Echo Protocol एक्सप्लॉइट समझिए: $76.7M eBTC मिंट हुए, पर असली चोरी $1M से कम

जब एडमिन की एक्सेस हमलावर के हाथ लगी, तो उसने सिस्टम में सीधे नए eBTC मिंट कर दिए। क्योंकि यह एडमिन‑लेवल परमिशन थी, इसलिए बाकी प्रोटोकॉल शुरुआत में इन्हें वैध टोकन की तरह स्वीकार कर रहे थे।

हमले की पूरी प्रक्रिया

हमलावर ने एक सामान्य DeFi रणनीति का उपयोग किया—नकली कोलैटरल के खिलाफ असली एसेट उधार लेना।

1. कम्प्रोमाइज्ड एडमिन‑की से 1,000 नकली eBTC मिंट किए।
2. इनमें से 45 eBTC Curvance लेंडिंग मार्केट में कोलैटरल के रूप में जमा किए।
3. इसके बदले लगभग 11.29 WBTC (करीब $867,700) उधार लिए।
4. उधार लिए गए WBTC को Ethereum पर ब्रिज किया, फिर ETH में स्वैप किया और कुछ फंड Tornado Cash से गुजार दिए ताकि ट्रेल छिप सके।

क्योंकि eBTC मार्केट में लिक्विडिटी सीमित थी, हमलावर पूरे 1,000 eBTC को असली एसेट में नहीं बदल सका। इसलिए वास्तविक नुकसान $1 मिलियन से नीचे ही रहा।

$76.7M का आंकड़ा क्यों दिखा

जो $76.7 मिलियन की खबर सामने आई, वह असल में मिंट किए गए 1,000 नकली eBTC का अनुमानित मूल्य था—न कि सिस्टम से निकाले गए पैसे।

हमले के बाद लगभग 955 eBTC हमलावर के वॉलेट में ही पड़े रहे।

जब टीम ने एडमिन की कंट्रोल वापस हासिल कर लिया, तो Echo Protocol ने इन 955 eBTC को बर्न कर दिया, जिससे वे आगे इस्तेमाल नहीं किए जा सके।

Echo Protocol और Curvance की प्रतिक्रिया

घटना के सामने आते ही Monad इकोसिस्टम के कई प्रोजेक्ट्स ने तुरंत कदम उठाए।

Echo Protocol

• जांच के दौरान सभी क्रॉस‑चेन ट्रांजैक्शन अस्थायी रूप से रोक दिए।
• कम्प्रोमाइज्ड एडमिन‑की का कंट्रोल वापस हासिल किया।
• हमलावर के पास बचे 955 eBTC को बर्न कर दिया।

Curvance

• eBTC मार्केट में असामान्य गतिविधि पहचान ली।
• आगे उधारी रोकने के लिए प्रभावित मार्केट को अस्थायी रूप से बंद कर दिया।

महत्वपूर्ण बात यह है कि Monad नेटवर्क खुद हैक नहीं हुआ था; समस्या Echo Protocol के एप्लिकेशन‑लेयर पर हुई थी।

इस हमले के पीछे सुरक्षा कमज़ोरियां

विश्लेषकों ने कई ऑपरेशनल और गवर्नेंस कमियों की ओर इशारा किया:

• एडमिन प्राइवेट‑की कम्प्रोमाइज: हमलावर को सीधे एडमिन अधिकार मिल गए।
• मिंट लिमिट का अभाव: सिस्टम में बड़ी मात्रा में टोकन जारी करने पर कोई कठोर सीमा नहीं थी।
• मल्टी‑सिग या टाइमलॉक की कमी: संवेदनशील ऑपरेशन के लिए अतिरिक्त सुरक्षा परतें नहीं थीं।

इन कमजोरियों की वजह से एक बार की‑कम्प्रोमाइज होते ही हमलावर तुरंत बड़ी मात्रा में सिंथेटिक एसेट बना सका।

DeFi में बढ़ता हुआ सुरक्षा पैटर्न

यह घटना DeFi सेक्टर के एक बड़े ट्रेंड को दिखाती है: कई बड़े हमले स्मार्ट‑कॉन्ट्रैक्ट बग से नहीं बल्कि प्राइवेट‑की या गवर्नेंस फेल्योर से होते हैं।

जब किसी प्रोटोकॉल की एडमिन की चोरी हो जाती है, तो हमलावर मूल रूप से उसी अधिकार के साथ काम कर सकता है जैसे कोई असली एडमिन—भले ही स्मार्ट‑कॉन्ट्रैक्ट कोड पूरी तरह सही क्यों न हो।

मुख्य सबक

Echo Protocol की घटना यह दिखाती है कि DeFi में एडमिन‑लेवल एक्सेस अक्सर स्मार्ट‑कॉन्ट्रैक्ट बग से भी ज्यादा खतरनाक हो सकता है।

हालाँकि इस एक्सप्लॉइट में लाखों डॉलर के नकली एसेट बनाए गए, लेकिन तेज़ प्रतिक्रिया और सीमित लिक्विडिटी के कारण वास्तविक नुकसान $1 मिलियन से कम ही रहा।

DeFi प्रोजेक्ट्स के लिए संदेश साफ है: मजबूत मल्टी‑सिग वॉलेट, मिंट लिमिट, और टाइमलॉक जैसे गवर्नेंस सुरक्षा उपाय लागू करना उतना ही जरूरी है जितना स्मार्ट‑कॉन्ट्रैक्ट ऑडिट।