ब्लॉकचेन परिसंपत्ति प्रबंधन प्रोटोकॉल स्वान ट्रेजरी को अनुमानित $625,000 का नुकसान हुआ है, जब हमलावरों ने लीक हुई ऑफ-चेन हस्ताक्षरकर्ता कुंजी का फायदा उठाकर STY टोकन को भारी छूट पर खरीदा और फिर उन्हें लाभ के लिए बेच दिया।

ब्लॉकचेन सुरक्षा फर्म Defimon Alerts के अनुसार, यह शोषण BNB चेन पर हुआ, जब प्रोटोकॉल की ऑफ-चेन हस्ताक्षरकर्ता कुंजी, जिसे ZhaiquanBuy कॉन्ट्रैक्ट में _signer पते के रूप में हार्डकोड किया गया था, से समझौता किया गया।

हमलावर ने लीक हुई कुंजी का उपयोग अपने वॉलेट के लिए वैध हस्ताक्षर उत्पन्न करने के लिए किया, जिससे उन्हें प्रोटोकॉल के इच्छित खरीद प्रतिबंधों को बायपास करने की अनुमति मिली।

स्वान ट्रेजरी शोषण लीक हुई हस्ताक्षरकर्ता कुंजी पर निर्भर था

Defimon Alerts ने बताया कि हमलावर ने buy() फ़ंक्शन में हेरफेर किया, जो एक हस्ताक्षरित छूट मूल्य के आधार पर उपयोगकर्ता को प्राप्त होने वाली STY की मात्रा की गणना करता है। छूट पैरामीटर को एक पर सेट करके एक वैध हस्ताक्षर उत्पन्न करके, हमलावर ने STY को उसकी इच्छित कीमत के लगभग सौवें हिस्से पर खरीदा।

लगभग 19,700 USDT मूल्य के पैनकेकस्वैप फ्लैश लोन का उपयोग करके, हमलावर ने छूट वाली खरीद तंत्र के माध्यम से लगभग 687,000 STY टोकन प्राप्त किए।

सुरक्षा फर्म ने कहा कि शोषण यहीं नहीं रुका। प्रोटोकॉल के क्लेम() और ट्रांसफर() फ़ंक्शंस के लिए संबंधित कॉन्ट्रैक्ट्स पर भी वैध हस्ताक्षर जाली किए गए, जिससे हमलावर को STY/USDT तरलता पूल में टोकन बेचने से पहले STY तक अतिरिक्त पहुंच मिली।

पोज़िशन को समाप्त करने के बाद, हमलावर ने Defimon Alerts के अनुसार लगभग 625,000 USDT का लाभ कमाया।

घटना के समय STY लगभग $2.87 पर कारोबार कर रहा था, फर्म के अलर्ट में बताया गया।

लेनदेन विश्लेषण समझौताशुदा निजी कुंजी की ओर इशारा करता है

अपने तकनीकी मूल्यांकन में, Defimon Alerts ने कहा कि शोषण के दौरान देखी गई प्रत्येक ecrecover ऑपरेशन हमलावर-नियंत्रित खाते के बजाय प्रोटोकॉल के हार्डकोडेड हस्ताक्षरकर्ता पते पर समाप्त हुई।

फर्म ने कहा कि यह व्यवहार दर्शाता है कि निजी हस्ताक्षरकर्ता कुंजी स्वयं समझौता कर ली गई थी, बजाय इसके कि प्रोटोकॉल में इसके हस्ताक्षर सत्यापन तर्क में कोई खामी हो। चूंकि उत्पन्न हस्ताक्षर अपेक्षित हस्ताक्षरकर्ता से बिल्कुल मेल खाते थे, इसलिए लेनदेन प्रभावित स्मार्ट कॉन्ट्रैक्ट्स के लिए वैध प्रतीत हुए।

यह खोज शोषण के संभावित कारण को प्रोटोकॉल के हस्ताक्षर क्रेडेंशियल्स तक अनधिकृत पहुंच तक सीमित करती है, न कि क्रिप्टोग्राफिक सत्यापन प्रक्रिया में त्रुटि तक।

प्रकाशन के समय, स्वान ट्रेजरी ने सार्वजनिक रूप से यह नहीं बताया था कि हस्ताक्षरकर्ता कुंजी कैसे उजागर हुई या क्या अतिरिक्त शमन उपाय लागू किए गए थे।

निजी कुंजी में सेंधमारी से क्रिप्टो में नुकसान जारी है

यह घटना क्रिप्टो हमलों की एक श्रृंखला में जुड़ गई है जिसमें स्मार्ट कॉन्ट्रैक्ट बग के बजाय समझौताशुदा विशेषाधिकार प्राप्त कुंजियों ने हमलावरों को प्रोटोकॉल फंड तक पहुंचने की अनुमति दी।

जून 2025 में, ब्लॉकचेन सुरक्षा कंपनी Hacken ने खुलासा किया कि मिंटिंग विशेषाधिकारों वाले एक कॉन्ट्रैक्ट से जुड़ी एक समझौताशुदा निजी कुंजी ने एक हमलावर को एथेरियम और BNB चेन पर 900 मिलियन HAI टोकन बनाने में सक्षम बनाया।

Hacken ने कहा कि कुंजी तब उजागर हुई जब कंपनी अपने ब्लॉकचेन ब्रिज इंफ्रास्ट्रक्चर में आर्किटेक्चरल बदलाव कर रही थी, जिससे हमलावर ने प्रभावित मिंटिंग खाते को रद्द करने और ब्रिज ऑपरेशंस को रोकने से पहले लगभग $250,000 का एहसास किया।

अलग-अलग शोध ने भी निजी कुंजी के उजागर होने को उद्योग के सबसे लगातार सुरक्षा जोखिमों में से एक के रूप में पहचानना जारी रखा है। क्रिप्टो.न्यूज़ द्वारा उद्धृत एक हैकन रिपोर्ट में पहले पाया गया था कि एक्सेस कंट्रोल विफलताओं, जिसमें निजी कुंजी लीक भी शामिल है, ने 2024 के दौरान दर्ज किए गए क्रिप्टो हैक नुकसान का 78% हिस्सा बनाया।

हाल ही में, ज़िलिका ने अपने मूल लेजर एप्लिकेशन में एक खामी का खुलासा किया जो हमलावरों को सार्वजनिक लेनदेन हस्ताक्षरों से निजी कुंजी को पुनर्प्राप्त करने की अनुमति दे सकता था। नेटवर्क ने देशी ZIL लेनदेन को निलंबित कर दिया, यह निर्धारित करने के बाद कि नॉनस जनरेशन में एक कमजोरी ने पर्याप्त हस्ताक्षर एकत्र होने के बाद प्रभावित कुंजियों को फिर से बनाना संभव बना दिया था।

ज़िलिका ने कहा कि यह मुद्दा लेजर हार्डवेयर के बजाय उसके अपने लेजर एप्लिकेशन से उत्पन्न हुआ था और प्रभावित उपयोगकर्ताओं को तुरंत धन स्थानांतरित करने के बजाय रिकवरी मार्गदर्शन की प्रतीक्षा करने का निर्देश दिया।

सुरक्षा शोधकर्ता कुंजी के उजागर होने के बारे में चेतावनी देना जारी रखे हुए हैं

शैक्षणिक शोधकर्ताओं और क्रिप्टो उद्योग के खिलाड़ियों ने भी इसी तरह चेतावनी दी है कि पारंपरिक स्मार्ट कॉन्ट्रैक्ट शोषण के बाहर भी निजी कुंजी सुरक्षा कमजोर बनी हुई है।

कैलिफोर्निया विश्वविद्यालय के शोधकर्ताओं ने इस साल की शुरुआत में बताया कि कुछ थर्ड-पार्टी AI रूटिंग सेवाएं संवेदनशील क्रेडेंशियल्स, जिसमें क्रिप्टोकरेंसी निजी कुंजी और सीड वाक्यांश शामिल हैं, तक पहुंच बनाने में सक्षम थीं, क्योंकि वे उपयोगकर्ता अनुरोधों को प्लेनटेक्स्ट में संसाधित करती हैं।

नियंत्रित परीक्षण के दौरान, शोधकर्ताओं ने कई रूटिंग सेवाओं से दुर्भावनापूर्ण व्यवहार देखा और प्रदर्शित किया कि एक मध्यस्थ ने अपनी निजी कुंजी प्राप्त करने के बाद एक परीक्षण वॉलेट से ईथर को सफलतापूर्वक निकाल लिया।

हालांकि विश्वविद्यालय का अध्ययन स्वान ट्रेजरी घटना से संबंधित नहीं था, शोधकर्ताओं ने निष्कर्ष निकाला कि डेवलपर्स को निजी कुंजी या सीड वाक्यांशों को मध्यस्थ प्रणालियों के सामने उजागर करने से बचना चाहिए और इसके बजाय क्रेडेंशियल चोरी के जोखिमों को कम करने के लिए मजबूत क्रिप्टोग्राफिक सुरक्षा पर निर्भर रहना चाहिए।