क्रिप्टो मार्केट में हेरफेर करने के लिए फ्लैश लोन का उपयोग कैसे किया जा रहा है

हाल की एक रिपोर्ट के अनुसार, अचानक ऋण हमले बढ़ रहे हैं। वे क्या हैं, और जोखिम क्या हैं?

बिना किसी संपार्श्विक के लगभग असीमित आकार का ऋण लेने में सक्षम होने की कल्पना करें। केवल एक कैच है। आपको इसे लगभग तुरंत वापस चुकाना होगा। अजीब लग रहा है? यह शायद करता है। लेकिन वास्तव में यही एक त्वरित ऋण है। जैसा कि नाम से पता चलता है, ये ऋण लगभग तुरंत हो जाते हैं। (डीसी कॉमिक सुपरहीरो, द फ्लैश के बारे में सोचें, जो प्रकाश की गति से यात्रा कर सकता है।)

De.Fi की एक हालिया रिपोर्ट बताती है कि त्वरित ऋण बढ़ रहे हैं और बुरे अभिनेता उनका उपयोग अधिक से अधिक कारनामों में करते हैं। इस वर्ष की पहली तिमाही में, इस प्रकार के शोषण से $1 मिलियन का नुकसान हुआ। 

लेकिन कोई निकट-तात्कालिक ऋण क्यों लेना चाहेगा? ठीक है, क्रिप्टो में कई चीजों की तरह, यह अच्छे रिटर्न के लिए नीचे आता है।

फ्लैश लोन और फ्लैश लोन अटैक की व्याख्या

त्वरित ऋणों का तर्क अंतरपणन पर निर्भर करता है, छोटे मूल्य अंतरों का लाभ उठाने की प्रक्रिया। अन्य प्रकार के ऋणों के विपरीत, त्वरित ऋणों के लिए लंबी स्वीकृति प्रक्रिया की आवश्यकता नहीं होती है, इसलिए उन्हें जल्दी से निष्पादित किया जा सकता है। BeInCrypto के साथ एक साक्षात्कार में De.Fi के सॉफ्टवेयर आर्किटेक्ट आर्टेम बोंडारेंको ने समझाया, "एक-लेन-देन ऋण में शामिल कम शुल्क को देखते हुए, उच्च रिटर्न की बहुत बड़ी संभावना है।" "एक त्वरित ऋण के लेनदारों के लिए, कोई जोखिम नहीं है क्योंकि ऋण तुरंत वापस आ जाता है। अन्यथा, लेन-देन विफल हो जाता है।

पारंपरिक वित्त में, तत्काल ऋण जैसा कुछ नहीं होता है। यह कॉल ऑप्शन के समान है लेकिन कुछ महत्वपूर्ण अंतरों के साथ। एक त्वरित ऋण के साथ, आप उधार लिए गए पैसे का तुरंत उपयोग कर सकते हैं, जबकि कॉल विकल्प के साथ, आपको प्रतीक्षा करनी होगी। इसके अलावा, पारंपरिक वित्त में, लेन-देन आमतौर पर एक समय में होता है, जबकि त्वरित ऋण के साथ, वे ब्लॉक में होते हैं। हालाँकि, ये अल्पकालिक उपकरण पूरी तरह से नकारात्मक पक्ष के बिना नहीं हैं, जैसा कि De.Fi की रिपोर्ट में बताया गया है।

बोंडरेंको ने कहा, "जब कोई व्यक्ति एक ही स्थान पर बड़ी राशि उधार लेने में सक्षम होता है और बड़ी मात्रा में खरीद या बिक्री करके कीमतों में हेरफेर करने में सक्षम होता है, तो एक त्वरित ऋण हमला होता है, जिससे परिसंपत्ति की कीमत प्रभावित होती है।" "फिर मूल्य में उस परिवर्तन का उपयोग दूसरी तरफ विपरीत खरीद या बिक्री का फायदा उठाने के लिए, दो स्थानों में कीमतों के बीच मध्यस्थता बनाने, फिर मूल ऋण चुकाने और अंतर को पॉकेट में डालने के लिए।"

बोंडरेंको ने कहा, "यदि तरलता प्रोटोकॉल सही मूल्य निर्धारण भविष्यवाणी के साथ ठीक से डिज़ाइन किया गया है, तो यह एक मुद्दा नहीं होना चाहिए, लेकिन ऐसे मामलों में जहां डिज़ाइन खराब है, यह एक भेद्यता है जिसका फायदा उठाया जा सकता है और बड़े पैमाने पर परिसमापन की घटना हो सकती है।"

पीड़ित कौन हैं?

त्वरित ऋण हमलावरों के लिए आकर्षक होते हैं क्योंकि वे संपार्श्विक प्रदान किए बिना बड़ी मात्रा में क्रिप्टोकरेंसी उधार लेने की अनुमति देते हैं। इस तरह के हमलों को रोकने के लिए, कोड ऑडिट और मजबूत स्मार्ट कॉन्ट्रैक्ट डिज़ाइन जैसे बेहतर सुरक्षा उपायों को लागू किया जा सकता है, और डेफी इकोसिस्टम के भीतर संभावित अटैक वैक्टर के बारे में जागरूकता बढ़ाई जा सकती है।

13 मार्च को, यूलर फाइनेंस, एक प्रसिद्ध एथेरियम-आधारित उधार प्रोटोकॉल हैक कर लिया गया था, और हमलावर ने कई लेनदेन निष्पादित करके लाखों डॉलर मूल्य की विभिन्न क्रिप्टोकरेंसी, जैसे कि दाई, यूएसडीसी, स्टेक्ड एथेरियम और रैप्ड बिटकॉइन चुरा लिए। 

चुराई गई कुल राशि लगभग $196 मिलियन थी, जिसमें दाई में $8.7 मिलियन, WBTC में $18.5 मिलियन, StETH में $135.8 मिलियन और USDC में $33.8 मिलियन शामिल थे। 

हमलावर ने एक बहु-श्रृंखला पुल का उपयोग करके चोरी किए गए धन को बिनेंस स्मार्ट चेन से एथेरियम में स्थानांतरित कर दिया, फिर फ्लैश ऋण हमले का आयोजन किया। वसूली के प्रयासों को जटिल बनाने और अपनी पहचान छुपाने के लिए, उन्होंने चोरी के धन को एक प्रसिद्ध क्रिप्टो मिक्सर टोरनेडो कैश में जमा किया।

एक महीने पहले, 16 फरवरी को, एक स्वचालित बाज़ार निर्माता, प्लैटिपस फाइनेंस को एक अलग ऋण हमले का सामना करना पड़ा। हमलावर ने USDC, USDT, BUSD और DAI सहित $8,500,887 मूल्य के स्थिर सिक्के चुरा लिए। 

इस मामले में, हमलावर ने यूएसपी सॉल्वेंसी चेक मैकेनिज्म में भेद्यता का फायदा उठाया। इस प्रक्रिया में, हमलावर ने 44,000,000 यूएसडीसी का त्वरित ऋण प्राप्त किया, फिर इसे 44,000,000 प्लैटिपस एलपी-यूएसडी के लिए स्वैप किया। इसके बाद उन्होंने बिना लागत के 41,700,000 यूएसपी टोकन बनाए, जो विभिन्न स्थिर मुद्राओं के लिए अदला-बदली हो गए। 

प्लैटिपस फाइनेंस चोरी की संपत्तियों को फ्रीज करने के लिए तीसरे पक्ष की सेवाओं के साथ सहयोग कर रहा है, और कुछ को पहले ही फ्रीज कर दिया गया है। दुर्भावनापूर्ण अनुबंध को हटा दिया गया था और भविष्य के हमलों को रोकने के लिए अतिरिक्त सुरक्षा उपाय लागू किए गए थे। हालांकि, हमलावर चुराए गए धन में से कुछ को स्थानांतरित करने में कामयाब रहे।

जोखिमों को कैसे कम करें?

एक तरह से, फ्लैश लोन क्रिप्टो के महान तुल्यकारकों में से एक है। वे कम पूंजी वाले व्यापारियों को उच्च-इनाम वाले ट्रेडों में संलग्न होने की अनुमति देते हैं जो आमतौर पर केवल तथाकथित व्हेल के लिए खुले होते हैं। इम्यूनफी में ट्राइएजिंग टीम के टेक लीड एड्रियन हेटमैन ने BeInCrypto को बताया, "लेकिन जैसा कि हमने कई बार देखा है, फ्लैश लोन भी डेफी प्रोटोकॉल के लिए एक बड़ा जोखिम पैदा करते हैं, जो ऐसी चीजों के लिए जिम्मेदार नहीं है।"

“प्रोटोकॉल को न केवल संभावित फ्लैश लोन-सक्षम हमलों के खिलाफ बल्कि व्हेल के हमलों से भी खुद को बचाना चाहिए, यानी अगर बड़े खिलाड़ी अचानक हमारे प्रोटोकॉल का उपयोग करने के लिए अपने बड़े पैमाने पर धन का उपयोग करते हैं तो क्या होगा? क्या सिस्टम इरादे के अनुसार व्यवहार करेगा? हमारा 'इच्छित' व्यापार प्रवाह क्या है? हेटमैन ने जारी रखा। "खतरे की मॉडलिंग प्रणाली की संभावित कमजोरियों को प्रकट करने में मदद करेगी।"

"टाइम-वेटेड एवरेज प्राइस (TWAP) का उपयोग करते हुए, ऑरेकल एक विशिष्ट समय अवधि में औसत कीमतों द्वारा मूल्य हेरफेर को कम करने में मदद कर सकता है, जिससे हमलावरों के लिए एकल लेनदेन में कीमतों में हेरफेर करना अधिक कठिन हो जाता है। इसके अतिरिक्त, बहु-ओरेकल सिस्टम को लागू करने से मूल्य डेटा के लिए अतिरेक और क्रॉस-चेकिंग प्रदान की जा सकती है, हेरफेर के खिलाफ बचाव को और मजबूत किया जा सकता है," हेटमैन ने कहा।

हेटमैन ने बताया कि सर्किट ब्रेकरों को लागू करने से, महत्वपूर्ण मूल्य झूलों का पता चलने पर त्वरित ऋण हमलावरों को हेरफेर की गई कीमतों से लाभ उठाने से रोका जा सकता है। "एक बार कीमतों में उतार-चढ़ाव के कारण की पहचान और समाधान हो जाने के बाद, व्यापार फिर से शुरू हो सकता है। इसमें संभावित वैध ट्रेडों को शामिल करने की आवश्यकता है जो केवल बाहर से संदिग्ध लग सकते हैं।"

"यह भी महत्वपूर्ण है कि प्रमुख प्रोटोकॉल क्रियाओं को केवल एक ब्लॉक पर न होने दिया जाए। फ्लैश ऋण, ज्यादातर समय, केवल एक लेनदेन में एक ब्लॉक के लिए लिया जा सकता है," हेटमैन ने कहा।