Carbontec ने 1inch Router के रेस्क्यू फंक्शन में $520,000 का एक्सप्लॉइट पथ खोजा।

1inch राउटर में डिज़ाइन की चूक ने गलती से भेजी गई राशि की निकासी को अनुमति दी

ब्लॉकचेन सुरक्षा फर्म कार्बनटेक ने 1inch के एग्रीगेशन राउटर v6 स्मार्ट अनुबंध में एक महत्वपूर्ण डिज़ाइन भेद्यता का खुलासा किया है, जो एक प्रमुख डेफी प्रोटोकोल है जो लाखों उपयोगकर्ताओं के लिए टोकन स्वैप की सुविधा प्रदान करता है। समस्या क्या है? कोई भी व्यक्ति अनुबंध को गलती से भेजे गए टोकन्स निकाल सकता था, न कि केवल मालिक।

एक्सक्लूसिव शेयर के अनुसार Bitcoin.com न्यूज के साथ, 4.2 WBTC (लगभग $445K) सहित $520,000 से अधिक मूल्य के क्रिप्टो को बिना संबंध के व्यक्तियों द्वारा राउटर संस्करण 4, 5, और 6 में स्थानांतरित कर दिया गया था। यह खामी सार्वजनिक रूप से सुलभ कॉलबैक कार्यों और राउटर की लॉजिक से उत्पन्न होती है जो उपयोगकर्ता-परिभाषित स्वैप पूल को स्वीकार करती है। यह नियमित प्रोटोकोल उपयोग के मुखौटे के तहत प्रभावी रूप से धन निकासी को धोने वाले नकली लेनदेन की अनुमति देते हैं।

1inch द्वारा लॉक या केवल पुनः प्राप्त किए जाने के बजाय, गलती से भेजे गए टोकन्स टेक्निकल ज्ञान रखने वाले किसी भी व्यक्ति के लिए उपलब्ध हो गए। यह कोई कोडिंग बग नहीं है, बल्कि एक गैस-बचत डिज़ाइन विकल्प है जिसने उपयोगकर्ता व्यवहार को कम आंका और अस्पष्टता के माध्यम से अनुबंध सुरक्षा को अधिक आँका।

मिरोस्लाव बारिल, कार्बनटेक के CTO, ने कंपनी की जांच से कुछ विचार साझा किए।

यह सिर्फ 1inch का मुद्दा नहीं है; यह एक प्रणालीगत अंधा स्थल है जो अन्य डेफी प्रोटोकॉल्स में भी मौजूद हो सकता है। यह धारणा कि गलती से भेजे गए टोकन्स या तो अप्राप्य हैं या केवल अनुबंध मालिकों द्वारा पुनः प्राप्त किए जा सकते हैं, सुरक्षा और सुरक्षा की झूठी भावना पैदा करती है। वास्तविक दुनिया के जोखिम अक्सर केवल कोड में बग से नहीं बल्कि डिज़ाइन पैटर्न से भी उत्पन्न होते हैं। संरचनात्मक प्रोटोकोल डिज़ाइन के महत्वपूर्ण पहलुओं को सुरक्षा और दुरुपयोग रोकथाम के साथ संतुलित करने की आवश्यकता है।

कार्बनटेक की शोध से पता चलता है कि यह मुद्दा केवल 1inch को ही नहीं, बल्कि किसी भी डेफी प्रोटोकोल को प्रभावित कर सकता है जो बाहरी अनुबंध इनपुट को स्वीकार करता है या आंतरिक स्वैप कॉलबैक को उजागर करता है। हजारों की संख्या में उपयोगकर्ता फंड्स चुपचाप हटा दिए गए हैं, यह जांच डेफी प्रोटोकॉल्स द्वारा त्रुटियों को कैसे संभाला जाता है और वास्तव में किसके पास उपयोगकर्ता फंड्स तक पहुँच है, इस बारे में अहम सवाल उठाती है।