एक हमलावर ने 9 अगस्त को Coreum ब्रिज से लगभग 200,000 XRP टोकन सिर्फ 97 मिनट में निकाल लिए। उसने यह हैक रेलेयर सॉफ़्टवेयर में वेलिडेशन गैप का फायदा उठाकर किया, न कि XRP Ledger की किसी कमजोरी का इस्तेमाल किया।
इस ब्रिज ने अपने ऑपरेशन रोक दिए, क्योंकि XRP की प्राइस $1 से नीचे गिर गई और मार्केट में सतर्कता बढ़ गई।
ब्रिज पर आखिर गड़बड़ी हुई कहां?
ब्लॉकचेन ब्रिज एक ऐसा इन्फ्रास्ट्रक्चर है, जो दो अलग नेटवर्क्स को कनेक्ट करता है। इससे यूज़र अलग-अलग चेन के बीच वैल्यू ट्रांसफर कर सकते हैं, जिनमें सीधा कम्युनिकेशन नहीं होता। रेलेयर दोनों ओर निगरानी रखते हैं और ट्रांसफर को अप्रूव करते हैं।
Coreum Bridge से यूज़र्स XRPL पर अपने XRP को लॉक कर सकते हैं और Coreum ब्लॉकचेन पर उतनी ही वैल्यू के ब्रिज्ड टोकन्स हासिल कर सकते हैं। इन टोकन्स को वे Coreum ऐप्स में इस्तेमाल कर सकते हैं और बाद में वापस XRPL पर ब्रिज कर सकते हैं।
तो, यह हैक कैसे हुआ? नंबर्स खुद पूरी स्टोरी बयां करते हैं। घटना से पहले ब्रिज अकाउंट ने करीब 200,410 XRP होल्ड किए हुए थे और 19:16 UTC पर फंड रिलीज़ होना शुरू हुए।
मात्र 97 मिनट में, अकाउंट से दो नए वॉलेट्स में कुल 94 पेमेंट्स के जरिए 199,916.3 XRP ट्रांसफर हो गए। पीछे बस 493.5 XRP ही बचे।
हमें X पर फॉलो करें ताकि आपको लेटेस्ट क्रिप्टो न्यूज़ सबसे पहले मिलें।
हर ट्रांसफर में वेलिड ऑथराइजेशन था। 28 में से 17 रेलेयर कीज किसी भी पेमेंट को मल्टी-सिग्नेचर प्रोसेस से साइन करते थे। शुरुआत में सोशल मीडिया पर गलत वजहें बताई गईं। वॉर्निंग्स ने rippling और DefaultRipple फ्लैग को ब्लेम किया, लेकिन नेटिव XRP में न तो इशूअर होता है और न ट्रस्ट लाइन्स, इसलिए वह ripple नहीं कर सकता।
असल कारण कोड में था। रेलेयर्स XRP Ledger ट्रांजैक्शन मॉनिटर करते हैं और जब भी उन्हें Coreum-रिसीपिएंट मेमो वाली पेमेंट दिखती है, तो वे अटेस्टेशन सबमिट करते हैं।
एक जरूरी चेक बिल्कुल मिस था। सॉफ्टवेयर ने कभी यह वेरिफाई ही नहीं किया कि पेमेंट डेस्टिनेशन ब्रिज ही है या नहीं, और सीधे बैलेंस क्रेडिट कर दिया। इसी चूक ने हमलावर के लिए रास्ता खोल दिया।
अटैकर द्वारा कंट्रोल की जा रही वॉलेट्स के बीच ट्रांसफर को असली डिपॉजिट माना गया, जिससे क्रेडिट जनरेट हुए जो बाद में रियल XRP की निकासी (withdrawals) के लिए फंड बन गए।
XRP Ledger कभी रिस्क में क्यों नहीं था?
इस एक्सीक्यूशन में एक पैटर्न फॉलो हुआ। छोटे-छोटे टेस्टिंग ट्रांसफर पहले डबल हुए, उसके बाद करीब हर 50 सेकंड में औसतन 1,695 XRP की स्टेडी पेमेन्ट्स आती रहीं। लॉन्ड्रिंग तुरंत शुरू हो गई थी। रिसीव करने वाले वॉलेट्स ने फंड्स को फॉरवर्ड कर दिया, जिससे फाइल ट्रेस करना और मुश्किल हो गया कि आखिर पैसा कहाँ पहुँचा।
यहाँ एक जरूरी अंतर समझना जरूरी है। कोई प्राइवेट की लीक नहीं हुई और मल्टी-सिग्नेचर प्रोसेस भी उसी तरह चला, जैसा डिजाइन किया गया था, बस एविडेंस ही गलत थे।
XRP Ledger खुद पूरी तरह से सिक्योर रहा। इस घटना का उसके मुख्य प्रोटोकॉल, कंसेंसस मैकेनिज्म या नेटिव ट्रांजैक्शन हैंडलिंग पर कोई असर नहीं पड़ा। Coreum ने ब्रिज को रिपेयर तक सस्पेंड कर दिया है।
अगर वापसी शुरू करनी है तो डेस्टिनेशन-एड्रेस वेरिफिकेशन अनिवार्य होगा – क्योंकि इसी की कमी से ये सब मुमकिन हुआ।
अभी तक ऑफिशियल पोस्ट-मॉर्टेम पेंडिंग है। जब तक ये नहीं आता, पूरी टाइमलाइन और समाधान की योजना प्रभावित यूजर्स के लिए अधूरी है।
XRP, BeInCrypto डेटा के मुताबिक, 11 अगस्त को $1 से नीचे ट्रेड हो रहा था और पिछले 24 घंटों में करीब 3.30% नीचे है।
हमारे YouTube चैनल को सब्सक्राइब करें और लीडर्स व जर्नलिस्ट्स से एक्सपर्ट इनसाइट्स पाएं।
