनदेन को शामिल करने और उनके क्रम को नियंत्रित करने से आता है। जून 2026 के क्रिप्टो.न्यूज एमईवी गाइड ने बताया कि सर्चर्स लाभदायक अवसरों के लिए लंबित गतिविधि को स्कैन करते हैं, लेनदेन बंडल इकट्ठा करते हैं, और उन्हें चुनी गई स्थिति में रखने के लिए बिल्डरों को भुगतान करते हैं।

सेफ मॉड्यूल जाँचों ने एक्सप्लॉइट पथ की अनुमति दी

ब्लॉकसेक ने अंतर्निहित कमजोरी का कारण एक सक्षम सेफ मॉड्यूल से जुड़े एक एक्सिक्यूटर कॉन्ट्रैक्ट में दोषपूर्ण प्राधिकरण जाँचों को बताया। फर्म के खाते के अनुसार, हमलावर-नियंत्रित कॉल एक एक्सिक्यूटर के माध्यम से गुजर सकते थे जिसे वॉलेट विश्वसनीय मानता था।

सेफ एक स्मार्ट कॉन्ट्रैक्ट वॉलेट प्रणाली है जिसके लिए लेनदेन को मंजूरी देने के लिए कई हस्ताक्षरकर्ताओं की आवश्यकता हो सकती है। इसका मॉड्यूल फ्रेमवर्क खाता धारकों को ऐसे कॉन्ट्रैक्ट जोड़ने की भी अनुमति देता है जो पूर्वनिर्धारित नियमों के तहत विशिष्ट कार्य कर सकते हैं, जिससे प्रत्येक ऑपरेशन पर मैन्युअल हस्ताक्षर की आवश्यकता कम हो जाती है।

इसलिए एक सक्षम मॉड्यूल वॉलेट की सुरक्षा सीमा का हिस्सा बन जाता है। ब्लॉकसेक के विश्लेषण से पता चलता है कि प्रभावित एक्सिक्यूटर कॉल के पीछे के प्राधिकरण की सही ढंग से पुष्टि करने में विफल रहा, जिससे एक बाहरी पार्टी को एक विश्वसनीय मार्ग के माध्यम से कार्यों तक पहुंचने की अनुमति मिली।

यह रिपोर्ट एथेरियम की कंसेंसस प्रणाली में दोष के बजाय वॉलेट कॉन्फ़िगरेशन से जुड़े एक्सिक्यूटर कॉन्ट्रैक्ट में एक समस्या का वर्णन करती है। उपलब्ध विवरण यह भी नहीं दिखाते कि कोर सेफ कॉन्ट्रैक्ट्स से समझौता किया गया था, इसलिए घटना को पूरे सेफ प्लेटफॉर्म से जोड़ना सुरक्षा फर्मों के निष्कर्षों से परे होगा।

ब्लॉकएड ने इस बात का अधिक विस्तृत विवरण प्रदान किया कि हमलावर ने अनुमति विफलता का उपयोग कैसे करने की कोशिश की। सुरक्षा कंपनी के अनुसार, हमलावर ने एक सार्वजनिक कीपर मल्टीकॉल तक पहुंच बनाई और एक कस्टम यूनिस्वैप v4 लिक्विडिटी मॉड्यूल को हमलावर के नियंत्रण में एक हुक पूल की ओर निर्देशित किया।

यूनिस्वैप v4 हुक ऐसे कॉन्ट्रैक्ट होते हैं जो पूल के संचालन में निर्धारित बिंदुओं पर कस्टम निर्देश चला सकते हैं। ब्लॉकएड ने कहा कि दुर्भावनापूर्ण रूप से बनाए गए हुक पूल का उपयोग फिर एथआरएसईटीएच को आरएसईटीएच में अनपैक करने के लिए किया गया था, जिससे लेनदेन में लक्षित टोकन का उत्पादन हुआ।

ब्लॉकएड के विश्लेषण के अनुसार, एक सार्वजनिक कीपर फ़ंक्शन को एक विश्वसनीय निष्पादन मार्ग के साथ संयोजित करने से कॉल को कस्टम लिक्विडिटी सेटअप तक पहुंचने की अनुमति मिली। योिंक के बॉट ने हमलावर के पूरा करने से पहले ही अवसर देख लिया और एक प्रतिस्पर्धी लेनदेन प्रस्तुत किया जिसने वही आउटपुट प्राप्त किया।

प्रदान की गई रिपोर्टों में शामिल किसी भी बयान में संदिग्ध हमलावर, योिंक ऑपरेटर या ब्लॉक बिल्डर की पहचान नहीं की गई है। रिपोर्टों में यह भी नहीं बताया गया कि वसूली समझौता, इनाम बातचीत या कानूनी प्रक्रिया शुरू हुई है या नहीं।

आरएसईटीएच लेनदेन 2026 डीआईएफआई घाटे में इजाफा करता है

विकेंद्रीकृत वित्त में भारी नुकसान के एक वर्ष के दौरान यह निष्कर्षण का प्रयास हुआ। डीआईएफआई सुरक्षा घाटे पर एक सितंबर की रिपोर्ट में सर्टिक और फोर्ब्स के अनुमानों का हवाला दिया गया है, जिसमें दिखाया गया है कि प्रोटोकॉल ने 2026 के पहले आठ महीनों के दौरान एक्सप्लॉइट्स के कारण कम से कम $1.3 बिलियन खो दिए।

रिपोर्ट में पाया गया कि समझौता किए गए क्रेडेंशियल और विशेषाधिकार प्राप्त पहुंच मूल्य के हिसाब से नुकसान के मुख्य स्रोत के रूप में पारंपरिक स्मार्ट कॉन्ट्रैक्ट दोषों से आगे निकल गए थे। योिंक घटना अपनी रिपोर्ट की गई यांत्रिकी में भिन्न है क्योंकि ब्लॉकसेक ने सेफ मॉड्यूल से जुड़े एक एक्सिक्यूटर के भीतर प्राधिकरण तर्क को प्रारंभिक बिंदु के रूप में देखा।

आरएसईटीएच इस साल एक अलग बड़ी सुरक्षा घटना में भी दिखाई दिया है। अप्रैल में, एक हमलावर ने लेयरज़ेरो वेरिफ़ायर से जुड़े इंफ्रास्ट्रक्चर से समझौता करने के बाद 116,500 बिना समर्थित आरएसईटीएच मिंट किए, पिछली कवरेज के अनुसार। हमलावर ने तब अन्य संपत्तियों को उधार लेने के लिए आवे पर टोकन का उपयोग संपार्श्विक के रूप में किया।

सुरक्षा शोधकर्ताओं ने अप्रैल की घटना को ब्लॉक 25980525 में लेनदेन से नहीं जोड़ा है। दोनों घटनाओं में अलग-अलग रिपोर्ट की गई कमजोरियां शामिल थीं, और नवीनतम मामला एक वॉलेट निष्पादन पथ के माध्यम से 2,900 मौजूदा आरएसईटीएच की चाल के प्रयास से संबंधित था।

अमेरिकी अधिकारियों ने कुछ एमईवी योजनाओं को धोखाधड़ी माना है

अमेरिकी उपयोगकर्ताओं के लिए, योिंक लेनदेन यह भी दर्शाता है कि "फ्रंट-रनिंग" शब्द अपने आप में ऑन-चेन ट्रेड की कानूनी स्थिति को क्यों तय नहीं करता है। संघीय अधिकारियों ने कुछ एमईवी ऑपरेशनों पर मुकदमा चलाया है जब अभियोजकों ने आरोप लगाया कि उनके ऑपरेटरों ने धोखाधड़ी का इस्तेमाल किया या धन प्राप्त करने के लिए सिस्टम में छेड़छाड़ की।

मई 2024 में, अमेरिकी न्याय विभाग ने लगभग 12 सेकंड के भीतर लगभग $25 मिलियन क्रिप्टोकरेंसी प्राप्त करने वाली एक कथित एथेरियम योजना के लिए दो भाइयों पर आरोप लगाया। अभियोजकों ने आरोप लगाया कि एंटोन और जेम्स पेरायर-ब्यूनो ने उस प्रक्रिया में हेरफेर किया जिसका उपयोग एथेरियम ट्रेडर्स लेनदेन को ऑर्डर करने के लिए करते थे और धोखाधड़ी से लंबित निजी लेनदेन तक पहुंच प्राप्त की।

न्याय विभाग ने भाइयों पर वायर धोखाधड़ी की साजिश, वायर धोखाधड़ी और मनी लॉन्ड्रिंग की साजिश का आरोप लगाया। उसके आरोप ट्रेडिंग जानकारी प्राप्त करने और प्रक्रिया में हेरफेर करने के लिए कथित रूप से उपयोग की जाने वाली विधियों से संबंधित थे, बजाय इसके कि हर लेनदेन-क्रम रणनीति को स्वचालित रूप से आपराधिक माना जाए।

प्रदान की गई जानकारी के आधार पर योिंक या आरएसईटीएच एक्सप्लॉइट के प्रयास से संबंधित किसी भी कार्रवाई की घोषणा किसी अमेरिकी नियामक या कानून प्रवर्तन एजेंसी ने नहीं की है। उद्धृत ब्लॉकचेन सुरक्षा फर्मों ने अपने निष्कर्षों को लेनदेन के क्रम, सेफ-लिंक्ड एक्सिक्यूटर की प्राधिकरण जाँचों और एथआरएसईटीएच को अनपैक करने के लिए उपयोग किए गए यूनिस्वैप v4 हुक मार्ग तक सीमित रखा है।