ब्लॉकचेन सिक्योरिटी फर्म Blockaid ने गुरुवार को खुलासा किया कि एक हमलावर ने Ethereum, Base, Arbitrum और BNB Smart Chain पर तैनात Garden Finance के Hash Time-Locked Contracts (HTLCs) से लगभग $450,000 मूल्य का USDT निकाल लिया। इस घटना के बाद Garden Finance ने तुरंत अपने एप्लिकेशन को डिसेबल कर दिया, जबकि टीम इस खामी की जांच कर रही है और नुकसान के पूरे दायरे का आकलन कर रही है। Blockaid के विश्लेषण के अनुसार, हमलावर ने HTLC के इम्प्लीमेंटेशन में एक खामी का फायदा उठाया, जिससे वह आवश्यक प्रीइमेज (preimage) का खुलासा किए बिना ही लॉक किए गए फंड का दावा करने में सफल रहा। HTLCs को एक निर्दिष्ट समय सीमा के भीतर प्राप्तकर्ता द्वारा एक क्रिप्टोग्राफिक प्रीइमेज का खुलासा करने की शर्त रखकर एटॉमिक स्वैप और क्रॉस-चेन ट्रांसफ़र को सुगम बनाने के लिए डिज़ाइन किया गया है; यदि प्रीइमेज का खुलासा नहीं किया जाता है, तो फंड भेजने वाले को वापस मिलना चाहिए। इस मामले में, कथित तौर पर कॉन्ट्रैक्ट्स टाइम-लॉक शर्त को ठीक से लागू करने में विफल रहे, जिससे हमलावर एक साथ कई नेटवर्क से फंड निकालने में सक्षम हो गया।

सुरक्षा शोधकर्ताओं ने ध्यान दिलाया कि हमले का मल्टी-चेन स्वरूप यह दर्शाता है कि खामी चेन-विशिष्ट अनुकूलनों के बजाय चारों नेटवर्क पर समान रूप से तैनात किए गए साझा कॉन्ट्रैक्ट कोड में मौजूद थी। यह पैटर्न उन प्रोटोकॉल के बीच आम है जो प्रत्येक नेटवर्क के ऑडिट की तुलना में डिप्लॉयमेंट की गति को प्राथमिकता देते हैं। थोड़े ही समय के भीतर Ethereum, Base, Arbitrum और BSC पर एक ही हमला बार-बार निष्पादित करने की हमलावर की क्षमता स्वचालित टूल्स की ओर इशारा करती है, जिन्हें संभवतः नए तैनात या कम-सुरक्षित HTLC इंस्टेंस की निगरानी के लिए स्क्रिप्ट किया गया था।

ट्रैकिंग और संभावित रिकवरी प्रयासों में सहायता के लिए Blockaid ने हमलावर का वॉलेट एड्रेस और ट्रांजैक्शन हैश प्रकाशित किए हैं। फर्म ने यह भी सलाह दी है कि समान HTLC पैटर्न का उपयोग करने वाला कोई भी प्रोटोकॉल तुरंत अपने टाइमआउट एन्फोर्समेंट लॉजिक की समीक्षा करे, विशेष रूप से block.timestamp चेक्स और हैशटाइमलॉक वेरिफिकेशन फ़ंक्शन के बीच के इंटरैक्शन की। Garden Finance ने अभी तक यह संकेत नहीं दिया है कि वह वापस किए गए फंड के लिए बग बाउंटी की पेशकश करेगा या कानून प्रवर्तन एजेंसियों को शामिल करेगा, हालांकि ऑन-चेन ट्रेल की पारदर्शिता हमलावर के लिए सेंट्रलाइज्ड एक्सचेंजों के माध्यम से फंड भुनाने (cash out) की प्रक्रिया को जटिल बना सकती है।

- Blockaid ने Ethereum, Base, Arbitrum और BNB Smart Chain पर Garden Finance के HTLC कॉन्ट्रैक्ट्स को निशाना बनाने वाले $450,000 USDT के एक्सप्लॉइट का पता लगाया है।