ऐसा प्रतीत होता है कि एक हमलावर ने एक ही मिनट में दो अलग-अलग क्रिप्टो प्रोजेक्ट्स को हैक कर लिया, जिसमें उसने Fetch.ai कन्वर्टर से 8.72 मिलियन FET निकाल लिए और Nunet पर लगभग 408.5 मिलियन NTX मिंट किए। इस हमले से कुल मिलाकर लगभग 2.01 मिलियन डॉलर का नुकसान हुआ, लेकिन सबसे अजीब आंकड़ा NTX हमले के अंदर छिपा हुआ था। नए बनाए गए सिक्के टोकन की आपूर्ति का लगभग 42% थे। FET की कीमत गिर गई। NTX का बाजार प्रभावी रूप से पटरी से उतर गया।
एक हमलावर ने दो क्रिप्टो प्रोजेक्ट्स को निशाना बनाया और 2 मिलियन डॉलर लेकर फरार हो गया।
लेखक
शेयर
मुख्य बातें
- एक समझौता की गई साइनिंग कुंजी द्वारा इसके कन्वर्टर को खोलने के बाद Fetch.ai को 8.72 मिलियन FET का नुकसान हुआ।
- 408.5 मिलियन नए टोकन, जो आपूर्ति का लगभग 42% था, मिंट किए जाने के बाद NTX को भारी झटका लगा।
- फेच.एआई ने दोनों हमलों को एक ही समय-सीमा से जोड़ा, लेकिन कुंजियाँ कैसे लीक हुईं, यह अभी भी अज्ञात है।
एक हमलावर, दो क्रिप्टो प्रोजेक्ट और 2 मिलियन डॉलर गायब
शनिवार देर रात से रविवार तक, सही क्रिप्टोग्राफिक कुंजियों के मालिक किसी व्यक्ति ने लगभग एक ही समय में दो क्रिप्टो प्रोजेक्ट्स को निशाना बनाया, जिससे जो अलग-अलग लगने वाले हमले हो सकते थे, वे मिलकर एक बहुत ही अजीब 2 मिलियन डॉलर की चोरी बन गए। Fetch.ai की ओर से, 8,721,530 FET, जिसका मूल्य लगभग $1.55 मिलियन था, एक टोकन कन्वर्टर से गायब हो गए। दूसरी ओर, हमलावर ने केवल पहले से कहीं रखी हुई सिक्कों को चुराया ही नहीं।
उन्होंने लगभग 408.5 मिलियन नए NTX बनाए, जिनका उस समय मूल्य लगभग $452,000 से $463,000 था। यह मिंट NTX की आपूर्ति का लगभग 42% था। Peckshield, Blockaid और Fetch.ai ने अंततः इस गतिविधि को उसी वॉलेट क्लस्टर से जोड़ा।
एक हस्ताक्षर ने FET वॉल्ट खोला
ताज़ा FET चोरी किसी के द्वारा एक चतुर गणितीय खामी खोजने और एक स्मार्ट कॉन्ट्रैक्ट को हैक करने का मामला नहीं था। Fetch.ai के TokenConversionManagerV3 कॉन्ट्रैक्ट ने अपने conversionIn() फ़ंक्शन के माध्यम से एक वैध conversion-authorizer सिग्नेचर स्वीकार किया। समस्या यह थी कि यह हस्ताक्षर मूल रूप से द्वारपाल था। conversionOut() के विपरीत, इस फ़ंक्शन ने checkLimits(amount) मॉडिफ़ायर को नहीं चलाया, और न ही इसने ऑन-चेन सत्यापन किया कि संबंधित टोकन कहीं और लॉक या बर्न किए गए थे।
एक बार साइनिंग की (signing key) समझौता हो जाने के बाद, हमलावर अपना खुद का पता दर्शाता एक नया वैध संदेश बना सकता था। एक लेनदेन के बाद, कन्वर्टर का शेष FET भंडार गायब हो गया। Fetch.ai की प्रारंभिक समीक्षा ने समझौता किए गए क्रेडेंशियल का पता SingularityNET के क्रॉस-चेन ब्रिज द्वारा उपयोग की जाने वाली एक बैकएंड साइनिंग कुंजी से लगाया। एक अलग NTX मिंटिंग कुंजी भी समझौता कर ली गई थी, और Fetch.ai का कहना है कि दोनों हमले के रास्ते एक ही मिनट में शुरू हुए थे।
यहीं पर कहानी और भी अजीब हो जाती है। यह सिर्फ दो प्रोजेक्ट्स का एक साथ खराब सप्ताहांत नहीं था। ऐसा लगता है कि एक ही ऑपरेटर ने जुड़े हुए इंफ्रास्ट्रक्चर में लेनदेन को अधिकृत करने में सक्षम क्रेडेंशियल प्राप्त किए, और फिर उनका लगभग एक साथ इस्तेमाल किया।
408.5 मिलियन टोकन हवा में से प्रकट हुए
NTX पक्ष टोकन के लिए काफी अधिक विनाशकारी था। एक सीमित वॉलेट को खाली करने के बजाय, हमलावर को नए कॉइन बनाने की क्षमता मिल गई। लगभग 408.5 मिलियन NTX अचानक समीकरण में आ गए, जो आपूर्ति के लगभग 42% के बराबर है।
दूसरे शब्दों में, आपूर्ति में पहले से मौजूद हर 10 NTX के लिए, हमलावर ने अचानक लगभग चार और के बराबर बना लिया था।
यह कम कारोबार वाले टोकन के लिए एक गंभीर समस्या है। घटना से पहले NTX का विनिमय दर $0.0013 के करीब थी। बाज़ार के आंकड़ों से पता चला कि इसकी कीमत 70% से अधिक गिरकर $0.000328 के निचले स्तर को छू गई, जबकि बाद के फीड्स ने तरलता में गिरावट के साथ और भी कम कीमतें दिखाईं। कुछ ट्रैकरों ने 96% से 99% तक की गिरावट दर्ज की, हालांकि बाज़ार बहुत पतला होने के कारण विभिन्न प्लेटफार्मों पर सटीक कीमतों में काफी भिन्नता थी।
FET को एक बहुत अलग झटका लगा। इसकी परिसंचारी आपूर्ति अचानक नहीं बढ़ी क्योंकि हमलावर ने एक कनवर्टर से मौजूदा इन्वेंट्री चुरा ली थी। FET कई फीड्स पर लगभग 5% से 8% तक गिर गया, जो दर्दनाक था लेकिन NTX के पतन के आस-पास भी नहीं था।
लूट जल्दी ही ETH बन गई
हमलावर ने चोरी की गई संपत्ति को यूँ ही नहीं छोड़ दिया। पेकशील्ड ने वॉलेट क्लस्टर को 546.36 ETH में स्वैप करते हुए ट्रैक किया, जिसका उस समय मूल्य लगभग $1.44 मिलियन था। Fetch.ai के बाद के स्नैपशॉट में एक वॉलेट में अभी भी लगभग 230 मिलियन NTX के साथ लगभग 547.89 ETH दिखाया गया था।
उस बचे हुए NTX का महत्व इसलिए है क्योंकि Fetch.ai द्वारा अपना प्रारंभिक विश्लेषण प्रकाशित किए जाने के समय, जाहिर तौर पर नई-नई जारी की गई आपूर्ति का एक बड़ा हिस्सा बेचा नहीं गया था। इसलिए, बाजार को न केवल पहले से ही बेचे गए कॉइनों से, बल्कि सैकड़ों मिलियन और कॉइनों से भी निपटना पड़ा, जो संभवतः कमजोर ऑर्डर बुक्स पर लटके हुए थे।
Fetch.ai ने कहा कि ट्रेजरी फंड, एक्सचेंज वॉलेट, और उपयोगकर्ता के स्वामित्व में या एक्सचेंजों पर रखे गए कॉइन प्रभावित नहीं हुए। टीम ने प्रभावित वॉलेट और कॉन्ट्रैक्ट को निष्क्रिय करने के लिए SingularityNET के साथ काम करना शुरू कर दिया, साथ ही उपयोगकर्ताओं को चेतावनी दी कि वे अनचाहे संदेशों को अनदेखा करें और आधिकारिक चैनलों पर भरोसा करें।
अनसुलझा सवाल यह है कि कीज़ (keys) कैसे बच निकलीं
जांचकर्ताओं ने हमले की कार्यप्रणाली को इसकी उत्पत्ति की तुलना में कहीं बेहतर ढंग से समझाया है। SlowMist ने विस्तार से बताया कि FET कनवर्टर ने समझौता किए गए हस्ताक्षर को कैसे स्वीकार किया, जबकि Fetch.ai ने SingularityNET ब्रिज साइनर और इसमें शामिल NTX मिंटिंग कुंजी की पहचान की। जिसे किसी ने भी सार्वजनिक रूप से स्थापित नहीं किया है, वह यह है कि उन क्रेडेंशियल्स का समझौता सबसे पहले कैसे हुआ।
इस बारे में अभी तक कोई पुष्ट सार्वजनिक जवाब नहीं है कि फिशिंग, सर्वर में सेंधमारी, लीक हुए बैकअप या किसी अन्य कारण से कुंजी हमलावर के हाथ लगी। इसके अलावा, अभी भी करोड़ों की संख्या में नए बनाए गए NTX का हिसाब देना बाकी है, साथ ही यह सवाल भी है कि क्या एक्सचेंज लेबल किए गए फंड को फ्रीज कर सकते हैं या अतिरिक्त आपूर्ति को किसी तरह निष्प्रभावी किया जा सकता है।
ब्लॉकचेन ने ठीक वैसा ही किया जैसा मान्य हस्ताक्षरों ने उसे करने के लिए कहा। यह पूरे प्रकरण का सबसे अजीब हिस्सा हो सकता है। FET मुड़ गया। NTX टूट गया।
यह लेख AI का उपयोग करके अंग्रेज़ी से अनुवादित किया गया था। मूल अंग्रेज़ी संस्करण आधिकारिक स्रोत है; स्वचालित अनुवादों में अशुद्धियाँ हो सकती हैं, विशेष रूप से कानूनी और नियामक शब्दावली में।
