Ethereum MEV बॉट Jaredfromsubway के शोषण के पीछे का हमलावर Tornado Cash के माध्यम से लाखों डॉलर स्थानांतरित कर चुका है, हालांकि उसने चुराए गए धन का आधा हिस्सा लौटाने के लिए एक सार्वजनिक प्रस्ताव दिया था, जिसके बदले में एक श्वेत-हैट इनाम की पेशकश की गई थी।
यह स्थानांतरण सुझाव देता है कि हमलावर बातचीत में बहुत रुचि नहीं रखता, भले ही बॉट के ऑपरेटर ने पुरस्कारों की पेशकश की हो और यह दावा किया हो कि उन्होंने संभावित पुनर्प्राप्ति समूहों के साथ चर्चा की है।
बॉट को उसके अपने खेल में कैसे हराया गया
Peckshield के अनुसार, यह शोषण 20 जून को हुआ और हमलावर को 1,474 WETH, 2.87 मिलियन USDC, और 2 मिलियन USDT प्राप्त हुए, जिसमें स्पष्ट रूप से कोई कोड नहीं तोड़ा गया।
एक अन्य ब्लॉकचेन सुरक्षा फर्म, Blockaid, ने समझाया कि जिम्मेदार व्यक्ति ने कई नकली.wrapper टोकन बनाए, जिनमें fWETH, fUSDC, और fUSDT शामिल हैं, और उन्हें नकली तरलता पूलों के साथ जोड़ा, जो बॉट के स्वचालित स्कैनिंग सिस्टम को लाभकारी MEV अवसर के रूप में दिखाई दिए।
फिर यह ठीक वही किया जिसके लिए इसे डिज़ाइन किया गया था: एक कथित रूप से आकर्षक व्यापार को पहचानना और हमलावर के सहायक अनुबंधों को टोकन अनुमतियाँ देना। Blockaid के विश्लेषण के अनुसार, प्रारंभिक परीक्षण लेनदेन के दौरान, उन अनुमतियों का सामान्य रूप से उपभोग किया गया, जिसका अर्थ है कि कुछ भी संदिग्ध के रूप में चिह्नित नहीं किया गया। बाद में, शोषक ने ऐसे मार्ग बनाए जहां बॉट लगातार अनुमतियाँ देता रहा जो कभी वापस नहीं ली गईं, इस प्रक्रिया में बॉट के स्वामित्व पर खर्च करने के अधिकारों का निर्माण करते हुए सही क्षण की प्रतीक्षा की।
जब वह क्षण अंततः आया, हमलावर के अनुबंध ने उन खुले अनुमतियों का उपयोग करके WETH, USDC, और USDT को सीधे Jaredfromsubway अनुबंध से मानक transferFrom कॉल का उपयोग करके खींच लिया। क्रिप्टो शोधकर्ता RaFi, जिन्होंने इस घटना के बारे में एक विस्तृत थ्रेड पोस्ट किया, ने इसे “ऑन-चेन पर सामाजिक इंजीनियरिंग में एक मास्टरक्लास” के रूप में वर्णित किया।
बॉट के ऑपरेटर की प्रतिक्रिया लहरों में आई। उन्होंने पहले हैकर को चुराए गए पैसे लौटाने के लिए $1 मिलियन का इनाम दिया और किसी भी व्यक्ति के लिए $50,000 का और इनाम दिया जो उन्हें हमलावर को खोजने में मदद कर सके। जल्द ही, उन्होंने फंड के लिए $3 मिलियन का “समय-संवेदनशील” इनाम पेश किया, पूर्ण गोपनीयता का वादा करते हुए और बिना किसी सवाल के।
कोई स्पष्ट प्रतिक्रिया न मिलने पर, Jaredfromsubway ऑपरेटर ने एक ऑन-चेन संदेश भेजने का निर्णय लिया कि वे 2,150 ETH स्वीकार करेंगे, जो कि कुल का लगभग 50% है, और हमलावर को प्रतिक्रिया देने के लिए 48 घंटे का समय दिया, यह योजना बनाते हुए कि यदि समय सीमा बिना वापसी के समाप्त हो जाती है तो “सभी उपलब्ध कानूनी और कानून-प्रवर्तन उपायों” का पालन करेंगे।
लेकिन ऐसा लगता है कि हमलावर ने एक प्रकार की प्रतिक्रिया दी है, Onchain Lens की रिपोर्ट के अनुसार उन्होंने हाल ही में Tornado Cash के माध्यम से 2,000 ETH, जो लगभग $3.4 मिलियन के बराबर है, स्थानांतरित किया। कहा जाता है कि उन्होंने लगभग $2.4 मिलियन में 1,422 ETH बेचे हैं, और उनके वॉलेट में केवल 5 ETH बचे हैं।
व्हाइट-हैट संपर्क
हाल के अपडेट के अनुसार, बॉट रनर ने कहा कि एक स्वयं-निर्धारित व्हाइट-हैट समूह ने संपर्क किया है और बातचीत चल रही है, हालांकि कुछ भी पुष्टि नहीं हुई है।
ब्लॉकचेन डेवलपर्स MEV गतिविधियों को कम करने के तरीके खोजने की कोशिश कर रहे हैं, जिसमें से एक तरीका Aptos द्वारा मेमपूल सिस्टम को एन्क्रिप्ट करने का प्रस्ताव है ताकि लेनदेन को निष्पादित होने तक निजी रखा जा सके।
स्रोत: CryptoPotato
