Term Labs ने 23 अगस्त को पुष्टि की कि एक गवर्नेंस एक्सप्लॉइट ने उसके लेंडिंग वॉल्ट्स को प्रभावित किया था। ब्लॉकचेन सुरक्षा फर्मों ने अनुमान लगाया कि हमलावर ने लगभग 8.5 मिलियन डॉलर की क्रिप्टोकरेंसी निकाली थी।

प्रोटोकॉल ने कहा कि वह जांच कर रहा है और उसके बाद अतिरिक्त जानकारी जारी करेगा। इसने नुकसान के अनुमान की पुष्टि नहीं की है, प्रभावित वॉल्ट्स की पहचान नहीं की है और न ही यह बताया है कि हमलावर ने गवर्नेंस नियंत्रण कैसे प्राप्त किया।

Term Labs अपने वॉल्ट गवर्नेंस एक्सप्लॉइट की पुष्टि करता है

Term ने कहा, “हमें Term वॉल्ट्स को प्रभावित करने वाले एक गवर्नेंस एक्सप्लॉइट के बारे में जानकारी है।” “एक बार और जांच होने के बाद हम अधिक विवरण साझा करेंगे।”

बयान में यह नहीं बताया गया कि Term Labs ने जमा, निकासी या गवर्नेंस कार्यों को रोका था या नहीं। इसने उन किसी भी कॉन्ट्रैक्ट की पहचान भी नहीं की जिनकी उपयोगकर्ताओं को अनदेखी करनी चाहिए। जब यह रिपोर्ट तैयार की गई थी तब तक कोई रिकवरी प्रस्ताव, पुनर्भुगतान प्रतिबद्धता या पोस्टमार्टम की समय सीमा घोषित नहीं की गई थी।

Term Labs एक विकेन्द्रीकृत लेंडिंग प्रणाली संचालित करता है जो निश्चित-दर उधार और ऋण पर आधारित है। इसके रणनीति वॉल्ट्स प्रोग्राम्ड कॉन्ट्रैक्ट्स के माध्यम से जमा किए गए फंड्स को आवंटित करते हैं। प्रोटोकॉल ने यह नहीं बताया है कि क्या हर वॉल्ट उजागर हुआ था या क्या घटना ने केवल विशिष्ट डिप्लॉयमेंट को प्रभावित किया था।

सुरक्षा फर्मों ने नुकसान का अनुमान 8.5 मिलियन डॉलर लगाया

CertiK ने घटना को एक गवर्नेंस अटैक के रूप में वर्गीकृत किया और नुकसान का अनुमान लगभग 8.5 मिलियन डॉलर लगाया। यह राशि Term Labs द्वारा पुष्टि की गई संख्या के बजाय एक बाहरी अनुमान बनी हुई है।

PeckShield ने बताया कि एक्सप्लॉइटर ने लगभग 2,843 ETH, जिसका मूल्य उस समय लगभग 6.87 मिलियन डॉलर था, साथ ही 1.68 मिलियन USDC निकाला। उसकी ट्रैसिंग के अनुसार, हमलावर ने बाद में USDC को लगभग 1.68 मिलियन DAI में बदल दिया।

ये राशियां CertiK के अनुमान का व्यापक रूप से समर्थन करती हैं। हालांकि, संपत्ति की कीमतों, लेनदेन शुल्क और बाद के हस्तांतरण के साथ मूल्यांकन बदल सकते हैं। एक पूर्ण लेखांकन के लिए Term Labs को प्रत्येक प्रभावित वॉल्ट की पहचान करने और संबंधित लेनदेन का मिलान करने की आवश्यकता होगी।

ये निष्कर्ष प्रोटोकॉल-नियंत्रित फंड्स पर हुए अन्य हालिया हमलों के समान भी हैं। संबंधित कवरेज में, Summer.fi वॉल्ट एक्सप्लॉइट ने कथित तौर पर लगभग 6 मिलियन डॉलर निकाले। उस मामले में अलग-अलग कॉन्ट्रैक्ट शामिल थे और यह स्थापित नहीं करता कि Term Labs की घटना कैसे हुई।

गवर्नेंस तंत्र अपुष्ट बना हुआ है

Term Labs ने इस घटना को एक गवर्नेंस एक्सप्लॉइट के रूप में वर्णित किया है, लेकिन न तो प्रोटोकॉल और न ही उल्लिखित सुरक्षा फर्मों ने पूरी लेनदेन-स्तर की व्याख्या प्रकाशित की है। यह अभी भी स्पष्ट नहीं है कि हमलावर ने मतदान शक्ति जमा की, मौजूदा अनुमति का दुरुपयोग किया या प्रस्ताव प्रक्रिया में कमजोरी का फायदा उठाया।

गवर्नेंस हमले एक इकाई को प्रोटोकॉल संपत्ति को स्थानांतरित करने के लिए अधिकृत मतदान या प्रशासनिक कार्यों का उपयोग करने की अनुमति दे सकते हैं। जैसा कि crypto.news ने BonkDAO गवर्नेंस हमले के बाद पहले समझाया था, कमजोर कोरम नियम, केंद्रित मतदान शक्ति और अनुपस्थित निष्पादन देरी नियंत्रित फंड्स को उजागर कर सकते हैं। ये जोखिम सामान्य उदाहरण हैं, Term Labs के मामले में पुष्टि किए गए कारण नहीं।

PeckShield ने यह भी बताया कि हमलावर के पते को शुरू में Tornado Cash से 2 ETH प्राप्त हुए थे। यह स्थानांतरण वॉलेट के पहले के फंडिंग स्रोत को अस्पष्ट करता है, लेकिन यह हमलावर की पहचान नहीं करता या यह साबित नहीं करता कि पते को किसने नियंत्रित किया था।

इसलिए, Tornado Cash कनेक्शन को ऑन-चेन फंडिंग ट्रेल के रूप में माना जाना चाहिए, न कि एक एट्रिब्यूशन फाइंडिंग के रूप में। जांचकर्ताओं को पते को किसी व्यक्ति या संगठन से जोड़ने के लिए एक्सचेंज रिकॉर्ड, वॉलेट क्लस्टरिंग या अन्य सबूतों की आवश्यकता होगी।

Term Labs पर अभी भी उपयोगकर्ताओं को रिकवरी टाइमलाइन देना बाकी है

अगले सत्यापित अपडेट को यह स्थापित करना चाहिए कि कौन से वॉल्ट और कॉन्ट्रैक्ट प्रभावित हुए थे। उपयोगकर्ताओं को इस बात की पुष्टि की भी आवश्यकता है कि क्या जमा, निकासी, गवर्नेंस वोटिंग और रणनीति निष्पादन सक्रिय रहते हैं।

एक तकनीकी रिपोर्ट सामान्य रूप से दुर्भावनापूर्ण लेनदेन, नियंत्रण पथ और विफल सुरक्षा उपायों का दस्तावेजीकरण करेगी। Term Labs ने यह घोषणा नहीं की है कि वह उस सामग्री को कब प्रकाशित करेगा। इसने यह भी खुलासा नहीं किया है कि क्या उसने हमलावर, कानून प्रवर्तन, स्टेबलकॉइन जारीकर्ताओं या केंद्रीकृत एक्सचेंजों से संपर्क किया था।

किसी भी पुनर्भुगतान योजना के लिए एक पुष्टि की गई कुल हानि और वसूली योग्य संपत्तियों का स्पष्ट आकलन आवश्यक होगा। जैसा कि crypto.news ने एक और DeFi उल्लंघन के बाद रिपोर्ट किया था, Resupply रिकवरी योजना ने ट्रेजरी भुगतान, बीमा फंड और गवर्नेंस अनुमोदन का उपयोग किया। Term Labs ने एक तुलनीय प्रक्रिया का प्रस्ताव नहीं किया है।

जब तक जांच पूरी नहीं हो जाती, 8.5 मिलियन डॉलर का आंकड़ा और रिपोर्ट किए गए संपत्ति शेष सुरक्षा-अनुसंधान अनुमान बने रहेंगे। प्रोटोकॉल का एकमात्र पुष्टि किया गया खुलासा यह है कि एक गवर्नेंस एक्सप्लॉइट ने Term वॉल्ट्स को प्रभावित किया।