एक हमलावर ने StrongBlock की परित्यक्त ऑन-चेन गवर्नेंस प्रणाली पर एक दुर्भावनापूर्ण प्रस्ताव के माध्यम से नियंत्रण हासिल करने के बाद लगभग $72,000 मूल्य के STRONG और STRNGR टोकन निकाल लिए हैं।
ब्लॉकचेन सुरक्षा फर्म Defimon Alerts के अनुसार, हमलावर ने StrongBlock के गवर्नेंस में पर्याप्त मतदान शक्ति हासिल कर ली थी ताकि एक प्रस्ताव पारित किया जा सके जिसने अंततः फंड निकाले जाने से पहले प्रोटोकॉल के गवर्नर कॉन्ट्रैक्ट का प्रशासनिक नियंत्रण हस्तांतरित कर दिया।
StrongBlock के स्मार्ट कॉन्ट्रैक्ट्स में किसी कमी का फायदा उठाने के बजाय, हमलावर ने विशेषाधिकार प्राप्त पहुंच हासिल करने के लिए प्रोटोकॉल की अपनी गवर्नेंस प्रक्रिया का उपयोग किया। प्रशासक अधिकार प्राप्त करने के बाद, हमलावर ने गवर्नर प्रॉक्सी को एक नए कार्यान्वयन में अपग्रेड किया जिसने गवर्नर के अधिकार का उपयोग करके मनमानी कॉन्ट्रैक्ट कॉल की अनुमति दी।
यह घटना हालिया क्रिप्टो सुरक्षा घटनाओं की श्रृंखला में शामिल हो गई है जिन्होंने स्मार्ट कॉन्ट्रैक्ट बग्स पर पूरी तरह निर्भर रहने के बजाय विभिन्न हमले के रास्तों के माध्यम से गवर्नेंस प्रणालियों, सहायक इंफ्रास्ट्रक्चर और वॉलेट सॉफ्टवेयर को निशाना बनाया है।
हमले से पहले, हमलावर ने प्रोटोकॉल के STRONG गवर्नेंस टोकन का अधिकांश हिस्सा जमा कर लिया था, जिसे Defimon Alerts ने परियोजना के परित्यक्त होने के बाद लगभग बेकार हो चुका बताया था।
पर्याप्त मतदान शक्ति रखते हुए, हमलावर ने एक गवर्नेंस प्रस्ताव प्रस्तुत किया जिसमें गवर्नर के अपग्रेडर कॉन्ट्रैक्ट को setPendingAdmin(attacker) निष्पादित करने का निर्देश दिया गया, जिससे हमलावर का पता लंबित प्रशासक बन गया।
गवर्नेंस को बायपास करने के बजाय, प्रस्ताव प्रत्येक आवश्यक चरण से गुजरा। इसे पर्याप्त वोट मिले, यह कतार में दर्ज हुआ, और प्रोटोकॉल की सामान्य गवर्नेंस प्रक्रिया के अनुसार निष्पादित किया गया, अंततः गवर्नर प्रॉक्सी का प्रशासनिक नियंत्रण हमलावर को हस्तांतरित कर दिया गया।
प्रशासनिक विशेषाधिकारों ने तब हमलावर को गवर्नर कार्यान्वयन को एक न्यूनतम, असत्यापित कॉन्ट्रैक्ट से बदलने की अनुमति दी जिसमें एक forward(address, bytes) फ़ंक्शन शामिल था।
Defimon Alerts के अनुसार, यह फ़ंक्शन हमलावर के एक्सटर्नली ओन्ड अकाउंट (externally owned account) तक सीमित था और प्रभावी रूप से एक मनमानी-कॉल तंत्र (arbitrary-call mechanism) के रूप में कार्य करता था, जिससे हमलावर को StrongBlock के कॉन्ट्रैक्ट्स में गवर्नर के अधिकार के साथ लेनदेन निष्पादित करने की अनुमति मिली।
टोकन हस्तांतरण निम्नलिखित लेनदेन में हुआ।
अपग्रेड किए गए कार्यान्वयन का उपयोग करते हुए, हमलावर ने प्रोटोकॉल के कॉन्ट्रैक्ट लॉजिक में किसी त्रुटि का फायदा उठाने के बजाय प्रोटोकॉल के पूल से संपत्तियों को हस्तांतरित करने वाले लेनदेन को निष्पादित किया।
Defimon Alerts ने बताया कि हमलावर ने 32,695 STRONG टोकन के साथ 383,447 STRNGR हटा दिए, जिससे चोरी हुई संपत्तियों का अनुमानित मूल्य लगभग $72,000 हो गया।
सुरक्षा फर्म ने इस घटना को गवर्नेंस पर कब्जा बताया क्योंकि प्रशासक परिवर्तन और कॉन्ट्रैक्ट अपग्रेड सहित प्रत्येक महत्वपूर्ण कार्रवाई, सॉफ्टवेयर भेद्यता के बजाय गवर्नेंस अनुमतियों के माध्यम से हुई।
फंड को स्थानांतरित करने से पहले गवर्नर कार्यान्वयन को बदलकर, हमलावर ने गवर्नेंस कॉन्ट्रैक्ट को ही हस्तांतरण को अधिकृत करने के लिए उपयोग किए जाने वाले तंत्र में बदल दिया।
हालिया सुरक्षा घटनाओं ने दर्शाया है कि हमलावर तेजी से क्रिप्टो इंफ्रास्ट्रक्चर के विभिन्न हिस्सों को निशाना बना रहे हैं।
पिछले महीने के अंत में, विकेन्द्रीकृत परपेचुअल प्रोटोकॉल Ostium ने निष्कर्ष निकाला कि हमलावरों ने इसके स्मार्ट कॉन्ट्रैक्ट्स में कमजोरियों का फायदा उठाने के बजाय इसके ऑफ-चेन इंफ्रास्ट्रक्चर तक अनाधिकृत पहुंच प्राप्त करने के बाद 23.75 मिलियन USDC चुरा लिए।
Ostium के पोस्टमॉर्टम के अनुसार, विश्वसनीय इंफ्रास्ट्रक्चर के माध्यम से प्रस्तुत किए गए धोखाधड़ी वाले BTC-USD मूल्य रिपोर्ट ने हमलावर को कृत्रिम ट्रेडिंग लाभ उत्पन्न करने की अनुमति दी, जिसे प्रोटोकॉल के सार्वजनिक OLP लिक्विडिटी वॉल्ट के खिलाफ निपटाया गया था। ब्लॉकचेन सुरक्षा फर्म Blockaid के पहले के विश्लेषण ने भी इसी तरह निष्कर्ष निकाला कि कॉन्ट्रैक्ट कोड में खामियों के बजाय, हेरफेर किए गए ऑरेकल रिपोर्टों ने इस एक्सप्लॉइट को संभव बनाया।
अलग से, Coldcard वॉलेट की घटना मार्च 2021 के सॉफ्टवेयर अपडेट के दौरान पेश की गई एक फर्मवेयर समस्या से उत्पन्न हुई थी। Coinkite और Block की बिटकॉइन इंजीनियरिंग और सुरक्षा टीमों ने निष्कर्ष निकाला कि प्रभावित फर्मवेयर ने इच्छित हार्डवेयर रैंडम-नंबर जनरेटर के बजाय एक नियतात्मक स्यूडो-रैंडम जनरेटर का उपयोग करके वॉलेट सीड्स (wallet seeds) उत्पन्न किए, जिससे निजी कुंजियों (private keys) को बनाने के लिए उपयोग की जाने वाली एंट्रॉपी कम हो गई।
Galaxy Research ने तीन हमले की लहरों से जुड़े लगभग 7,300 पतों पर कुल 1,596 BTC की चोरियों की पुष्टि की है। शोध फर्म ने एक संदिग्ध चौथी समन्वित लहर की भी पहचान की है जिसमें अन्य 448.7 BTC शामिल हैं, हालांकि उसने अभी तक उन पतों को अपनी पुष्टि की गई कुल संख्या में शामिल नहीं किया है क्योंकि अतिरिक्त पीड़ित पुष्टि लंबित है।
Coldcard घटना ने डेवलपर्स को बिटकॉइन के सॉफ्टवेयर इकोसिस्टम के एक बड़े हिस्से की समीक्षा करने के लिए प्रेरित किया है।
इस सप्ताह की शुरुआत में, बिटकॉइन डेवलपर Calle ने कहा कि स्वयंसेवी बिटकॉइन रेड टीम ने 390 बिटकॉइन-संबंधित रिपॉजिटरी में AI-सहायता प्राप्त और मैनुअल समीक्षाएं पूरी की थीं, जिसमें 4,962 संभावित सुरक्षा समस्याओं की पहचान की गई थी, जिनमें 720 को उच्च या गंभीर गंभीरता के रूप में वर्गीकृत किया गया था।
Calle के अनुसार, रिपोर्ट किए गए निष्कर्षों में से लगभग 21.4% को प्रभावित डेवलपर्स को निजी तौर पर खुलासा करने से पहले मैनुअल सत्यापन के माध्यम से पहले ही पुन: प्रस्तुत किया जा चुका है।
समीक्षा अभियान में बिटकॉइन वॉलेट, क्रिप्टोग्राफिक लाइब्रेरी, इंफ्रास्ट्रक्चर सॉफ्टवेयर और अन्य ओपन-सोर्स परियोजनाएं शामिल हैं। Calle ने कहा कि OpenSats कंप्यूटिंग लागतों में प्रतिदिन लगभग $10,000 का वित्तपोषण कर रहा है, जबकि Kimi Moonshot ने इस प्रयास का समर्थन करने के लिए AI अकाउंट्स और अपने Kimi K3 मॉडल तक पहुंच प्रदान की है।
Ostium एक्सप्लॉइट या Coldcard वॉलेट की घटना के विपरीत, StrongBlock हमला कंप्रोमाइज्ड इंफ्रास्ट्रक्चर, ऑरेकल हेरफेर, या क्रिप्टोग्राफिक कमजोरियों पर निर्भर नहीं था।
इसके बजाय, हमलावर ने प्रोटोकॉल के अपने प्रशासक कॉन्ट्रैक्ट को संशोधित करने से पहले सबसे पहले गवर्नेंस का नियंत्रण प्राप्त किया।
Defimon Alerts के अनुसार, गवर्नर प्रॉक्सी को एक ऐसे कार्यान्वयन में अपग्रेड करना जिसमें प्रतिबंधित forward(address, bytes) फ़ंक्शन शामिल था, ने हमलावर के वॉलेट को गवर्नर कॉन्ट्रैक्ट के माध्यम से मनमानी कॉल निष्पादित करने का विशेष अधिकार दिया।
चोरी की गई संपत्तियों को तब उन अनुमतियों का उपयोग करके हस्तांतरित किया गया था जो गवर्नेंस प्रस्ताव पूरा होने के बाद प्रोटोकॉल ने स्वयं दी थीं, यह दर्शाता है कि कैसे परित्यक्त गवर्नेंस प्रणालियाँ विकास गतिविधि काफी हद तक बंद होने के बाद भी प्रोटोकॉल कॉन्ट्रैक्ट्स पर प्रशासनिक नियंत्रण का प्रयोग जारी रख सकती हैं।
