Solido Money ओरेकल एक्सप्लॉइट: पुराने प्राइस फीड ने 293.7 मिलियन SUPRA को कैसे बहाया?

कैसे एक पुराने प्राइस फीड (Stale Price Feed) ने हैकर को मौका दिया

हमले की जड़ एक ओरेकल गलत असाइनमेंट (oracle misassignment) था - विशेष रूप से, SOLID कोलेटरल की कीमत तय करने के लिए इस्तेमाल किया जाने वाला एक पुराना या गलत तरीके से कॉन्फ़िगर किया गया प्राइस फीड , ।

प्रोटोकॉल SOLID के लिए एक ओरेकल प्राइस पर निर्भर था जो पुराना हो चुका था या गलत तरीके से मैप किया गया था, जिससे कोलेटरल का मूल्य उसके वास्तविक बाजार मूल्य से कहीं अधिक आंका जा रहा था , , । इस बढ़े हुए मूल्यांकन पर SOLID को कोलेटरल के रूप में जमा करके, हैकर 293.7 मिलियन SUPRA टोकन निकालने में सफल रहा - जो वैध कोलेटरल से कहीं अधिक था , ।

हमला दो अलग-अलग चरणों (Waves) में हुआ, दोनों ने एक ही कमजोरी का शोषण किया , , :

• Wave A (18:21:35 UTC): एक ही लेन-देन में टोकन स्वैप करना, उन्हें कोलेटरल के रूप में जमा करना और नए CASH मिंट करना शामिल था, जिससे 266,778,767 SUPRA प्राप्त हुए ।
• Wave B: हैकर ने उसी पैटर्न को दोहराया, जिससे कुल लगभग 293.7 मिलियन SUPRA हो गए , ।

सुरक्षा फर्म PeckShield ने उल्लंघन और अनुमानित नुकसान की पुष्टि की , ।

महत्वपूर्ण बात यह है कि चुराए गए फंड का लगभग 90% हिस्सा स्वयं Solido Foundation का था, न कि आम उपयोगकर्ताओं का। इसका मतलब है कि फाउंडेशन ने - न कि व्यक्तिगत उधारदाताओं या उधारकर्ताओं ने - लगभग पूरे नुकसान को वहन किया , , ।

ब्लॉकचेन फोरेंसिक ने फंड का कहां पता लगाया?

Solido Money ने एक फोरेंसिक रिपोर्ट प्रकाशित की जिसमें ऑन-चेन ट्रेल का विवरण दिया गया:

• लगभग 220 मिलियन SUPRA - यानी चुराए गए टोकन का लगभग 84% - एक संदिग्ध Gate.io डिपॉजिट एड्रेस पर ले जाया गया , , । कुछ स्रोत इस आंकड़े को "लगभग 90%" बताते हैं , । 84% का आंकड़ा प्रोटोकॉल की अपनी रिपोर्ट और कई समाचारों में दिखाई देता है , , ।
• माना जाता है कि हैकर ने टोकन को लिक्विडेट करने या क्रॉस-चेन ट्रांसफर की तैयारी में Gate.io पर जमा किया था , , ।
• Solido ने फंड को फ्रीज और रिकवर करने में मदद के लिए एक्सचेंजों से सहायता का अनुरोध किया , ।

एक व्यापक पैटर्न: दो हफ्तों में दो Supra Oracle Exploits

Solido का शोषण कोई अकेली घटना नहीं है। इससे सिर्फ 12 दिन पहले, 11 जुलाई, 2026 को, Hedera-आधारित लेंडिंग प्रोटोकॉल Bonzo Lend ने एक समान ओरेकल एक्सप्लॉइट में ~$9.05 मिलियन खो दिए , ।

Bonzo Lend (11 जुलाई, 2026):

• हैकर ने केवल 250 SAUCE टोकन (कुछ डॉलर मूल्य) जमा किए, फिर एक नकली SAUCE/wHBAR मूल्य अपडेट सबमिट किया जिसने टोकन के मूल्य को 12 गुना बढ़ा दिया , , ।
• कमजोरी Supra के ऑन-चेन वेरिफायर कॉन्ट्रैक्ट में एक BLS जीरो-सिग्नेचर स्वीकृति दोष थी। वेरिफायर ने एक जाली कीमत को स्वीकार कर लिया जिसमें शून्य हस्ताक्षर और सार्वजनिक कुंजी थी , , ।
• आठ सेकंड में, हैकर ने 6.63 मिलियन USDC और 34.5 मिलियन wHBAR उधार ले लिए , ।

दोनों प्रोटोकॉल - Solido Money और Bonzo Lend - अपने ओरेकल प्रदाता के रूप में Supra पर निर्भर थे , , । एक ही बुनियादी ढांचे से दो अलग-अलग विफलता मोड सामने आए:

• Bonzo की खामी Supra के ऑन-चेन वेरिफायर में एक क्रिप्टोग्राफिक सत्यापन विफलता (ज़ीरो-सिग्नेचर बायपास) थी , ।
• Solido की खामी SOLID कोलेटरल के लिए एक गलत कॉन्फ़िगर/पुराना प्राइस फीड असाइनमेंट था - एक अलग तरह की ओरेकल विफलता, लेकिन फिर भी यह Supra प्राइस डेटा के अंतर्ग्रहण और सत्यापन के तरीके से उत्पन्न हुई , , ।

एक-दूसरे के दो हफ्तों के भीतर हुई इन दो घटनाओं ने Supra ओरेकल इकोसिस्टम को कड़ी जांच के घेरे में ला दिया है। सुरक्षा विश्लेषक सख्त टाइमस्टैम्प सत्यापन, फीड-डेसेंसी नॉर्मलाइज़ेशन और इसी तरह के शोषण को रोकने के लिए मल्टी-सोर्स एग्रीगेशन का आह्वान कर रहे हैं , ।

DeFi प्रोटोकॉल के लिए मुख्य सीख

1. ओरेकल का गलत कॉन्फ़िगरेशन क्रिप्टोग्राफिक विफलता जितना ही खतरनाक है। एक पुराना प्राइस फीड उतनी ही प्रभावी ढंग से एक्सप्लॉइट किया जा सकता है जितना कि एक टूटा हुआ सिग्नेचर वेरिफायर।
2. चुराए गए फंड का 90% हिस्सा प्रोटोकॉल के फाउंडेशन का था, यह दर्शाता है कि प्रोजेक्ट ट्रेजरी प्रोटोकॉल जोखिम से कितनी बारीकी से जुड़ी हुई है।
3. एकल-ओरेकल निर्भरता सिस्टमिक जोखिम पैदा करती है। Bonzo और Solido दोनों एक ही प्रदाता (Supra) पर निर्भर थे, जिससे कई प्रोटोकॉल में कमजोरियों का झरना बन गया।
4. ब्लॉकचेन फोरेंसिक ने ट्रेसेबिलिटी को सक्षम किया। Solido की अपनी फोरेंसिक रिपोर्ट ने चुराए गए फंड के 84% को एक विशिष्ट एक्सचेंज पते पर ट्रेस किया, जिससे जांचकर्ताओं को एक स्पष्ट सुराग मिला।

Solido का शोषण एक महत्वपूर्ण सबक को रेखांकित करता है: जब प्राइस फीड टूटते हैं - चाहे पुराने डेटा के कारण या जाली हस्ताक्षर के कारण - नुकसान पूरे पारिस्थितिकी तंत्र में फैल सकता है।