ब्लॉकचेन सुरक्षा कंपनी ब्लॉकएड के अनुसार, 28 अगस्त को एक हमलावर ने एक पुराने रेन कार्ड अनुबंध का फायदा उठाया, जिससे सोलाना पर चल रहे कई स्टेबलकॉइन कार्ड कार्यक्रमों से लगभग 1.1 मिलियन डॉलर की निकासी हुई।

एविसी और ट्रिया प्रभावित क्रिप्टो नियोबैंकों में से थे। दोनों कंपनियों ने 2,321 उपयोगकर्ताओं के लिए 932,800 डॉलर से अधिक के संयुक्त नुकसान का खुलासा किया। ब्लॉकएड ने कहा कि रेन-समर्थित अन्य कार्यक्रम भी उजागर हुए, जिससे अनुमानित नुकसान लगभग 1.1 मिलियन डॉलर हो गया।

हमलावर ने ग्राहकों के सेल्फ-कस्टोडियल वॉलेट या निजी कुंजी तक पहुंच प्राप्त नहीं की। इसके बजाय, इस एक्सप्लॉइट ने उन कोलैटरल अनुबंधों को लक्षित किया जिनमें उपयोगकर्ता अपने कार्ड शेष को फंड करने के लिए जमा किए गए स्टेबलकॉइन रखते थे।

रेन ने कहा कि उसके निगरानी सिस्टम ने अपने सोलाना कार्ड अनुबंध के एक पुराने संस्करण का उपयोग करने वाले "कम संख्या में कार्यक्रमों" को प्रभावित करने वाली एक भेद्यता का पता लगाया। कंपनी ने अपने सार्वजनिक बयान के अनुसार, प्रभावित संस्करण पर चल रहे हर कार्यक्रम को अपग्रेड किया।

यह घटना अनुबंध और परिचालन कमजोरियों के बारे में व्यापक चिंताओं को बढ़ाती है। ब्लॉकएड द्वारा प्रकाशित शोध के अनुसार, 2026 की पहली छमाही में क्रिप्टो सुरक्षा विफलताओं के कारण लगभग 1.1 बिलियन डॉलर का नुकसान हुआ।

रेन अनुबंध दोष ने साझा कार्ड इन्फ्रास्ट्रक्चर को उजागर किया

रेन ऐसा इन्फ्रास्ट्रक्चर प्रदान करता है जो क्रिप्टो कंपनियों को स्टेबलकॉइन से फंड किए गए कार्ड जारी करने की अनुमति देता है। जब ग्राहक अपने कार्ड में फंड डालते हैं, तो जमा की गई संपत्तियां ऑनचेन अनुबंधों के माध्यम से प्रबंधित कोलैटरल खातों में चली जाती हैं।

ये शेष ग्राहकों के व्यक्तिगत वॉलेट में रखी गई संपत्तियों से अलग होते हैं। एक बार जब फंड कार्ड कोलैटरल अनुबंध में प्रवेश करते हैं, तो उनकी सुरक्षा इन्फ्रास्ट्रक्चर प्रदाता के कोड और प्राधिकरण नियंत्रण पर निर्भर करती है।

ब्लॉकएड ने कमजोर अनुबंध के समान ऑपकोड हैश वाले कोड वाले चार डिप्लॉयमेंट की पहचान की। सुरक्षा कंपनी ने कहा कि हमलावर ने कम से कम दो डिप्लॉयमेंट से निकासी की। अन्य दो में भी कथित तौर पर वही भेद्यता थी लेकिन कोई पुष्टि नुकसान नहीं हुआ था।

रेन ने पुष्टि की कि एक पुराने अनुबंध के कारण यह घटना हुई। हालांकि, इसने हर प्रभावित डिप्लॉयमेंट की पहचान करने या यह समझाने के लिए एक पूर्ण तकनीकी रिपोर्ट प्रकाशित नहीं की है कि कुछ कार्यक्रम पुराने संस्करण का उपयोग क्यों करते रहे।

यह स्थिति अन्य घटनाओं से मिलती-जुलती है जिसमें पुराना या बार-बार कमजोर इन्फ्रास्ट्रक्चर सक्रिय रहा। संबंधित कवरेज में, हमलावरों ने दो महीनों के भीतर दो बार एक ही वेरस ब्रिज अनुबंध का फायदा उठाया, जिससे साझा डिप्लॉयमेंट में अपग्रेड के बारे में समान प्रश्न उठे।

रेन की घटना सोलाना के स्वयं के समझौते का प्रतिनिधित्व नहीं करती थी। ब्लॉकचेन ने सामान्य रूप से लेनदेन को संसाधित करना जारी रखा जबकि हमलावर ने नेटवर्क पर तैनात एप्लिकेशन कोड का फायदा उठाया।

पुन: उपयोग किए गए हस्ताक्षर ने निकासी नियंत्रणों को बायपास किया

पुराने रेन अनुबंध को कुछ खाता कार्यों की अनुमति देने से पहले दो स्वतंत्र प्राधिकरणों की आवश्यकता थी। इसने आवश्यक हस्ताक्षरों की पुष्टि करने के लिए सोलाना के Ed25519 सत्यापन निर्देशों का उपयोग किया।

ब्लॉकएड के विश्लेषण के अनुसार, हमलावर ने दूसरे सत्यापन निर्देश में हेरफेर किया। इसके हस्ताक्षर, सार्वजनिक कुंजी और संदेश ऑफसेट पहले निर्देश में निहित जानकारी की ओर इशारा करते थे।

इसलिए कमजोर अनुबंध ने एक हमलावर-नियंत्रित हस्ताक्षर को दो स्वतंत्र अनुमोदनों के रूप में स्वीकार किया। इसने हमलावर को कोलैटरल खातों के मालिकों की अनुमति के बिना प्राधिकरण की आवश्यकता को पूरा करने की अनुमति दी।

हस्ताक्षर जांच को बायपास करने के बाद, हमलावर ने व्यक्तिगत खातों पर प्रशासनिक विशेषाधिकार देने के लिए एक AddCollateralAdmin निर्देश का उपयोग किया। फिर उसने उन खातों से USDC और USDT को स्थानांतरित करने के लिए WithdrawCollateralAsset को कॉल किया।

ब्लॉकएड ने 2,945 प्रशासक जोड़ और 5,288 निकासी कॉल दर्ज किए। कंपनी ने लगभग दो घंटे 29 मिनट में 8,233 मुख्य एक्सप्लॉइट लेनदेन की पहचान की।

यह ऑपरेशन स्वचालित गति से आगे बढ़ा। ब्लॉकएड ने कहा कि पहली दो सफल निकासी तीन सेकंड के अंतराल पर हुईं, यह दर्शाता है कि हमलावर ने कई खातों को लक्षित करने के लिए एक सिस्टम तैयार किया था।

ग्राहकों ने दुर्भावनापूर्ण लेनदेन को अधिकृत नहीं किया। एक्सप्लॉइट अनुबंध स्तर पर हुआ, जिसका अर्थ है कि फ़िशिंग या दुर्भावनापूर्ण वॉलेट हस्ताक्षरों के खिलाफ सुरक्षा इन निकासी को रोक नहीं पाती।

एक अलग एप्लिकेशन-स्तरीय कमजोरी ने हाल ही में एक अन्य प्रोटोकॉल को उजागर किया जब दोषपूर्ण कोलैटरल नियंत्रणों ने 75 मिलियन डॉलर के DeFi एक्सप्लॉइट को सक्षम किया। दोनों ही मामलों में, अंतर्निहित नेटवर्क काम करते रहे जबकि एप्लिकेशन लॉजिक ने अनधिकृत गतिविधि की अनुमति दी।

हमलावर ने डीब्रिज के माध्यम से फंड स्थानांतरित किए

निकाले गए USDC और USDT एक सोलाना वॉलेट में जमा हुए जिसकी पहचान FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj के रूप में की गई।

हमलावर ने विकेन्द्रीकृत ट्रेडिंग प्लेटफॉर्म के माध्यम से स्टेबलकॉइन को SOL के लिए बदला। ब्लॉकएड ने फिर डीब्रिज क्रॉस-चेन प्रोटोकॉल के माध्यम से सोलाना से एथेरियम तक आय का पता लगाया।

ब्लॉकएड के अनुसार, लगभग 455.9 ETH 19:20 और 19:49 UTC के बीच टोरनाडो कैश में दर्ज हुए। टोरनाडो कैश जमा को पूल करता है और उन पतों पर निकासी की अनुमति देता है जो मूल भेजने वाले वॉलेट से सार्वजनिक रूप से जुड़े नहीं हैं।

इसलिए इस मिक्सर ने सार्वजनिक ब्लॉकचेन रिकॉर्ड के माध्यम से बाद की गतिविधियों का पता लगाना मुश्किल बना दिया। ब्लॉकएड ने कहा कि टोरनाडो कैश में प्रवेश करने के बाद चोरी हुए फंड बरामद नहीं हुए थे।

क्रॉस-चेन इन्फ्रास्ट्रक्चर के उपयोग ने लॉन्ड्रिंग मार्ग में एक और चरण जोड़ दिया। क्रिप्टो ब्रिज भी सीधे लक्ष्य बन गए हैं, जिसमें 2026 की शुरुआत में वेरस एथेरियम ब्रिज से 11.5 मिलियन डॉलर की जाली स्थानांतरण एक्सप्लॉइट से निकासी हुई थी।

ब्लॉकएड ने रेन हमलावर की सोलाना गतिविधि के प्रारंभिक वित्तपोषण से दो एथेरियम पतों को जोड़ा। न तो रेन और न ही कानून प्रवर्तन अधिकारियों ने सार्वजनिक रूप से उन पतों को नियंत्रित करने वाले लोगों की पहचान की है।

हमले का पता लगाने और फंड का पता लगाने के बारे में कंपनी के बयान उसके अपने निष्कर्षों का प्रतिनिधित्व करते हैं। ब्लॉकएड क्रिप्टो कंपनियों, जिसमें स्टेबलकॉइन कार्ड जारीकर्ता भी शामिल हैं, को सुरक्षा और निगरानी सेवाएं प्रदान करता है।

एविसी और ट्रिया ने ग्राहकों के नुकसान का खुलासा किया

एविसी ने बताया कि हमलावर ने 1,685 उपयोगकर्ताओं से संबंधित कार्ड शेष से 500,859.22 डॉलर निकाले। कंपनी ने कहा कि उसने घटना के बाद सभी प्रभावित ग्राहकों को वापस किया और 10% कैशबैक प्रदान किया।

ट्रिया ने 636 ग्राहकों में लगभग 431,945 डॉलर के नुकसान का खुलासा किया। इसने एक आधिकारिक अपडेट में कहा कि प्रत्येक प्रभावित ग्राहक को मुआवजा दिया जा रहा है।

दोनों खुलासे अनुमानित नुकसान के 932,804.22 डॉलर का हिसाब करते हैं। ब्लॉकएड ने सोलएयर पे को भी एक प्रभावित कार्यक्रम के रूप में नामित किया, लेकिन इसके नुकसान के लिए कोई स्वतंत्र रूप से सत्यापित आंकड़ा उपलब्ध नहीं था।

खुलासे किए गए एविसी और ट्रिया के नुकसान और ब्लॉकएड के 1.1 मिलियन डॉलर के अनुमान के बीच का अंतर अन्य रेन-समर्थित कार्यक्रमों से संबंधित प्रतीत होता है। एक पूर्ण विवरण प्रकाशित नहीं किया गया है।

बाजार आंकड़ों के अनुसार, एक्सप्लॉइट की रिपोर्ट सामने आने के बाद एविसी का टोकन अपने दैनिक उच्च से 49% गिर गया। टोकन आंशिक रूप से ठीक होने से पहले 0.217 डॉलर के रिपोर्ट किए गए निम्न स्तर पर पहुंच गया। ट्रिया का टोकन भी एक समय 10% से अधिक गिर गया।

ये मूल्य गतिविधियां हमले की सार्वजनिक रिपोर्टों के बाद हुईं, हालांकि व्यापक बाजार स्थितियों ने भी ट्रेडिंग को प्रभावित किया होगा।

रेन ने प्रभावित अनुबंध डिप्लॉयमेंट को अपग्रेड किया

रेन ने कहा कि पुराने अनुबंध का उपयोग करने वाले सभी कार्ड कार्यक्रमों को अपग्रेड कर दिया गया था। कंपनी ने परिवर्तनों को पूरा करने के बाद कोई अतिरिक्त अनधिकृत गतिविधि की सूचना नहीं दी।

इसने यह भी कहा कि प्रभावित उपयोगकर्ताओं को पूरा किया जाएगा। रेन ने यह खुलासा नहीं किया है कि क्या वह सीधे कार्ड कार्यक्रमों को प्रतिपूर्ति करेगा या क्या व्यक्तिगत प्रदाता लागत वहन करेंगे।

कई सवालों के जवाब अभी भी नहीं मिले हैं। रेन ने कमजोर अनुबंध का पूरा संस्करण इतिहास, दोष पेश करने की तारीख या पुराने डिप्लॉयमेंट के सक्रिय रहने का कारण जारी नहीं किया है।

कंपनी ने यह भी खुलासा नहीं किया है कि क्या किसी ऑडिट ने हमले से पहले प्राधिकरण दोष की पहचान की थी। टोरनाडो कैश में जमा किए गए फंड की कोई वसूली सार्वजनिक रूप से रिपोर्ट नहीं की गई है।

यह प्रकरण इस सवाल को फिर से उठाता है कि क्या आवधिक ऑडिट उत्पादन में अनुबंधों के प्रवेश के बाद पर्याप्त सुरक्षा प्रदान करते हैं। हाल के उद्योग अनुसंधान में पाया गया कि संस्थान पारंपरिक सुरक्षा ऑडिट के साथ-साथ लगातार निगरानी चाहते हैं, खासकर उपयोगकर्ता संपत्तियों को रखने वाले अनुबंधों के लिए।

एक विस्तृत तकनीकी रिपोर्ट बाहरी शोधकर्ताओं को भेद्यता की पुष्टि करने और यह निर्धारित करने की अनुमति देगी कि क्या कहीं और समान कोड सक्रिय है। कार्ड प्रदाता यह भी समीक्षा कर सकते हैं कि वे अनुबंध संस्करणों को कैसे ट्रैक करते हैं और साझा इन्फ्रास्ट्रक्चर में प्रशासनिक अनुमतियों को कैसे सीमित करते हैं।

उपयोगकर्ता एक कार्ड कार्यक्रम में फंड जमा करने के बाद भी जोखिमों का सामना करते हुए अपने व्यक्तिगत वॉलेट पर नियंत्रण रख सकते हैं। उन शेषों की सुरक्षा उन अनुबंधों पर निर्भर करती है जो कोलैटरल रखते हैं, उन्हें बनाए रखने वाले प्रदाता और कमजोरियां सामने आने पर प्रतिक्रिया देने वाले ऑपरेटरों पर निर्भर करती है।