चेनफ्लिप ने छह अनधिकृत भुगतान के माध्यम से 736,442.17 USDT खो दिए हैं, जब एक हमलावर ने TRON लेनदेन मेमो को संभालने में इसकी खामी का फायदा उठाया।
चेनफ्लिप ने 13 सितंबर के एक घटना अपडेट में कहा कि हमला 12 सितंबर की सुबह उसके TRON USDT एकीकरण को लक्षित कर रहा था। क्रॉस-चेन प्रोटोकॉल ने परिचालन रोक दिया जबकि उसके डेवलपर्स ने लेनदेन की जांच की और एक समाधान तैयार किया।
115,654.41 USDT मूल्य का एक वैध उपयोगकर्ता स्वैप अभी भी अनपेड है। चेनफ्लिप ने कहा कि फंड अभी भी उसके वॉल्ट में हैं और नेटवर्क के पुनः शुरू होने के बाद जारी किए जा सकते हैं। प्रोटोकॉल ने बताया कि कोई अन्य फंड प्रभावित नहीं हुआ।
नुकसान का आंकड़ा और हमले का क्रम चेनफ्लिप के वर्तमान निष्कर्षों का प्रतिनिधित्व करते हैं। 13 सितंबर तक पूरी रिपोर्ट की पुष्टि करने वाला कोई स्वतंत्र सुरक्षा मूल्यांकन प्रकाशित नहीं हुआ था।
चेनफ्लिप TRON हस्तांतरण से जुड़े स्वैप निर्देशों को पढ़ने के लिए लेनदेन मेमो का उपयोग करता है। अधिकांश अन्य समर्थित ब्लॉकचेन पर, प्रोटोकॉल समर्पित अनुबंध कार्यों के माध्यम से निर्देश प्राप्त करता है।
घटना रिपोर्ट के अनुसार, हमलावर ने एक ऐसे लेनदेन में एक नया मेमो संलग्न करने का एक तरीका ढूंढ लिया था जिसे चेनफ्लिप वैलिडेटर ने पहले ही साइन कर दिया था। चेनफ्लिप के सिस्टम ने जोड़े गए मेमो को एक अलग स्वैप निर्देश के रूप में व्याख्या किया। जब नया निर्देश विफल होता प्रतीत हुआ, तो प्रोटोकॉल ने वापसी जारी की।
मूल जमा ने पहले ही एक भुगतान उत्पन्न कर दिया था। इसलिए, बदले हुए मेमो को संसाधित करने से चेनफ्लिप को उसी जमा के खिलाफ दूसरी बार भुगतान करना पड़ा।
चेनफ्लिप ने इस खामी को TRON लेनदेन मेमो के अपने स्वयं के प्रसंस्करण के लिए जिम्मेदार ठहराया। प्रोटोकॉल ने TRON ब्लॉकचेन, USDT स्मार्ट अनुबंध या टेदर की रिजर्व प्रणाली के किसी भी उल्लंघन की रिपोर्ट नहीं की।
हमलावर ने लगभग 90 मिनट की अवधि के दौरान इस विधि को आठ बार दोहराया। चेनफ्लिप ने कहा कि शुरुआती प्रयासों में छोटी मात्रा का उपयोग किया गया था। प्रत्येक बाद का प्रयास पिछले वाले से लगभग दोगुना था।
केवल छह प्रयासों से कुल 736,442.17 USDT के अनधिकृत भुगतान हुए। प्रोटोकॉल ने अपनी प्रारंभिक रिपोर्ट में व्यक्तिगत लेनदेन हैश, गंतव्य वॉलेट पते या छह भुगतानों का विवरण प्रकाशित नहीं किया।
चेनफ्लिप ने घटना का पता तब लगाया जब बाद के USDT भुगतान विफल होने लगे। डेवलपर्स ने तब विफलताओं को बदले हुए मेमो के माध्यम से जमा के बार-बार प्रसंस्करण के लिए पता लगाया।
प्रोटोकॉल ने नेटवर्क गतिविधि को निलंबित कर दिया क्योंकि उसने जांच की कि क्या कमजोरी अन्य संपत्तियों या एकीकरणों को प्रभावित कर सकती है। इसकी प्रारंभिक समीक्षा में पाया गया कि यह भेद्यता TRON USDT तक सीमित थी और शेष वॉल्ट फंड सुरक्षित थे।
चेनफ्लिप ने इस घटना को प्रोटोकॉल वॉल्ट से निकाले गए धन से जुड़ी अपनी पहली महत्वपूर्ण सुरक्षा घटना के रूप में वर्णित किया है। परियोजना के अनुसार, पहले की परिचालन समस्याओं ने उन वॉल्ट से तुलनीय नुकसान नहीं पहुंचाया था।
नेटवर्क के रुकने से स्वैप पूरे होने से रुक गए हैं, जबकि डेवलपर्स पुनः आरंभ करने की तैयारी कर रहे हैं। चेनफ्लिप ने उन उपयोगकर्ताओं के लिए एक अलग नुकसान की रिपोर्ट नहीं की है जिनके लेनदेन शटडाउन से बाधित हुए थे।
डेवलपर्स द्वारा सुरक्षा विफलताओं को अलग करने के लिए अन्य ब्लॉकचेन सेवाओं द्वारा आपातकालीन निलंबन का उपयोग किया गया है। संबंधित कवरेज में, crypto.news ने बताया कि लिक्विड नेटवर्क ने एक आपातकालीन अपडेट के बाद ब्लॉक उत्पादन फिर से शुरू कर दिया, जबकि रिपोर्ट किए गए $320 मिलियन के निकासी के बाद हस्तांतरण और पेग परिचालन प्रतिबंधित रहे।
चेनफ्लिप ने दोनों घटनाओं के बीच कोई संबंध नहीं बताया है। लिक्विड नेटवर्क रिपोर्ट एक अलग बिटकॉइन साइडचेन और एक अलग तकनीकी प्रणाली से संबंधित है।
चेनफ्लिप ने कहा कि प्रभावित उपयोगकर्ताओं को पूरी तरह से मुआवजा दिया जाएगा, हालांकि प्रोटोकॉल ने 13 सितंबर तक अपनी प्रतिपूर्ति विधि का चयन या प्रकाशित नहीं किया था। टीम ने कहा कि कई विकल्प समीक्षा के अधीन थे। 115,654.41 USDT का अनपेड लेनदेन छह अनधिकृत भुगतान में शामिल नहीं है। इसके फंड वॉल्ट में बने हुए हैं, और चेनफ्लिप को परिचालन फिर से शुरू होने के बाद स्वैप को संसाधित करने की उम्मीद है।
इस बीच, प्रोटोकॉल ने चोरी हुए फंड के बारे में संबंधित पक्षों को सूचित किया है ताकि वे पतों और सेवाओं के बीच स्थानांतरित होने पर आय को ट्रैक या पुनः प्राप्त कर सकें। चेनफ्लिप ने पक्षों का नाम नहीं बताया, यह खुलासा नहीं किया कि हमलावर ने केंद्रीकृत एक्सचेंजों का उपयोग किया था या पुष्टि नहीं की कि कोई USDT फ्रीज किया गया था।
टेदर अपने टोकन रखने वाले पतों को फ्रीज कर सकता है जब वह लागू कानूनी या प्रवर्तन प्रक्रियाओं के तहत कार्य कर रहा हो। जैसा कि crypto.news ने एक अलग कवरेज में रिपोर्ट किया था, टेदर ने एक असंबंधित न्याय विभाग की कार्रवाई के दौरान अमेरिकी अधिकारियों को $52 मिलियन से अधिक की क्रिप्टोकरेंसी को जब्त करने में मदद की थी।
प्रकाशन के समय तक चेनफ्लिप हमले के संबंध में टेदर या TRON का कोई सार्वजनिक बयान नहीं मिला था। चेनफ्लिप के नोटिस में यह नहीं कहा गया था कि कोई भी संगठन फंड का पता लगाने में मदद कर रहा था।
प्रोटोकॉल सुरक्षित रूप से फिर से शुरू होने के बाद उपयोगकर्ता के नुकसान को कवर करना शुरू करने की योजना बना रहा है। इसके प्रारंभिक बयान में भुगतान की तारीख निर्धारित नहीं की गई थी या यह नहीं बताया गया था कि मुआवजा खजाने की संपत्ति, बीमा या किसी अन्य स्रोत से आएगा।
चेनफ्लिप ने कहा कि अंतर्निहित फिक्स पूरा हो गया था, लेकिन डेवलपर्स को अभी भी सटीक पुनः आरंभ प्रक्रिया तय करनी थी। नेटवर्क "सोमवार तक सबसे जल्दी" रुका रहेगा, जिससे 14 सितंबर एक निश्चित लॉन्च समय के बजाय सबसे शुरुआती संभावित बहाली की तारीख बन जाएगी।
फिर से खोलने से पहले, टीम आगे की प्रसंस्करण समस्याओं से बचने के लिए डिज़ाइन की गई एक तकनीकी पुनः आरंभ योजना को अंतिम रूप देने की योजना बना रही है। चेनफ्लिप ने यह खुलासा नहीं किया है कि क्या वैलिडेटर को नए सॉफ्टवेयर, एक समन्वित अपग्रेड या एक शासन वोट की आवश्यकता होगी।
एक बार जब सिस्टम फिर से शुरू हो जाता है, तो प्रोटोकॉल को लंबित 115,654.41 USDT स्वैप को संसाधित करने और उन उपयोगकर्ताओं के लिए मुआवजे को संभालना शुरू करने की उम्मीद है जिनके फंड हमलावर को भुगतान किए गए थे।
चेनफ्लिप ने कहा कि एक बार पुनः आरंभ योजना को अंतिम रूप देने और नेटवर्क के सुरक्षित रूप से संचालित होने के बाद एक पूर्ण तकनीकी रिपोर्ट जारी की जाएगी। प्रोटोकॉल ने उस रिपोर्ट के लिए प्रकाशन की समय सीमा की घोषणा नहीं की है।
USDT