लेयर 1 नेटवर्क ज़ेटाचेन ने कहा कि 24 अप्रैल के एक्सप्लॉइट ने अपनी क्रॉस-चेन मैसेजिंग पाइपलाइन में एक खामी को निशाना बनाया था।

सोमवार को, ज़ेटाचेन पर GatewayEVM कॉन्ट्रैक्ट पर हमला हुआ, जो बाहरी नेटवर्क और ज़ेटाचेन ऐप्स के बीच क्रॉस-चेन इंटरैक्शन के लिए एक एकीकृत प्रवेश बिंदु के रूप में कार्य करता है।

मंगलवार को प्रकाशित एक पोस्टमार्टम रिपोर्ट में, ज़ेटाचेन ने दोहराया कि हमले से किसी भी उपयोगकर्ता का फंड नहीं खोया, जबकि केवल तीन आंतरिक टीम वॉलेट प्रभावित हुए। कुल नुकसान $333,868 का हुआ, जिसमें मुख्य रूप से USDC और USDT शामिल थे, जो चार चेन — एथेरियम, आर्बिट्रम, बेस और बीएससी — पर नौ लेनदेन में हुए।

रिपोर्ट में बताया गया कि हमलावर ने क्रॉस-चेन मैसेजिंग सिस्टम में तीन मुद्दों को मिलाकर इंटरऑपरेबिलिटी-केंद्रित चेन का फायदा उठाया।

ज़ेटाचेन के क्रॉस-चेन सिस्टम ने किसी को भी न्यूनतम प्रतिबंधों के साथ "आर्बिटरेरी कॉल्स" का अनुरोध करने की अनुमति दी, जबकि प्राप्त करने वाले GatewayEVM कॉन्ट्रैक्ट ने अधिकांश कमांड, जिसमें "transferFrom" भी शामिल था, को स्वीकार किया।

अंत में, जिन उपयोगकर्ताओं ने पहले "GatewayEVM.deposit()" के माध्यम से टोकन जमा किए थे, उन्होंने टोकन खर्च करने के लिए असीमित अप्रूवल दिए थे, जिन्हें कभी रद्द नहीं किया गया था। ज़ेटाचेन ने बताया कि हमलावर ने इस खामी का फायदा उठाकर वॉलेट से टोकन निकाले।

अत्यधिक सुनियोजित हमला

"यह एक अवसरवादी हमला नहीं था," टीम ने कहा। "हमलावर ने इसे अंजाम देने से पहले तैयारी में काफी समय और संसाधन लगाए थे।"

ज़ेटाचेन ने बताया कि हमलावर के वॉलेट में हमले से लगभग तीन दिन पहले टॉरनेडो कैश के माध्यम से फंड डाला गया था ताकि जानबूझकर फंड के स्रोत को छिपाया जा सके।

इसके अतिरिक्त, हमलावर ने एक वैनिटी एड्रेस पर ब्रूट-फोर्स हमला किया जो पीड़ित के वॉलेट की नकल कर रहा था, यह एक क्लासिक एड्रेस पॉइजनिंग तकनीक है जिसका उपयोग दुर्भावनापूर्ण ऑन-चेन गतिविधि को और अधिक अस्पष्ट करने के लिए किया गया होगा।

एक्सप्लॉइट के बाद, हमलावर ने चोरी किए गए USDC और USDT को तुरंत ETH में बदल दिया।

ज़ेटाचेन ने कहा कि उसने तब से मेननेट पर खामी को खत्म करने के लिए एक पैच तैनात किया है। इसकी क्रॉस-चेन लेनदेन कार्यक्षमता, जिसे एक्सप्लॉइट के तुरंत बाद रोक दिया गया था, अभी भी बंद है और अपग्रेड तथा अतिरिक्त समीक्षाएं पूरी होने के बाद फिर से सक्षम की जाएगी।

"एहतियाती उपाय के तौर पर, हम सभी उपयोगकर्ताओं को सलाह देते हैं जिन्होंने पहले ज़ेटाचेन गेटवे कॉन्ट्रैक्ट्स के साथ इंटरैक्ट किया है, वे ऊपर सूचीबद्ध गेटवे एड्रेस को दिए गए किसी भी बकाया ERC-20 टोकन अप्रूवल को रद्द कर दें," ज़ेटाचेन ने कहा।

ज़ेटाचेन पर यह हमला LayerZero-संचालित क्रॉस-चेन ब्रिज केल्प डीएओ (Kelp DAO) के शोषण के बाद हुआ है, जिसने प्रोटोकॉल से $292 मिलियन निकाल लिए हैं। डेफीलामा (DefiLlama) के डेटा से पता चलता है कि पिछले 10 दिनों में कम से कम 11 एक्सप्लॉइट हुए हैं जो डेफी प्रोटोकॉल में कमजोरियों को निशाना बना रहे हैं।