MetaMask ने यह साफ किया है कि उसने वह ऑन-चेन मैसेज नहीं भेजा था, जो हाल ही में $15 मिलियन की honeypot exploit में लूटे गए Ethereum MEV ऑपरेटर Jaredfromsubway का मजाक उड़ाता हुआ वायरल हुआ था।
Wallet प्रोवाइडर ने बताया कि यह मैसेज उनके किसी आधिकारिक पते से नहीं, बल्कि एक जैसे दिखने वाले Ethereum Name Service (ENS) नाम से भेजा गया था। इस गड़बड़ी ने ENS नामों के डिस्प्ले सिस्टम में एक डिज़ाइन खामी को उजागर किया, जो ज्यादातर प्लेटफॉर्म्स पर है।
MetaMask नाम कन्फ्यूजन के पीछे ENS Impersonation
ज्यादातर प्लेटफॉर्म ENS हैंडल्स को डिस्प्ले से पहले lowercase में बदल देते हैं। इस वजह से एक अहम फर्क छुप जाता है। “MetaMask.eth” (कैपिटल लेटर्स में) और असली “metamask.eth” ज्यादातर यूज़र्स को बिल्कुल एक जैसे दिखते हैं। लेकिन, ऑन-चेन ये दोनों नाम बिल्कुल अलग एड्रेस पर रेजॉल्व होते हैं।
फर्जी नाम ने Jaredfromsubway की लीगल धमकी को नकारते हुए कहा कि कोर्ट में इसका केस नहीं टिक सकेगा। MetaMask ने X पर कन्फर्म किया कि इस मैसेज से उसका कोई लेना-देना नहीं है।
Jaredfromsubway Exploit के बाद MetaMask ने अपनी स्थिति स्पष्ट की
Jaredfromsubway ने हमलावर को 50% white hat डील, 48 घंटे की डेडलाइन के साथ ऑफर की थी। अगर फंड वापस नहीं मिले, तो Jared ने कानूनी कार्रवाई की धमकी दी थी। Ethereum MEV बॉट ड्रेन की इस स्टोरी ने DeFi कम्युनिटी में काफी ध्यान खींचा। इसी वजह से फर्जीवाड़ा करने वालों के लिए यह घटना एक हाई-वैल्यू टारगेट बन गई।
अभी तक हमलावर ने डील को स्वीकार नहीं किया है। ऑन-चेन डेटा के मुताबिक, चुराए गए $7.5 मिलियन में से $5.1 मिलियन Tornado Cash में ट्रांसफर कर दिए गए हैं। ये फंड्स 2,000 ETH के रूप में गए, 20 बार में 100 ETH की हर ट्रांजैक्शन के हिसाब से। बाकी बचे 1,422 ETH को हमलावर ने $2.44 मिलियन DAI में स्वैप किया, इसकी जानकारी एक ब्लॉकचेन analyst ने दी है।
इस MEV बॉट honeypot exploit ने MEV ऑपरेटर्स के लिए एक प्रतिस्पर्धी माहौल में खतरों पर नए सवाल खड़े किए हैं। हालांकि, MetaMask फर्जीवाड़ा एक अलग चिंता दिखाता है, जो MEV मैकेनिक्स से जुड़ा नहीं है। यह एक नामकरण प्रणाली की कमज़ोरी को दर्शाता है, जो किसी भी Ethereum यूज़र के साथ हो सकती है।
ENS डिज़ाइन गैप ने Ethereum यूज़र्स को एक्सपोज़ किया
ENS नाम एक सामान्यीकरण स्टैंडर्ड फॉलो करते हैं, जिसमें सभी अपरकेस अक्षरों को लोअरकेस में बदल दिया जाता है। यह प्रोसेस नामों को डिस्प्ले लेवल पर केस-इन्सेंसिटिव बनाता है, लेकिन रजिस्ट्रेशन के दौरान अलग-अलग केस कॉम्बिनेशन की अलग पहचान रहती है। इसलिए, अगर कोई बुरा एक्टर “MetaMask.eth” रजिस्टर करता है, तो उसका ENS नाम टेक्निकली वैलिड रहता है और उस पर टेक्निकली वैलिड दावा भी बनता है।
ENS ऐसे नामों की रजिस्ट्रेशन को ब्लॉक नहीं करता, जो सिर्फ कैपिटलाइज़ेशन में पहले से मौजूद नामों से अलग हों। खतरनाक एक्टर्स पहले से मिलते-जुलते नाम रजिस्टर कर सकते हैं और उन्हें हाई-प्रोफाइल समय पर एक्टिवेट कर सकते हैं। जून क्रिप्टो हैक वेव जैसे बड़े इवेंट्स के दौरान ऐसी सोशल-इंजीनियरिंग पैटर्न पहले से सामने आ चुकी हैं।
DeFi सिक्योरिटी में एक बड़ा पैटर्न
वहीं क्रिप्टो सिक्योरिटी के एग्जीक्यूटिव-लेवल प्रयास ज्यादातर क्रिप्टोग्राफिक स्टैंडर्ड्स पर ही फोकस करते हैं। जबकि डिस्प्ले-लेयर नामों की कमजोरियां इस रेग्युलेटरी स्कोप से बाहर रह जाती हैं, जिस कारण डेवलपर्स और वॉलेट प्रोवाइडर्स को इन्हें अलग से एड्रेस करना पड़ता है।
MetaMask घटना DeFi में दिख रहे एक पैटर्न में फिट बैठती है। हमलावर अक्सर उस गैप का फायदा उठाते हैं, जो इंटरफेस में डिस्प्ले हो रहा है और प्रोटोकॉल असल में जो एक्जीक्यूट कर रहा है। DeFi लेंडिंग प्रोटोकॉल में नुकसान भी इसी डायनामिक को स्ट्रक्चरल लेवल पर दिखाते हैं। जब तक इंडस्ट्री इन गैप्स को बंद नहीं करती, डिस्प्ले-लेयर इम्पर्सोनेशन एक लो-कॉस्ट, हाई-रिटर्न अटैक वेक्टर बना रहेगा।
