Resolv: $25M हैकर को 72 घंटे में 90% फंड लौटाने का अल्टीमेटम

• Resolv Labs ने $25 मिलियन की सुरक्षा चूक के बाद हमलावर को 72 घंटे का अल्टीमेटम जारी किया है।
• हमलावर को गुरुवार तक चोरी की गई धनराशि का 90% वापस करने पर 10% इनाम ($2.5 मिलियन) रखने की पेशकश की गई है।
• इस शोषण में 80 मिलियन USR टोकन की अनधिकृत मिंटिंग शामिल थी, जिन्हें बाद में 11,409 ETH में बदल दिया गया।

समझौते की पेशकश की शर्तें

सोमवार को, अबू धाबी स्थित स्थिर सिक्का (stablecoin) जारीकर्ता Resolv Labs ने रविवार के शोषण के लिए जिम्मेदार व्यक्ति को एक ऑन-चेन संदेश भेजा। प्रोटोकॉल ने एक विशिष्ट रिकवरी एड्रेस प्रदान किया है और गुरुवार तक संपत्ति का 90% प्राप्त करने की समय सीमा तय की है। इसमें लगभग $22.5 मिलियन मूल्य का ईथर (ETH) और हमलावर के नियंत्रण में बचे हुए कोई भी USR टोकन शामिल हैं।

एक विकल्प के रूप में, Resolv ने हमलावर को "व्हाइट हैट" प्रकटीकरण पथ की पेशकश की। इसके लिए व्यक्ति को वित्तीय समझौते की शर्तों के बजाय ईमेल के माध्यम से टीम से संपर्क करके यह साबित करना होगा कि वे वैध सुरक्षा अनुसंधान कर रहे थे।

घटना का विवरण और तकनीकी कमियां

यह उल्लंघन रविवार, 22 मार्च की सुबह हुआ। हमलावर ने Resolv USR Counter अनुबंध में $200,000 USDC जमा करके शोषण शुरू किया। बदले में, उन्होंने USR टोकन के दो बैच मिंट किए—एक 50 मिलियन और दूसरा 30 मिलियन का। इन असुरक्षित टोकन को बाद में विभिन्न विकेंद्रीकृत एक्सचेंजों पर अन्य स्थिर सिक्कों के लिए बदला गया और अंततः कुल 11,409 ETH में परिवर्तित कर दिया गया।

ब्लॉकचेन विश्लेषकों ने पाया कि यह भेद्यता एक एकल बाहरी स्वामित्व वाले खाते (EOA) द्वारा नियंत्रित विशेषाधिकार प्राप्त मिंटिंग भूमिका से उत्पन्न हुई थी। सिस्टम में कई महत्वपूर्ण सुरक्षा सुविधाओं की कमी थी, जिनमें शामिल हैं:

• प्रति लेनदेन या खाते में मिंटिंग की कोई अधिकतम सीमा नहीं थी।
• संपत्ति के मूल्यों को सत्यापित करने के लिए कोई ओरेकल मूल्य जांच नहीं थी।
• उच्च-विशेषाधिकार वाली भूमिकाओं के लिए मल्टी-सिग्नेचर ऑथराइजेशन का अभाव था।

संभावित कार्रवाई और उपयोगकर्ता रिकवरी

Resolv ने चेतावनी दी है कि यदि 72 घंटे की अवधि के भीतर धनराशि वापस नहीं की जाती है, तो वे कड़े कदम उठाएंगे। इसमें चोरी की गई संपत्ति को फ्रीज करने के लिए केंद्रीकृत एक्सचेंजों (CEXs), ब्रिज और बुनियादी ढांचा प्रदाताओं के साथ समन्वय करना शामिल है। प्रोटोकॉल कानूनी कार्रवाई करने और सार्वजनिक रूप से सभी लेनदेन इतिहास का पता लगाने के लिए ब्लॉकचेन एनालिटिक्स फर्मों और कानून प्रवर्तन को भी शामिल करने का इरादा रखता है।

प्लेटफॉर्म के समुदाय पर प्रभाव के संबंध में, Resolv Digital Assets Ltd. ने कहा कि वह उन सभी अनुमति प्राप्त (allowlisted) उपयोगकर्ताओं के संपर्क में है जिनके पास घटना के समय USR था। इस समूह के लिए घटना से पहले के USR के लिए रिडेम्पशन पहले ही सक्षम कर दिया गया है, जबकि अन्य उपयोगकर्ताओं के लिए अपडेट जल्द ही दिए जाएंगे।