सोलाना-आधारित स्वचालित बाज़ार निर्माता (Automated Market Maker) एक्वीफर (Aquifer) को सोलाना और एथेरियम पर वॉलेट्स से जुड़े एक शोषण (exploit) में लगभग 2.5 मिलियन डॉलर का नुकसान हुआ है। प्रोटोकॉल ने हमलावर को अधिकांश धन वापस करने के लिए 20% इनाम की पेशकश की है।

ब्लॉकचेन सुरक्षा निगरानी सेवा डेफ़िमॉन (Defimon) ने 31 अगस्त को इस हमले की सूचना दी, जिसमें संदिग्ध हमलावर द्वारा नियंत्रित अलग-अलग सोलाना और एथेरियम पते की पहचान की गई। एक्वीफर ने बाद में घटना से जुड़ी कम से कम 80% संपत्तियों की वापसी के लिए एक ऑन-चेन व्हाइटहैट प्रस्ताव भेजा।

यह प्रस्ताव हमलावर को 3 सितंबर को 14:00 यूटीसी तक संपत्तियों, या उनके समतुल्य मूल्य को, एक्वीफर द्वारा प्रदान किए गए रिकवरी पते पर हस्तांतरित करने का समय देता है। यदि शर्तें पूरी होती हैं, तो वॉलेट को नियंत्रित करने वाला व्यक्ति 20% तक फंड को व्हाइटहैट इनाम के रूप में रख सकता है।

एक्वीफर ने कहा कि यदि हमलावर शर्तों का पालन करता है, तो वह लागू कानून के अधीन, शोषण से उत्पन्न होने वाले नागरिक दावों का पीछा नहीं करेगा। यह समझौता कानून प्रवर्तन एजेंसियों, नियामकों, प्रतिबंध अधिकारियों या अन्य सरकारी निकायों को बाध्य नहीं करेगा।

एक्वीफर शोषण में दो चेन पर वॉलेट शामिल हैं

एक्वीफर सोलाना पर एक मालिकाना स्वचालित बाज़ार निर्माता (AMM) के रूप में काम करता है, जहाँ इसकी लिक्विडिटी का उपयोग टोकन स्वैप को सुविधाजनक बनाने के लिए किया जाता है। डेफीलामा (DefiLlama) इस प्रोटोकॉल को एक प्रोप AMM के रूप में वर्णित करता है और वर्तमान में इसका कुल मूल्य लॉक (TVL) लगभग 2.8 मिलियन डॉलर सूचीबद्ध करता है।

शोषण के बाद पहचाने गए पते सोलाना और एथेरियम में गतिविधि दिखाते हैं। डेफ़िमॉन ने हमलावर से सोलाना पता 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J और एथेरियम पता 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 को जोड़ा।

एक्वीफर का व्हाइटहैट संदेश प्रोटोकॉल के सोलाना अपग्रेड अथॉरिटी के माध्यम से अधिकृत किया गया था और ऑन-चेन प्रकाशित किया गया था। परियोजना ने सोलाना और एथेरियम के लिए अलग-अलग रिकवरी पते प्रदान किए, जिससे हमले से जुड़ी संपत्तियों को किसी भी नेटवर्क पर वापस किया जा सके।

सार्वजनिक जानकारी ने अभी तक यह स्थापित नहीं किया है कि वॉलेट्स से समझौता कैसे किया गया था। यह समझाने के लिए कोई तकनीकी पोस्ट-मॉर्टम जारी नहीं किया गया है कि निजी कुंजियाँ, प्रशासक क्रेडेंशियल या एक्वीफर के परिचालन बुनियादी ढांचे का कोई अन्य हिस्सा उजागर हुआ था।

उपलब्ध जानकारी इसी तरह यह स्थापित नहीं करती है कि एक्वीफर के स्मार्ट कॉन्ट्रैक्ट कोड का शोषण किया गया था। एथेरियम और सोलाना के पार पतों का उपयोग जांचकर्ताओं के लिए संपत्तियों को ट्रैक करने के लिए एक निशान प्रदान करता है, लेकिन यह अपने आप में यह पहचान नहीं करता है कि प्रभावित फंड तक पहुंच कैसे प्राप्त की गई थी।

यह घटना इस साल कई सोलाना-संबंधित हमलों का अनुसरण करती है जहाँ समझौते का बिंदु अंतर्निहित ब्लॉकचेन के बाहर था।

सोलाना प्रोटोकॉल ने विभिन्न हमला विधियों का सामना किया है

जून में, crypto.news ने पहले बताया था कि रेयडियम (Raydium) से संबंधित पांच विरासत लिक्विडिटी पूल्स को लगभग 1.3 मिलियन डॉलर का नुकसान हुआ, जब एक हमलावर ने सेवानिवृत्त AMM बुनियादी ढांचे को निशाना बनाया।

ऑन-चेन अन्वेषक स्पेक्टर (Specter) ने कहा कि रेयडियम हमलावर ने एक पुराने AMM प्रोग्राम में सत्यापन जांच को बायपास करने के लिए एक नकली मिंट पते का उपयोग किया। चोरी की गई संपत्तियों में लगभग 150,177 RAY, 5,603 SOL और 893,700 USDC शामिल थे।

रेयडियम ने कहा कि उसके सक्रिय पूल्स और वर्तमान उपयोगकर्ता अप्रभावित थे क्योंकि कमजोर बुनियादी ढांचे को पहले ही हटा दिया गया था। प्रोटोकॉल ने अपने खजाने से प्रभावित संपत्तियों की प्रतिपूर्ति के लिए प्रतिबद्धता जताई।

एक्रॉस प्रोटोकॉल (Across Protocol) से जुड़ी जुलाई की एक अलग घटना में 4 मिलियन डॉलर से कम का नुकसान हुआ, जब एक हमलावर ने सोलाना जमा घटनाओं को गढ़ा। हमलावर ने 41.7 मिलियन डॉलर के संयुक्त घोषित मूल्य के साथ 1,627 नकली जमा बनाए और 18 गंतव्य चेन पर भुगतान का अनुरोध किया।

रिस्क लैब्स (Risk Labs) के रिलेयर ने सोलाना के संचालन को निलंबित करने से पहले 581 धोखाधड़ी वाले अनुरोधों को संसाधित किया, जिसमें उसने अपनी पूंजी का लगभग 4.5 मिलियन डॉलर अग्रिम किया। हमलावर से संबंधित लगभग 500,000 डॉलर फंसे रहे, जिससे शुद्ध नुकसान 4 मिलियन डॉलर से कम हो गया।

एक्रॉस ने बाद में कहा कि सोलाना हमला रिस्क लैब्स के ऑफ-चेन इवेंट-रीडिंग सॉफ्टवेयर में एक दोष के कारण हुआ था, न कि इसके स्मार्ट कॉन्ट्रैक्ट्स या सोलाना नेटवर्क में भेद्यता के कारण। वैध उपयोगकर्ता स्थानान्तरण पूरे किए गए या वापस कर दिए गए।

परिचालन सुरक्षा विफलताओं ने स्मार्ट कॉन्ट्रैक्ट लॉजिक का शोषण करने की आवश्यकता के बिना अन्य जगहों पर नुकसान पहुंचाया है।

वॉलेट तक पहुंच एक प्रमुख हमला मार्ग बन गया है

स्टेबलकॉइन भुगतान कंपनी ट्रिपल-ए (Triple-A) ने जुलाई में पुष्टि की कि उसके ट्रेजरी वॉलेट्स तक अनधिकृत पहुंच के परिणामस्वरूप कंपनी के स्वामित्व वाली डिजिटल संपत्ति की चोरी हुई। ऑन-चेन शोधकर्ताओं ने शुरू में एथेरियम, सोलाना, TRON और TON के पार संदिग्ध निकासी को ट्रैक किया, कुछ रिपोर्टों में पॉलीगॉन (Polygon) और आर्बिट्रम (Arbitrum) पर गतिविधि की पहचान की गई।

ट्रिपल-ए ने बाद में कहा कि ग्राहक निधि अप्रभावित रही क्योंकि ग्राहक संपत्तियों को समझौता किए गए ट्रेजरी बुनियादी ढांचे से अलग रखा गया था। शोधकर्ताओं ने कंपनी द्वारा उल्लंघन की पुष्टि करने से पहले नुकसान का अनुमान लगभग 11.8 मिलियन डॉलर लगाया था।

कंपनी ने यह खुलासा नहीं किया कि हमलावर ने निजी कुंजियाँ, क्रेडेंशियल या पहुंच का कोई अन्य रूप प्राप्त किया था या नहीं। ट्रिपल-ए ने कहा कि साइबर सुरक्षा विशेषज्ञ और सिंगापुर पुलिस जांच और संपत्ति ट्रेसिंग पर काम कर रहे थे।

निजी कुंजियों और वॉलेट के समझौतों ने 2026 में क्रिप्टो चोरी के एक महत्वपूर्ण हिस्से का गठन किया है। सर्टिक (CertiK) ने जुलाई में बताया कि इस साल की पहली छमाही के दौरान डिजिटल संपत्ति का नुकसान 1.32 बिलियन डॉलर तक पहुंच गया, जो 2025 की समान अवधि से 46.8% कम है।

कुल योग कम होने के बावजूद, सुरक्षा फर्म ने कहा कि दूसरी तिमाही के दौरान वॉलेट समझौते सबसे बड़ी हमला विधि बन गए, फ़िशिंग (phishing) को नुकसान के मुख्य स्रोत के रूप में बदल दिया।

एक अन्य सोलाना परियोजना, स्टेप फाइनेंस (Step Finance), ने इस साल की शुरुआत में एक हमले के बाद अंततः अपने संचालन को बंद कर दिया, जिसने इसकी कार्यकारी टीम के सदस्यों द्वारा उपयोग किए गए उपकरणों को निशाना बनाया। हमलावरों ने ट्रेजरी और शुल्क वॉलेट तक पहुंच प्राप्त की और लगभग 261,854 SOL को स्थानांतरित किया, जबकि बाद के अनुमानों ने प्रभावित संपत्तियों में कुल नुकसान लगभग 40 मिलियन डॉलर बताया।

जांचकर्ताओं ने निर्धारित किया कि स्टेप फाइनेंस के स्मार्ट कॉन्ट्रैक्ट्स प्रवेश का बिंदु नहीं थे। समझौता किए गए एंडपॉइंट्स ने हमलावरों को परियोजना द्वारा उपयोग किए गए वॉलेट तक पहुंचने की अनुमति दी, और वित्तीय क्षति ने बाद में मंच को बंद करने के निर्णय में योगदान दिया।

एक समान अंतर एक्वीफर द्वारा अपने स्वयं के उल्लंघन के बारे में अधिक विवरण प्रकाशित करने पर निर्भर करेगा। प्रोटोकॉल ने प्रारंभिक पहुंच बिंदु, इसमें शामिल विशिष्ट क्रेडेंशियल या क्या एक समझौता किए गए खाते ने कई वॉलेट पर नियंत्रण प्रदान किया था, यह पहचानते हुए कोई पोस्ट-मॉर्टम जारी नहीं किया है।

फिलहाल, एक्वीफर की रिकवरी प्रक्रिया उसके व्हाइटहैट प्रस्ताव पर केंद्रित है। हमलावर को शोषण से जुड़ी संपत्तियों का 20% तक रखने का अधिकार दिया गया है, यदि 3 सितंबर को 14:00 यूटीसी तक कम से कम 80% निर्दिष्ट रिकवरी पते पर वापस कर दिया जाता है।