ह्यूमैनिटी प्रोटोकॉल ने खुलासा किया है कि हमलावरों द्वारा कई प्रशासनिक कुंजियों (administrative keys) से समझौता करने और एथेरियम (Ethereum) तथा बीएनबी स्मार्ट चेन (BNB Smart Chain) पर ब्रिज इंफ्रास्ट्रक्चर (bridge infrastructure) का नियंत्रण जब्त करने के बाद 36 मिलियन डॉलर से अधिक मूल्य के H टोकन चोरी हो गए हैं।
ह्यूमैनिटी प्रोटोकॉल के 9 जून के घटना अपडेट के अनुसार, यह हमला एक कर्मचारी के लैपटॉप से समझौता होने के बाद शुरू हुआ, जिससे हमलावर को परियोजना के ब्रिज प्रशासन प्रणालियों से जुड़े प्रमुख धारकों (key holders) तक पहुंच मिल गई।
यह खुलासा ह्यूमैनिटी के संस्थापक और सीईओ टेरेंस कोक (Terence Kwok) के एक पिछले बयान पर आधारित है, जिन्होंने पुष्टि की थी कि ह्यूमैनिटी फाउंडेशन के एक सदस्य से संबंधित निजी कुंजियों (private keys) से समझौता किया गया था।
उस समय, परियोजना ने उपयोगकर्ताओं को ह्यूमैनिटी ब्रिज और संबंधित लिक्विडिटी पूल (liquidity pools) से बचने की चेतावनी दी थी, जबकि एक जांच चल रही थी।
ह्यूमैनिटी प्रोटोकॉल द्वारा जारी किए गए विवरण से पता चलता है कि एथेरियम पर हाइपरलेन ब्रिज प्रॉक्सीएडमिन (Hyperlane bridge ProxyAdmin) को नियंत्रित करने वाली छह गनोसिस सेफ (Gnosis Safe) मालिक कुंजियों में से तीन से समझौता किया गया था। उन क्रेडेंशियल्स (credentials) का उपयोग करते हुए, हमलावर ने प्रॉक्सीएडमिन कॉन्ट्रैक्ट का स्वामित्व अपने नियंत्रण वाले एक वॉलेट में स्थानांतरित कर दिया, ब्रिज कॉन्ट्रैक्ट को एक दुर्भावनापूर्ण कार्यान्वयन (malicious implementation) में अपग्रेड किया, और एक ही लेनदेन (transaction) में लगभग 141.2 मिलियन H टोकन स्थानांतरित कर दिए।
बीएनबी स्मार्ट चेन पर, हमलावर ने पांच सेफ (Safe) मालिक कुंजियों में से तीन से समझौता किया और ब्रिज के प्रॉक्सीएडमिन कॉन्ट्रैक्ट पर इसी तरह का अधिग्रहण किया। ह्यूमैनिटी प्रोटोकॉल ने कहा कि हमलावर ने तब एक दुर्भावनापूर्ण कॉन्ट्रैक्ट (malicious contract) तैनात किया जिसमें एक असीमित मिंट फ़ंक्शन (unlimited mint function) था और दो अलग-अलग लेनदेन में 200,000,005 H टोकन बनाए।
इससे पहले 9 जून को, ऑन-चेन विश्लेषक स्पेक्ट्रे (Specter) ने बताया कि ह्यूमैनिटी प्रोटोकॉल से जुड़े या उसके साथ इंटरैक्ट करने वाले 17 से अधिक वॉलेट खाली कर दिए गए थे। शुरुआती अनुमानों में नुकसान लगभग 19 मिलियन डॉलर था, इससे पहले कि बाद के ब्लॉकचेन ट्रैकर्स ने इस आंकड़े को 30 मिलियन डॉलर से ऊपर बढ़ा दिया।
स्पेक्ट्रे द्वारा उद्धृत ब्लॉकचेन निगरानी डेटा से पता चला है कि हमलावर ने चोरी किए गए टोकन का एक हिस्सा बेचा और आय का एक हिस्सा एथेरियम (Ethereum) में परिवर्तित कर दिया। विश्लेषक के टेलीग्राम अपडेट के अनुसार, लगभग 23.7 मिलियन डॉलर ETH में बदल दिए गए थे, जबकि लगभग 7.9 मिलियन डॉलर H टोकन में ही रहे।
ब्लॉकएड (Blockaid) से अलग निगरानी ने सुझाव दिया था कि हमलावर ने बीएनबी स्मार्ट चेन पर प्रॉक्सी एडमिनिस्ट्रेटर अधिकार (proxy administrator rights) प्राप्त किए और 100 मिलियन H टोकन बनाए। ह्यूमैनिटी प्रोटोकॉल ने उस समय इस दावे की पुष्टि नहीं की थी, हालांकि नवीनतम घटना रिपोर्ट अब पुष्टि करती है कि हमलावर ने प्रशासनिक नियंत्रण प्राप्त किया और नेटवर्क पर अतिरिक्त H टोकन बनाए।
अपने नवीनतम बयान में, ह्यूमैनिटी प्रोटोकॉल ने कहा कि प्रभावित ब्रिजों के माध्यम से जमा और निकासी (deposits and withdrawals) रोक दी गई है, जबकि प्रतिक्रिया के प्रयास जारी हैं।
परियोजना ने कहा कि वह आगे के नुकसान को कम करने के लिए एक्सचेंजों और अन्य पक्षों के साथ समन्वय कर रही है। एक आंतरिक जांच के साथ-साथ, ह्यूमैनिटी प्रोटोकॉल ने कहा कि वह इस सेंध की जांच करने और कुछ चोरी हुए धन को वसूल करने के प्रयास में पुलिस अधिकारियों के साथ भी काम कर रहा है।
“हम जानते हैं कि शब्द इसे ठीक नहीं कर सकते, लेकिन हम सामने आएंगे, आपको जानकारी देते रहेंगे, और वह काम करेंगे जिससे हमने आपका जो विश्वास अर्जित किया है उसे वापस पाया जा सके। हम कहीं नहीं जा रहे हैं और अभी भी निर्माण कार्य जारी रखे हुए हैं।”
नवीनतम तकनीकी विवरण प्रकाशित होने से पहले, कोक (Kwok) ने कहा था कि टीम सुरक्षा विशेषज्ञों और एक्सचेंज भागीदारों के साथ काम कर रही थी। उस चरण में कोई प्रतिपूर्ति योजना (reimbursement plan) या रिकवरी ढांचा (recovery framework) घोषित नहीं किया गया था।
इस शोषण (exploit) पर बाजार की प्रतिक्रिया गंभीर थी, जिसके बाद प्रोटोकॉल का मूल टोकन 90% से अधिक गिर गया।
स्रोत: crypto.news
ह्यूमैनिटी प्रोटोकॉल एक zkEVM-आधारित पहचान नेटवर्क (identity network) संचालित करता है जो उपयोगकर्ताओं को केंद्रीय पहचान डेटाबेस (centralized identity databases) में उनकी व्यक्तिगत जानकारी संग्रहीत किए बिना सत्यापित करने के लिए जीरो-नॉलेज प्रूफ (zero-knowledge proofs) और पाम बायोमेट्रिक्स (palm biometrics) का उपयोग करता है।
टीम ने कहा कि जांच आगे बढ़ने के बाद एक पूरी पोस्ट-मॉर्टम रिपोर्ट (post-mortem report) जारी की जाएगी।
