डिसेंट्रलाइज्ड फाइनेंस (DeFi) सेक्टर में एक और बड़ा सुरक्षा संकट सामने आया है। मल्टीपल DeFi प्रोटोकॉल्स को लिक्विडिटी उपलब्ध कराने वाले TrustedVolumes प्लेटफॉर्म को एक गंभीर एक्सप्लॉइट का शिकार होना पड़ा है, जिसमें लगभग $6.7 मिलियन (करीब ₹56 करोड़ से अधिक) की डिजिटल संपत्ति चोरी होने की जानकारी सामने आई है।
ब्लॉकचेन एनालिटिक्स फर्म Blockaid की डिटेक्शन रिपोर्ट के अनुसार, यह हमला TrustedVolumes के “resolver contract” पर किया गया था, जो Ethereum नेटवर्क पर काम कर रहा था। हमलावर ने इस कमजोरी का फायदा उठाते हुए बड़ी मात्रा में क्रिप्टो एसेट्स को निकाल लिया, जिनमें लगभग 1,291 WETH, 2,06,282 USDT, 16.93 WBTC और 12.6 लाख USDC शामिल हैं।
रिपोर्ट में यह भी सामने आया कि यह हमला मार्च 2025 में हुए 1inch Fusion V1 से जुड़े एक पुराने हमलावर पैटर्न से मेल खाता है। हालांकि इस बार हमले का तरीका अलग था और इसे TrustedVolumes के RFQ (Request-for-Quote) स्वैप प्रॉक्सी में मौजूद खामी का उपयोग करके अंजाम दिया गया।
FCRF Launches India’s Premier Certified Data Protection Officer Program Aligned with DPDP Act
RFQ स्वैप प्रॉक्सी एक ऐसा स्मार्ट कॉन्ट्रैक्ट होता है, जो ट्रेडर्स और मार्केट मेकर के बीच टोकन स्वैप और प्राइस कोटेशन को मैनेज करता है। इसी सिस्टम की सुरक्षा खामियों का फायदा उठाकर यह एक्सप्लॉइट किया गया।
TrustedVolumes ने स्वयं इस ब्रिच की पुष्टि करते हुए कहा है कि उन्होंने तीन वॉलेट एड्रेस की पहचान की है, जिनमें लगभग $3 मिलियन, $3 मिलियन और $700,000 की राशि ट्रांसफर की गई है। कंपनी ने साथ ही कहा कि वह “बग बाउंटी और समाधान के लिए संवाद” करने को तैयार है।
क्रिप्टो सिक्योरिटी फर्म Cyvers के वरिष्ठ सुरक्षा विशेषज्ञ Hakan Unal के अनुसार, इस हमले की जड़ में “permissionless signer registration, कमजोर replay protection और बिना सत्यापन वाला transfer source field” जैसी तकनीकी खामियां थीं। इन कमजोरियों ने हमलावर को बिना अनुमति सिस्टम का वैध साइनर बनकर फंड निकालने की अनुमति दे दी।
विशेषज्ञों का कहना है कि यदि रिले प्रोटेक्शन सही तरीके से काम करता, तो हमलावर कई बार अतिरिक्त फंड निकालने में सक्षम नहीं होता। लेकिन सिस्टम की खामी के कारण नुकसान और बढ़ सकता था।
इस बीच DeFi एग्रीगेटर 1inch ने स्पष्ट किया है कि उसका सिस्टम इस हमले से प्रभावित नहीं हुआ है। कंपनी ने कहा कि न तो उसकी इंफ्रास्ट्रक्चर और न ही यूजर फंड्स पर कोई असर पड़ा है। 1inch के अनुसार, TrustedVolumes केवल कई रिजॉल्वर में से एक था, और अन्य रिजॉल्वर सामान्य रूप से काम कर रहे हैं।
1inch के सह-संस्थापक Sergej Kunz ने भी कहा कि कंपनी की ओर से की गई तकनीकी समीक्षा के अनुसार यह हमला बाहरी स्तर पर हुआ है और इसका प्लेटफॉर्म से सीधा संबंध नहीं है।
क्रिप्टो सुरक्षा विशेषज्ञों का मानना है कि यह हमला हाल के DeFi सेक्टर में बढ़ते साइबर खतरों की एक और कड़ी है। पिछले कुछ महीनों में Drift Protocol से $285 मिलियन और Kelp DAO से $293 मिलियन की बड़ी चोरी जैसे मामले सामने आ चुके हैं, जिससे पूरी इंडस्ट्री में चिंता बढ़ गई है।
विशेषज्ञ Nick Harris के अनुसार, यह हमला एक “patient and targeted operator” द्वारा किया गया प्रतीत होता है, जो सिस्टम की कमजोरियों को लंबे समय तक समझकर हमला करता है। उनका कहना है कि DeFi में एक बार एक्सप्लॉइट हो जाने के बाद जोखिम खत्म नहीं होता, बल्कि और बढ़ सकता है।
फिलहाल TrustedVolumes ने जांच शुरू कर दी है और फंड रिकवरी के लिए संबंधित वॉलेट्स पर नजर रखी जा रही है। हालांकि अभी तक चोरी गए फंड की पूरी रिकवरी को लेकर कोई स्पष्ट जानकारी नहीं दी गई है।
यह घटना एक बार फिर DeFi सिस्टम की सुरक्षा, स्मार्ट कॉन्ट्रैक्ट ऑडिटिंग और क्रॉस-प्लेटफॉर्म इंटीग्रेशन पर गंभीर सवाल खड़े करती है, जहां एक छोटी तकनीकी खामी भी करोड़ों रुपये के नुकसान का कारण बन सकती है।
