Verus‑Ethereum ब्रिज एक्सप्लॉइट: कैसे एक साधारण वैलिडेशन गैप से निकल गए $11.5M

ऑन‑चेन डेटा से पता चला कि हमलावर ने ब्रिज रिज़र्व से कई अलग‑अलग एसेट निकाले, जिनमें शामिल थे:

• ETH
• tBTC
• USDC

रिपोर्टों के अनुसार एक ही वॉलेट में लगभग 1,625.36 ETH, 103.56 tBTC और करीब 147,658 USDC ट्रांसफर किए गए।

इसके बाद इन एसेट्स को तेजी से स्वैप करके लगभग 5,402 ETH में बदल दिया गया—संभवतः आगे लॉन्ड्रिंग या क्रॉस‑चेन मूवमेंट को आसान बनाने के लिए।

जब प्रूफ सही थे फिर भी चोरी कैसे हुई

शुरुआत में यह मामला थोड़ा उलझा हुआ लगा क्योंकि ब्रिज का क्रिप्टोग्राफ़िक वेरिफिकेशन सिस्टम सही काम कर रहा था।

Verus ब्रिज ट्रांजैक्शन सत्यापित करने के लिए दो मुख्य तकनीकें इस्तेमाल करता था:

• notarized state roots
• Merkle proofs

इनका उद्देश्य यह साबित करना होता है कि कोई ट्रांजैक्शन वास्तव में स्रोत ब्लॉकचेन पर हुआ था।

लेकिन यहाँ एक महत्वपूर्ण फर्क है:

Merkle proof यह साबित करता है कि कोई डेटा ब्लॉक या स्टेट ट्री में मौजूद है—लेकिन यह नहीं बताता कि वह ट्रांजैक्शन आर्थिक रूप से वैध है या उसके पीछे वास्तविक फंड लॉक हैं।

जांचकर्ताओं ने पाया कि कॉन्ट्रैक्ट:

• state root को सही तरीके से सत्यापित कर रहा था
• Merkle proof को भी सही तरीके से स्वीकार कर रहा था
• लेकिन यह जांच नहीं कर रहा था कि दावा किया गया ट्रांसफर वास्तव में स्रोत चेन पर लॉक किए गए फंड से मेल खाता है या नहीं।

यानी हमलावर ऐसा डेटा तैयार कर सकता था जो तकनीकी रूप से सही दिखे—लेकिन फिर भी Ethereum पर ज्यादा रकम निकालने की अनुमति दे दे।

असली समस्या: एक मिसिंग वैलिडेशन चेक

सुरक्षा शोधकर्ताओं के अनुसार यह एक क्लासिक बिज़नेस‑लॉजिक वैलिडेशन फेल्योर था।

Ethereum कॉन्ट्रैक्ट को ideally इन चीज़ों की पुष्टि करनी चाहिए थी:

• टोकन का प्रकार
• ट्रांसफर की राशि
• प्राप्तकर्ता का पता
• ब्रिज रिज़र्व का अकाउंटिंग स्टेट

इन वैलिडेशन नियमों के बिना कॉन्ट्रैक्ट ऐसे ट्रांसफर भी स्वीकार कर रहा था जिनके पीछे असली जमा राशि मौजूद नहीं थी। रिपोर्टों के अनुसार हमलावर को Verus नेटवर्क पर केवल कुछ डॉलर की फीस देनी पड़ी, जबकि Ethereum पर लाखों डॉलर की निकासी संभव हो गई।

चूंकि यह क्रिप्टोग्राफ़ी की समस्या नहीं बल्कि लॉजिक की गलती थी, डेवलपर्स ने इस खामी को बंद करने के लिए Solidity पैच तैयार करने की बात कही।

Wormhole और Nomad जैसे पुराने ब्रिज हैक्स से समानता

Verus का मामला DeFi इतिहास के कुछ बड़े ब्रिज हैक्स की याद दिलाता है।

Wormhole (2022)

फरवरी 2022 में Wormhole ब्रिज पर हमले में हमलावर ने लगभग 120,000 wrapped ETH (wETH) मिंट कर लिए थे, जिनकी कीमत उस समय $320 मिलियन से ज्यादा थी। यह हमला सिग्नेचर वेरिफिकेशन बायपास करके किया गया था।

Nomad (2022)

अगस्त 2022 में Nomad ब्रिज से लगभग $190 मिलियन चोरी हो गए। कारण था एक कॉन्फ़िगरेशन गलती, जिससे कई संदेश स्वतः वैध मान लिए गए और हमलावरों को फंड निकालने का मौका मिल गया।

Verus किस श्रेणी में आता है

Verus का मामला तकनीकी रूप से Nomad के ज्यादा करीब माना जा रहा है, क्योंकि दोनों मामलों में:

• सिस्टम ने मैसेज या प्रूफ को वैध माना
• लेकिन यह जांच नहीं की कि वह मैसेज वास्तव में किस ट्रांसफर की अनुमति देता है

परिणाम एक ही रहा—बिना बैकिंग के फंड निकासी।

DeFi ब्रिज अभी भी सबसे जोखिम भरे क्यों हैं

क्रॉस‑चेन ब्रिज DeFi में सबसे ज्यादा निशाना बनने वाले इंफ्रास्ट्रक्चर में से एक हैं, क्योंकि उनमें कई जटिल सिस्टम एक साथ काम करते हैं:

• क्रिप्टोग्राफ़िक प्रूफ वेरिफिकेशन
• क्रॉस‑चेन मैसेज पासिंग
• स्मार्ट कॉन्ट्रैक्ट अकाउंटिंग
• बड़े पैमाने पर एसेट कस्टडी

अगर इस पूरी प्रक्रिया में किसी भी चरण में छोटी‑सी गलती रह जाए, तो सिस्टम वास्तविक संपत्ति से अधिक निकासी की अनुमति दे सकता है।

इस घटना ने एक महत्वपूर्ण सिद्धांत फिर से साबित किया:

“प्रूफ वैरिफाइड” का मतलब यह नहीं कि “ट्रांसफर वैध” भी है।

आगे क्या: रिकवरी और इंश्योरेंस के सवाल

जब शुरुआती रिपोर्ट सामने आईं, तब तक नुकसान की भरपाई या रिकवरी योजना के बारे में आधिकारिक जानकारी सीमित थी। कुछ रिपोर्टों में कहा गया कि घटना के समय विस्तृत खुलासे अभी जारी थे।

अगर चोरी हुई राशि वापस नहीं मिलती, तो संभावित मुआवजा कई कारकों पर निर्भर कर सकता है:

• प्रोजेक्ट की ट्रेजरी रिज़र्व
• प्रोटोकॉल गवर्नेंस के फैसले
• हमलावर से संभावित बातचीत
• DeFi इंश्योरेंस कवरेज

DeFi के लिए बड़ा सबक

Verus‑Ethereum ब्रिज घटना यह दिखाती है कि DeFi में सबसे खतरनाक कमजोरियां अक्सर क्रिप्टोग्राफी में नहीं बल्कि स्मार्ट कॉन्ट्रैक्ट लॉजिक की छोटी गलतियों में होती हैं।

एक ब्रिज सभी सिग्नेचर, प्रूफ और स्टेट रूट सही तरीके से वेरिफाई कर सकता है—लेकिन अगर कॉन्ट्रैक्ट यह सुनिश्चित नहीं करता कि वही डेटा सही ट्रांसफर को अधिकृत करता है, तो सिस्टम फिर भी असुरक्षित रहता है।

DeFi में अरबों डॉलर के नुकसान वाली कई घटनाओं की तरह, Verus एक्सप्लॉइट भी यह याद दिलाता है कि क्रॉस‑चेन सिस्टम में सुरक्षा उतनी ही अकाउंटिंग लॉजिक पर निर्भर करती है जितनी क्रिप्टोग्राफी पर।