द सैंडबॉक्स ने एक क्रॉस-चेन ब्रिज भेद्यता को नियंत्रित कर लिया है जिसने एक हमलावर को बेस और बीएनबी स्मार्ट चेन पर बिना समर्थन वाले SAND का खनन करने की अनुमति दी थी, परियोजना का अनुमान है कि इसका सीधा प्रभाव टोकन की 3 अरब आपूर्ति के 0.01% से भी कम रहा।

द सैंडबॉक्स ने कहा कि उसने बेस और बीएनबी स्मार्ट चेन पर अपने SAND ब्रिज को प्रभावित करने वाली भेद्यता को पूरी तरह से नियंत्रित कर लिया है, और यह भी बताया कि किसी भी उपयोगकर्ता के वॉलेट से छेड़छाड़ नहीं हुई है और एथेरियम और पॉलीगॉन पर मौजूद SAND सुरक्षित रहे हैं।

22 अगस्त के एक बयान में, मेटावर्स परियोजना ने कहा कि हमलावर ने बेस और बीएनबी स्मार्ट चेन पर ऐसे टोकन बनाए जिनके लिए एथेरियम पर SAND का समर्थन नहीं था। टीम ने दोनों नेटवर्कों से और उन तक ब्रिजिंग को अक्षम कर दिया, जिससे प्रभावित टोकन अलग-थलग हो गए और उन्हें आधिकारिक ब्रिज के माध्यम से भुनाने से रोक दिया गया।

परियोजना ने कहा, "सभी ब्रिज किए गए SAND फंड एथेरियम पर बंद SAND द्वारा समर्थित हैं, जो पूरी तरह से सुरक्षित हैं।"

उपयोगकर्ताओं को बेस या बीएनबी स्मार्ट चेन पर SAND खरीदने, बेचने या तरलता प्रदान न करने के लिए कहा गया था, जब तक कि प्रभावित परिनियोजन (deployments) अलग-थलग रहते हैं। टीम हमले से पहले का स्नैपशॉट भी ले रही है और कहा कि पात्र तरलता प्रदाताओं को मुआवजा मिलेगा, हालांकि उसने भुगतान अनुसूची नहीं दी।

SAND ब्रिज के शोषण ने बिना समर्थन वाले टोकन कैसे बनाए

शुरुआती ऑन-चेन अलर्ट से पता चला कि बेस पर 500 मिलियन से अधिक SAND का खनन किया गया था, लेकिन जैसे-जैसे हमलावर कॉन्ट्रैक्ट के साथ इंटरैक्ट करता रहा, रिपोर्ट की गई संख्या तेजी से बढ़ी।

पेकशिल्ड ने बाद में दो पतों पर लगभग 14.9 अरब SAND बनाए जाने की पहचान की। अन्य सुरक्षा शोधकर्ताओं ने सैकड़ों अतिरिक्त लेनदेन दर्ज किए, जिससे ब्रिज अक्षम होने से पहले उत्पन्न कुल बिना समर्थन वाले टोकन की संख्या के लिए बहुत बड़े अनुमान सामने आए।

खनन की गई राशि का आकार परियोजना के सीधे वित्तीय नुकसान का प्रतिनिधित्व नहीं करता था। बेस या बीएनबी स्मार्ट चेन पर बनाए गए SAND एथेरियम टोकन की 3 अरब की निश्चित अधिकतम आपूर्ति को तब तक नहीं बढ़ा सकते थे जब तक कि हमलावर क्रॉस-चेन सिस्टम का उपयोग करके एथेरियम अडैप्टर में बंद वास्तविक टोकन जारी न कर सके।

ब्लॉकचेन फोरेंसिक खाते ब्लॉकवॉचडॉग के अनुसार, हमलावर ने एक मिनट से भी कम समय में एथेरियम अडैप्टर से लगभग 14.75 मिलियन SAND निकाले। टोकन की बिक्री से लगभग 80 ETH उत्पन्न हुए, जिसका मूल्य लेनदेन के समय लगभग $675,000 था।

यह आंकड़ा यह समझाने में मदद करता है कि द सैंडबॉक्स ने कुल SAND आपूर्ति के 0.01% से कम प्रभाव क्यों बताया, भले ही प्रभावित नेटवर्कों पर खनन किए गए टोकन की संख्या कहीं अधिक लग रही थी। परियोजना ने अभी तक एक पूर्ण तकनीकी रिपोर्ट प्रकाशित नहीं की है जिसमें उसके नुकसान के अनुमान को व्यक्तिगत ऑन-चेन शोधकर्ताओं द्वारा रिपोर्ट किए गए आंकड़ों से मिलाया गया हो।

ब्लॉकएड ने घटना का श्रेय approveAndCall फ़ंक्शन के माध्यम से लेयरजीरो प्रतिनिधि अनुमतियों पर कब्जे को दिया। सुरक्षा फर्म ने कहा कि इस पहुंच ने हमलावर को प्रभावित क्रॉस-चेन कॉन्ट्रैक्ट के माध्यम से टोकन का खनन करने की अनुमति दी, हालांकि द सैंडबॉक्स ने विस्तृत पोस्टमॉर्टम रिपोर्ट में ब्लॉकएड द्वारा प्रस्तावित कारण की पुष्टि नहीं की है।

एथेरियम SAND आपूर्ति अपरिवर्तित क्यों रही है

लेयरजीरो का ओम्निचेन फंगिबल टोकन मानक ब्लॉकचेन के बीच संपत्तियों को स्थानांतरित करने के लिए जुड़े हुए कॉन्ट्रैक्ट का उपयोग करता है। अपने अडैप्टर मॉडल के तहत, एक मौजूदा टोकन अपने मूल नेटवर्क पर लॉक हो जाता है, जबकि गंतव्य पर एक समतुल्य राशि खनन की जाती है।

SAND के लिए, एथेरियम अडैप्टर मूल टोकन रखता है जिसका उद्देश्य क्रॉस-चेन बैलेंस का समर्थन करना है। बेस में एक वैध स्थानांतरण को बेस पर संबंधित राशि बनाने से पहले एथेरियम पर SAND को लॉक करना चाहिए, जिससे जुड़े हुए नेटवर्कों पर एक ही आपूर्ति बनी रहे।

अनधिकृत खनन ने प्रभावित चेन पर समर्थन संबंध को तोड़ दिया, लेकिन इसने एथेरियम टोकन कॉन्ट्रैक्ट को फिर से नहीं लिखा या इसकी अधिकतम आपूर्ति में वृद्धि नहीं की। कॉइनगेको ने 3 अरब SAND की अधिकतम आपूर्ति दिखाना जारी रखा, जिसमें लगभग 2.9 अरब टोकन प्रचलन में थे।

प्रभावित कॉन्ट्रैक्ट को अन्य परिनियोजन (deployments) के साथ संचार करने से रोकने के लिए, द सैंडबॉक्स ने बेस और बीएनबी स्मार्ट चेन के लिए लेयरजीरो पीयर सेटिंग्स हटा दीं। इस कार्रवाई ने उस आधिकारिक मार्ग को काट दिया जिसके माध्यम से बिना समर्थन वाले टोकन अन्यथा एथेरियम अडैप्टर द्वारा रखी गई संपत्तियों का दावा करने के लिए उपयोग किए जा सकते थे।

जुलाई के वानचैन ब्रिज शोषण के दौरान ब्रिज विफलता और अंतर्निहित ब्लॉकचेन के साथ एक समस्या के बीच एक समान अंतर दिखाई दिया। लगभग 515 मिलियन NIGHT वानचैन के कार्डानो-साइड ट्रेजरी से बाहर निकल गए, जबकि मिडनाइट फाउंडेशन ने कहा कि उसका कोर नेटवर्क, वैलिडेटर और कंसेंसस सिस्टम अप्रभावित रहे।

जुलाई की एक अन्य घटना में, एक हमलावर ने लगभग $7.54 मिलियन के बिना समर्थन वाले संपत्ति भुगतान को ट्रिगर करने के लिए वेरस ब्रिज के इम्पोर्ट पाथ का उपयोग किया। ब्लॉकएड ने इस हमले को उसी ब्रिज कॉन्ट्रैक्ट और स्पष्ट बग क्लास से जोड़ा जो मई में पहले के उल्लंघन में शामिल था।

कोरियाई एक्सचेंज SAND लेनदेन को प्रतिबंधित करते हैं

अपबिट ने SAND से जुड़ी एक संभावित सुरक्षा समस्या के संकेत मिलने के बाद एक सावधानी सूचना जारी की, जिसमें चेतावनी दी गई कि यह घटना कीमतों में तेज उतार-चढ़ाव पैदा कर सकती है। बिथंब ने अलग से SAND जमा और निकासी निलंबित कर दी, जबकि उसने इस मुद्दे की समीक्षा की।

एक्सचेंज सूचनाओं का हवाला देने वाली रिपोर्टों के अनुसार, बिथंब का निलंबन 22 अगस्त को सुबह 11:11 बजे कोरिया मानक समय पर हुआ, उसके लगभग एक मिनट बाद अपबिट ने भी ऐसा किया। ट्रेडिंग प्रतिबंध और स्थानांतरण निलंबन भिन्न हो सकते हैं, इसलिए उपयोगकर्ताओं को ऑर्डर देने या SAND को स्थानांतरित करने का प्रयास करने से पहले प्रत्येक एक्सचेंज की सूचना की जांच करनी चाहिए।

तेज प्रतिक्रिया संदिग्ध नेटवर्क दोषों, असामान्य टोकन जारी करने, या सुरक्षा घटनाओं का सामना करने वाली संपत्तियों के लिए दक्षिण कोरियाई एक्सचेंज प्रक्रियाओं के अनुरूप है। जमा प्रतिबंध उस संभावना को सीमित कर सकते हैं कि समझौता किए गए नेटवर्क के माध्यम से बनाए गए टोकन किसी एक्सचेंज तक पहुंचें और अप्रभावित शेष के मुकाबले बेचे जाते हैं।

खुलासे के बाद SAND लगभग $0.05 के पास कारोबार किया, जबकि कॉइनगेको ने 24 घंटे में $66 मिलियन से अधिक का वॉल्यूम दर्ज किया। डेटा प्रदाता ने टोकन के बाजार पूंजीकरण को $136 मिलियन के पास रखा और सात दिनों में लगभग 18% की वृद्धि दिखाई, हालांकि कीमतें विभिन्न ट्रेडिंग स्थानों पर भिन्न थीं।

बेस उपयोगकर्ताओं को अलग-थलग तरलता जोखिम का सामना करना पड़ता है

अमेरिकी उपयोगकर्ताओं के लिए, सीधा संबंध बेस के माध्यम से आता है, जो अमेरिकी-सूचीबद्ध एक्सचेंज कॉइनबेस द्वारा विकसित एथेरियम लेयर-2 नेटवर्क है। उपलब्ध परियोजना और सुरक्षा खुलासों के अनुसार, रिपोर्ट की गई भेद्यता ने द सैंडबॉक्स के क्रॉस-चेन कॉन्ट्रैक्ट को प्रभावित किया जो बेस पर तैनात थे, न कि बेस के अंतर्निहित नेटवर्क को।

द सैंडबॉक्स की चेतावनी SAND के अलग-थलग बेस संस्करण को धारण या व्यापार करने वाले किसी भी व्यक्ति पर लागू होती है, जिसमें सेल्फ-कस्टडी वॉलेट के माध्यम से विकेन्द्रीकृत एक्सचेंजों तक पहुंचने वाले अमेरिकी उपयोगकर्ता भी शामिल हैं। बेस तरलता पूल में उपलब्ध टोकन में एथेरियम-देशी SAND के समान समर्थन नहीं हो सकता है, जबकि आधिकारिक ब्रिज अक्षम रहता है।

यह घटना अप्रैल के एक हमले के बाद हुई जिसमें एक और लेयरजीरो-संचालित संपत्ति शामिल थी। जैसा कि क्रिप्टो.न्यूज ने बताया, लेयरजीरो की केल्पडीएओ घटना रिपोर्ट में कहा गया है कि हमलावरों ने एकल-सत्यापक क्रॉस-चेन कॉन्फ़िगरेशन द्वारा उपयोग किए गए बुनियादी ढांचे से छेड़छाड़ करने के बाद लगभग 116,500 rsETH चुरा लिए, जिनकी कीमत $292 मिलियन थी।

केल्पडीएओ हमले के बाद, लेयरजीरो ने कहा कि उसका सत्यापन नेटवर्क वन-ऑफ-वन वैलिडेटर सेटअप का उपयोग करने वाले अनुप्रयोगों के लिए संदेशों पर हस्ताक्षर करना बंद कर देगा और परियोजनाओं को कई स्वतंत्र वैलिडेटर अपनाने के लिए प्रोत्साहित करेगा। द सैंडबॉक्स ने यह नहीं बताया है कि उसके SAND कॉन्फ़िगरेशन ने उसी मॉडल का उपयोग किया था या नवीनतम भेद्यता में लेयरजीरो का सत्यापन नेटवर्क शामिल था।

द सैंडबॉक्स, एनिमोका ब्रांड्स की एक सहायक कंपनी जिसने 2021 में $93 मिलियन जुटाए थे, ने कहा कि उसकी जांच आगे बढ़ने पर वह और जानकारी प्रकाशित करेगा। उसकी नवीनतम सूचना में बेस और बीएनबी स्मार्ट चेन लेनदेन को बहाल करने की कोई तारीख नहीं दी गई थी या यह निर्दिष्ट नहीं किया गया था कि पात्र तरलता प्रदाताओं के लिए मुआवजे के दावे कब खुलेंगे।