DeFi प्रोजेक्ट Abracadabra को एक नए एक्सप्लॉइट का सामना करना पड़ा है, जिससे इसके प्लेटफॉर्म से लगभग $1.7 मिलियन की निकासी हो गई।
ब्लॉकचेन सुरक्षा फर्म Go Security ने 4 अक्टूबर को इस उल्लंघन की सूचना दी और पुष्टि की कि हमलावरों ने पहले ही Tornado Cash के माध्यम से लगभग 51 ETH को लॉन्डर कर लिया था। रिपोर्टिंग के समय, हमलावर का वॉलेट (0x1AaaDe के रूप में पहचाना गया) अभी भी लगभग 344 ETH रखता था, जिसकी कीमत लगभग $1.55 मिलियन थी।
Abracadabra का तीसरी बार शोषण कैसे हुआ
सुरक्षा शोधकर्ता Weilin Li ने इस एक्सप्लॉइट की पुष्टि की और बताया कि हमलावर ने Abracadabra के स्मार्ट कॉन्ट्रैक्ट वेरिएबल्स को इस तरह से बदल दिया कि वे सॉल्वेंसी चेक को बायपास कर सकें।
इससे उन्हें निर्धारित सीमा से अधिक एसेट्स उधार लेने की अनुमति मिल गई, जिससे Abracadabra की टीम ने आगे के नुकसान को रोकने के लिए सभी कॉन्ट्रैक्ट्स को रोक दिया।
एक अन्य ब्लॉकचेन ऑडिट फर्म, Phalcon ने प्लेटफॉर्म के कुक फंक्शन में एक दोषपूर्ण लॉजिक सीक्वेंस को इस समस्या की जड़ बताया। यह एक मैकेनिज्म है जो उपयोगकर्ताओं को एक ट्रांजेक्शन में कई पूर्वनिर्धारित क्रियाएं करने की अनुमति देता है।
फर्म के अनुसार, हमलावर ने दो ऑपरेशन्स किए जो मुख्य सुरक्षा उपायों को ओवरराइड कर गए।
पहला, जिसे एक्शन 5 के रूप में जाना जाता है, एक उधार प्रक्रिया शुरू की जो सॉल्वेंसी चेक्स को पास करने वाली थी। दूसरा, जिसे एक्शन 0 कहा जाता है, एक खाली अपडेट फंक्शन के रूप में कार्य करता है जिसने चेक फ्लैग को फिर से लिखा और अंतिम सत्यापन चरण को छोड़ दिया।
हमलावर ने इस पैटर्न को छह अलग-अलग पतों पर दोहराकर 1.79 मिलियन MIM टोकन से अधिक की निकासी की।
प्रेस समय तक, Abracadabra ने इस घटना पर सार्वजनिक रूप से कोई टिप्पणी नहीं की है। विशेष रूप से, प्रोजेक्ट का आधिकारिक X अकाउंट सितंबर की शुरुआत से चुप है।
हालांकि, Go Security ने रिपोर्ट किया कि Abracadabra टीम ने Discord पर पुष्टि की कि वे प्रभावित MIM सप्लाई को फिर से खरीदने के लिए DAO रिजर्व फंड्स का उपयोग करेंगे।
इस बीच, यदि सत्यापित किया जाता है, तो यह नवीनतम घटना दो वर्षों से कम समय में Abracadabra के खिलाफ तीसरे एक्सप्लॉइट को चिह्नित करेगी।
जनवरी 2024 में, प्लेटफॉर्म ने एक हैक में $6.49 मिलियन खो दिए थे, जिसने MIM stablecoin को US डॉलर से अस्थायी रूप से अलग कर दिया था। मार्च 2025 में दूसरे एक्सप्लॉइट ने इसके कौल्ड्रन कॉन्ट्रैक्ट्स से $13 मिलियन की और निकासी की, जिसके बाद टीम ने हैकर को 20% इनाम की पेशकश की।
ऐसे उल्लंघनों की पुनरावृत्ति DeFi प्रोटोकॉल की सुरक्षा और इसके क्रॉस-चेन लेंडिंग आर्किटेक्चर की स्थिरता के बारे में नए सवाल उठाती है।
