Coinspect ने Ill Bloom सुरक्षा दोष का खुलासा किया है, जो एक क्रिप्टो वॉलेट की खामी है जिसने कई ब्लॉकचेन पर कमजोर रिकवरी वाक्यांश बनाए। हमलावरों ने 27 मई को इस कमजोरी का फायदा उठाया, 431 वॉलेट से लगभग $3.1 मिलियन निकाल लिए।
Coinspect ने इस खामी का पता एक असुरक्षित छद्म-यादृच्छिक संख्या जनरेटर से लगाया जो वॉलेट निर्माण के दौरान उपयोग किया गया था। यह कमजोरी कई श्रृंखलाओं में फैली हुई है, जिसमें Bitcoin (BTC), Ethereum (ETH), और Solana (SOL) शामिल हैं।
Ill Bloom सुरक्षा दोष क्रिप्टो वॉलेट को कैसे तोड़ता है
Coinspect के अनुसार, दोषपूर्ण जनरेटर ने रिकवरी वाक्यांश उत्पन्न किए जो अपेक्षित से कहीं कम क्रिप्टोग्राफिक ताकत के थे। परिणामस्वरूप, हमलावर पूरे संभावित वाक्यांशों की श्रृंखला को फिर से उत्पन्न कर सकते हैं और किसी भी वित्त पोषित पते को साफ कर सकते हैं।
शोधकर्ताओं ने हमले को अंत से अंत तक पुन: उत्पन्न किया। उन्होंने कमजोर वाक्यांशों द्वारा उत्पन्न किए जा सकने वाले प्रत्येक पते को निकाला और उन्हें सार्वजनिक ब्लॉकचेन पर वित्त पोषित वॉलेट के खिलाफ मिलाया। प्रभावित पते 2018 से हैं, और अधिकांश कम ज्ञात मोबाइल क्रिप्टो वॉलेट से जुड़े हैं।
उपयोगकर्ताओं से उनके ऐतिहासिक वॉलेट पते की समीक्षा करने के लिए कहा गया है। हार्डवेयर वॉलेट उपयोगकर्ता अप्रभावित रहते हैं। इस वर्ष की शुरुआत में, Binance ने मोबाइल उपयोगकर्ताओं के लिए एक महत्वपूर्ण iOS अलर्ट जारी किया।
संयोजित 27 मई की सफाई ने 431 वॉलेट को खाली कर दिया
Coinspect के विश्लेषण के अनुसार, निगरानी सेट में Bitcoin, Ethereum, Tron, Rootstock, और Polygon के बीच 2,114 वित्त पोषित पते शामिल हैं। 27 मई को, खाली किए गए खातों ने अपनी शेष राशि को कुछ साझा संग्रहकर्ता पते पर कुछ घंटों के भीतर भेज दिया।
बिटकॉइन को $2.57 मिलियन का सबसे बड़ा नुकसान हुआ, और एक खाते ने अकेले ही $1.1 मिलियन से अधिक खो दिया। ऐतिहासिक रूप से, उजागर सेट ने अप्रैल 2022 के शिखर पर $12.56 मिलियन तक का मूल्य रखा।
फर्म $3.1 मिलियन के आंकड़े को एक निचली सीमा कहती है क्योंकि नए प्रभावित खाते लगातार सामने आ रहे हैं। यह स्वेप इस वर्ष भारी क्रिप्टो चोरी के नुकसान को भी जोड़ता है, जो अकेले जनवरी में $400 मिलियन से अधिक था।
समझौता किए गए कुंजी तेजी से मूल्य को खत्म कर देते हैं, जैसा कि मानवता प्रोटोकॉल में हालिया निजी कुंजी उल्लंघन ने दिखाया। विशेष रूप से, पहले के घटनाक्रम जैसे मिल्क सैड भी कमजोर यादृच्छिकता की उसी श्रेणी से उत्पन्न हुए।
क्रिप्टो उपयोगकर्ता अपने फंड की सुरक्षा कैसे कर सकते हैं
कॉइनस्पेक्ट ने एक चेकर्स प्रकाशित किया है जो सार्वजनिक पते को ज्ञात कमजोर डेटा सेट के खिलाफ तुलना करता है। हालांकि, नकारात्मक परिणाम सुरक्षा की गारंटी नहीं देता क्योंकि डेटा सेट अधूरा है।
मेल खा रहे उपयोगकर्ताओं को एक नया क्रिप्टो वॉलेट बनाना चाहिए और इसके पते पर फंड स्थानांतरित करना चाहिए। इसके विपरीत, पुराने वाक्यांश को किसी अन्य ऐप में आयात करने से पैसा उजागर रहता है।
इस बीच, धोखेबाज इस तरह के डर का फायदा उठाते हैं, जैसा कि हालिया फर्जी एयरड्रॉप ड्रेन ने हाइपरलिक्विड पर दिखाया। कॉइनस्पेक्ट ने जोर देकर कहा कि यह कभी भी रहस्यों के लिए अनुरोध नहीं करेगा।
“हम कभी भी बीज वाक्यांश, निजी कुंजी, हस्ताक्षर, या अनुमोदन के लिए नहीं पूछेंगे, या उपयोगकर्ताओं से 'पुनर्प्राप्त' या वॉलेट की सुरक्षा के लिए फंड भेजने के लिए नहीं कहेंगे”
वॉलेट विक्रेता सुरक्षित डिफ़ॉल्ट सेटिंग्स को बढ़ावा देते रहते हैं, जिसमें एथेरियम का नया क्लियर साइनिंग मानक शामिल है। फिर भी, आने वाले दिनों में यह स्पष्ट होना चाहिए कि कौन से ऐप्स कमजोर वाक्यांश उत्पन्न करते हैं। तब तक, चिह्नित पते से क्रिप्टो को हटाना ही एकमात्र विश्वसनीय समाधान है।
स्रोत: BeInCrypto
