Lien Finance हैक: बग के कारण प्रोटोकॉल ने $542,000 गंवाए

Lien Finance पर बड़ा हैक: स्मार्ट कॉन्ट्रैक्ट की उथल-पुथल से आधा मिलियन डॉलर का नुकसान

विकेंद्रीकृत वित्त (DeFi) इकोसिस्टम को एक और गंभीर साइबर सुरक्षा घटना का सामना करना पड़ा है जिसने निवेशकों को स्पष्ट आर्थिक नुकसान पहुंचाया है। लोकप्रिय DeFi प्रोटोकॉल Lien Finance एक सावधानीपूर्वक योजनाबद्ध हैकर हमले का शिकार हुआ, जिसके परिणामस्वरूप इसके लिक्विडिटी पूल से लगभग 542,000 USDC अपरिवर्तनीय रूप से निकाल लिए गए। ब्लॉकचेन सुरक्षा विशेषज्ञों ने पुष्टि की है कि इस घटना का मुख्य कारण परियोजना के बॉन्ड टोकन एक्सचेंज तंत्र के गणितीय लॉजिक में एक गंभीर खामी थी। हमलावर कोडबेस के भीतर इस कमजोर जगह को समय पर खोजने में सफल रहा और उसने तुरंत बिना किसी गारंटी वाले काल्पनिक डिजिटल संपत्ति बनाने के लिए इस कमी का फायदा उठाया, जिससे अंततः विकेंद्रीकृत प्लेटफॉर्म के आंतरिक लिक्विडिटी रिजर्व पूरी तरह खाली हो गए।

स्वतंत्र विश्लेषकों के शुरुआती आकलन के अनुसार, दर्ज किए गए इस Lien Finance हैक ने स्वचालित मार्केट मेकर (AMM) क्षेत्र के ऑडिट सिस्टम के भीतर की कमियों को स्पष्ट रूप से उजागर किया है। स्मार्ट कॉन्ट्रैक्ट्स पर विस्तृत जांच करने के बाद, विशेषज्ञों ने खुलासा किया कि आर्किटेक्चरल कमजोरी किसी भी तीसरे पक्ष के उपयोगकर्ता को मानक सुरक्षा प्रक्रियाओं को दरकिनार करके नए डेरिवेटिव टोकन बनाने की अनुमति देती थी। इस हमले का सबसे खतरनाक पहलू यह था कि सिस्टम ने मूल ऋण टोकन को नष्ट किए बिना इन नए बने "खाली" सिक्कों को वास्तविक बाजार तरलता के साथ आसानी से बदलने की अनुमति दी। विकास टीम ऐसे परिदृश्य के लिए तैयार नहीं थी, जिससे हमलावर कई घंटों तक बिना किसी बाधा के काम करता रहा और पूलों को खाली करता रहा।

हमले की कहानी: कोड के एक बग ने हैकर को USDC चुराने में कैसे मदद की

साइबर अपराधी के कार्यों की एक विस्तृत समयरेखा तैयार करने के लिए कई अग्रणी सुरक्षा फर्मों के तकनीकी विशेषज्ञ तुरंत जांच में शामिल हुए। ब्लॉकचेन सिस्टम के विस्तृत ऑडिट में विशेषज्ञता रखने वाली कंपनी SlowMist ने एक विस्तृत रिपोर्ट प्रकाशित की है, जिसके अनुसार प्राथमिक हमला बॉन्ड के आंतरिक परिवर्तन तंत्र को लक्षित करके किया गया था। हैकर ने मुख्य BondMakerCollateralizedEth स्मार्ट कॉन्ट्रैक्ट में दर्ज एक कमजोर फंक्शन exchangeEquivalentBonds की खोज की। इस कमांड का उपयोग करके, उसने सिस्टम की टोकन नष्ट करने की मूल आवश्यकता को पूरी तरह से नजरअंदाज कर दिया और प्लेटफॉर्म के नए ऋण दायित्वों को उत्पन्न किया, जिससे उसे काल्पनिक पूंजी बनाने का एक अंतहीन चक्र शुरू करने में मदद मिली।

SlowMist विशेषज्ञों द्वारा स्मार्ट कॉन्ट्रैक्ट हमले के तकनीकी विवरण

एक विस्तृत लेनदेन विश्लेषण के दौरान, SlowMist के विशेषज्ञ इस निष्कर्ष पर पहुंचे कि यह चर्चित बग उचित सत्यापन की कमी के कारण सामने आया था। प्रोटोकॉल डेवलपर्स प्लेटफॉर्म पर एक्सचेंज ऑपरेशन्स के दौरान आने वाले बॉन्ड समूहों के सख्त सत्यापन को लागू करने में विफल रहे। परिणामस्वरूप, हैकर के वॉलेट (पता: 0x0d7d…1808a) ने कॉन्ट्रैक्ट बैलेंस से ठीक 542,144.63 USDC निकालने में सफलता हासिल की। एकल लेनदेन की मात्रा पर स्वचालित सीमाओं की अनुपस्थिति ने अपराधी को जेनरेट किए गए "फैनटम टोकन" की पूरी मात्रा को वैध स्थिर सिक्कों (stablecoins) में बदलने और अपने निशान मिटाने के लिए फंड को तीसरे पक्ष के मिक्सर में वितरित करने की अनुमति दी।

असामान्य लेनदेन का पता लगाने वाले ऑन-चेन स्वचालित निगरानी प्रणालियों की सतर्कता के बिना वित्तीय नुकसान का पैमाना काफी बड़ा हो सकता था। हालांकि, जब तक कॉन्ट्रैक्ट्स को आंशिक रूप से फ्रीज किया गया, तब तक फंड का बड़ा हिस्सा प्रोटोकॉल नियंत्रित क्षेत्र से बाहर जा चुका था, जिससे लिक्विडिटी प्रदाता कम मूल्य वाले ऋण पत्रों के साथ रह गए। SlowMist के प्रतिनिधियों ने जोर दिया कि ऐसी कमजोरियां आमतौर पर तब उत्पन्न होती हैं जब जटिल वित्तीय साधनों को टेस्टनेट वातावरण में परीक्षण किए बिना मेननेट पर तैनात किया जाता है। वर्तमान में, हैकर के पते को सभी सार्वजनिक ब्लैकलिस्ट में जोड़ दिया गया है, लेकिन संपत्ति की वापसी की संभावना बेहद कम है।

गहरी संरचनात्मक कमजोरियां और DeFi के लिए उनके विनाशकारी परिणाम

विश्लेषणात्मक एजेंसी DefimonAlerts द्वारा की गई एक स्वतंत्र जांच ने Lien Finance के आंतरिक आर्किटेक्चर के बारे में और भी चिंताजनक विवरण उजागर किए हैं। ऑन-चेन विश्लेषण ने स्पष्ट रूप से दिखाया कि सफल हैकर हमला उन गंभीर कमियों के कारण संभव हुआ जो ऋण दायित्वों के अनधिकृत पंजीकरण और अराजक मूल्य निर्धारण से सीधे जुड़ी थीं। स्मार्ट कॉन्ट्रैक्ट आर्किटेक्चर इन कार्यों को नेटवर्क प्रशासकों या विश्वसनीय ऑरेकल (oracles) से पूर्व अनुमति के बिना होने की अनुमति देता था। हमलावर ने इस आर्किटेक्चरल चूक का फायदा उठाया और विशेष दुर्भावनापूर्ण बॉन्ड बनाए, जिसमें अनधिकृत संपत्ति निकालने के लिए एक छिपा हुआ फंक्शन शामिल था।

दुर्भावनापूर्ण पूल और GeneralizedDotc का समझौता

मुख्य BondMakerCollateralizedEth कॉन्ट्रैक्ट के माध्यम से दुर्भावनापूर्ण टोकन बैच के सफल निर्माण के बाद, अपराधी ने इन ऋण पत्रों को प्लेटफॉर्म के ओवर-द-काउंटर (OTC) ट्रेडिंग पूल में स्थानांतरित कर दिया। सिस्टम ने उन्हें वैध उपकरणों के रूप में माना और वास्तविक अमेरिकी डॉलर की गारंटी के साथ काल्पनिक डेटा के स्वचालित एक्सचेंज को मंजूरी दे दी। जैसा कि DefimonAlerts के विशेषज्ञों ने उल्लेख किया है, इस चालाकी भरे हैक ने इकोसिस्टम के भीतर कई प्रमुख स्मार्ट कॉन्ट्रैक्ट्स के संचालन को तुरंत पंगु बना दिया। सबसे अधिक प्रभावित नोड्स में GeneralizedDotc कॉन्ट्रैक्ट भी शामिल था, जो विकेंद्रीकृत OTC लेनदेन निष्पादित करने के लिए जिम्मेदार है। तरलता संतुलन के बिगड़ने और मूल्य फीड के विकृत होने के कारण इस मॉड्यूल का संचालन पूरी तरह से रोक दिया गया था।

इस हमले का विनाशकारी प्रभाव न केवल Lien Finance की आंतरिक अर्थव्यवस्था पर पड़ा, बल्कि इससे जुड़े भागीदार DeFi परियोजनाओं की प्रतिष्ठा को भी गंभीर ठेस पहुंची। स्थिर टोकन एक्सचेंज प्रदान करने वाले OTC पूल अनुत्पादक ऋण दायित्वों से भर गए जिन्हें वापस नहीं बदला जा सकता है। जिन उपयोगकर्ताओं के फंड GeneralizedDotc में लॉक थे, उन्होंने अस्थायी रूप से अपने पोजीशन को प्रबंधित करने की पहुंच खो दी। परियोजना प्रबंधन को शेष सभी स्मार्ट कॉन्ट्रैक्ट्स के मैन्युअल निरीक्षण के लिए प्लेटफॉर्म को तत्काल रखरखाव (maintenance) मोड में रखने के लिए मजबूर होना पड़ा। इस घटना ने एक बार फिर स्मार्ट कॉन्ट्रैक्ट्स में असत्यापित मूल्य निर्धारण तंत्र का उपयोग करने के खतरे की पुष्टि की।

पाठकों के लिए लाभ: हैक के दौरान निवेशक अपने पैसे की रक्षा कैसे कर सकते हैं

इस घटना से मुख्य व्यावहारिक सबक यह है कि निवेशकों को नियमित रूप से अपने फंड का विविधीकरण करना चाहिए और व्यापक सुरक्षा रणनीतियों का उपयोग करना चाहिए। यदि आप कम ज्ञात DeFi प्रोटोकॉल में पूंजी रखते हैं, तो गंभीर हैक होने की खबर आपके निवेश की तत्काल समीक्षा के लिए एक संकेत के रूप में कार्य करनी चाहिए। सबसे पहले, जांचें कि क्या आपके वॉलेट ने प्रभावित Lien Finance या GeneralizedDotc कॉन्ट्रैक्ट्स के साथ इंटरैक्ट किया है। यदि आपके पास इन पतों के लिए सक्रिय अनुमोदन (allowances) हैं, तो Revoke.cash जैसी विशिष्ट सेवाओं का उपयोग करके उन्हें तुरंत रद्द करें। यह हैकर्स को आपके व्यक्तिगत वॉलेट तक पहुंचने से रोक देगा, भले ही वे प्रभावित परियोजना के कोडबेस पर पूरी तरह से नियंत्रण कर लें।

भविष्य में जोखिमों को कम करने के लिए, अपने फंड को जमा करने से पहले हमेशा किसी प्लेटफॉर्म के स्मार्ट कॉन्ट्रैक्ट ऑडिट इतिहास पर करीब से ध्यान दें। SlowMist जैसी प्रतिष्ठित कंपनियों द्वारा सत्यापन कोड में एक गंभीर बग रहने की संभावना को काफी कम कर देता है, हालांकि यह सौ प्रतिशत सुरक्षा की गारंटी नहीं देता है। निवेशकों को सलाह दी जाती है कि वे अपने कुल निवेश पोर्टफोलियो का 5-10% से अधिक हिस्सा उच्च-उपज वाले लेकिन जोखिम भरे DeFi साधनों में न लगाएं। एक अन्य उपयोगी उपकरण विशेष म्यूचुअल इंश्योरेंस प्लेटफॉर्म के माध्यम से स्मार्ट कॉन्ट्रैक्ट हमलों के खिलाफ विकेंद्रीकृत बीमा प्राप्त करना है, जो आपको अप्रत्याशित हैकर हमले की स्थिति में नुकसान की पूरी या आंशिक भरपाई करने की अनुमति देगा।