ZetaChain کا ​​$334K گیٹ وے ایکسپلائٹ: کس طرح زنجیروں سے جڑی کمزوری نے ٹیم کے بٹوے کو 4 زنجیروں میں ختم کیا

ٹیبل آف کنٹینٹ ZetaChain نے 26 اپریل 2026 کو ہدفی استحصال کی تصدیق کی، جس کے نتیجے میں تقریباً $333,868 کا نقصان ہوا۔ اس حملے نے پروٹوکول کے گیٹ وے ای وی ایم معاہدے کو ڈیزائن کی کمزوریوں کے دانستہ سلسلے کے ذریعے نشانہ بنایا۔ اس واقعے میں کسی بیرونی صارف کے فنڈز ضائع نہیں ہوئے۔ تینوں متاثرہ بٹوے ZetaChain کے کنٹرول میں تھے۔ اس کے بعد سے ایک پیچ تعینات کر دیا گیا ہے، اور کراس چین ٹرانزیکشنز آپریٹر کے مکمل اپ گریڈز تک موقوف ہیں۔ استحصال ZetaChain کے GatewayEVM معاہدے کے اندر صوابدیدی کال کی فعالیت پر مرکوز ہے۔ ایک حملہ آور نے کراس چین پیغامات میں عام مرسل کی توثیق کو نظرانداز کرنے کے لیے isArbitraryCall پرچم کا استعمال کیا۔ اس کی وجہ سے ZetaClient سافٹ ویئر بھیجنے والے کے ایڈریس کو صفر کر دیتا ہے، _executeArbitraryCall() کے ذریعے کالوں کو روٹنگ کرتا ہے۔ اس فنکشن نے کم سے کم پابندیوں کے ساتھ خام بیرونی کالیں انجام دیں۔ فنکشن کا واحد تحفظ آن کال اور آن ریورٹ سلیکٹرز کو بلاک کرنے سے انکار کی فہرست تھی۔ ERC-20 کے اہم فنکشنز جیسے TransferFrom اور approv کو غیر مسدود چھوڑ دیا گیا تھا۔ حملہ آور نے منزل کو ERC-20 ٹوکن کنٹریکٹ کے طور پر سیٹ کیا اور ٹرانسفرفرم کو کال ڈیٹا کے طور پر پاس کیا۔ چونکہ گیٹ وے شکار کے بٹوے سے پہلے سے موجود الاؤنسز رکھتا تھا، اس لیے اس نے منتقلی کو کامیابی سے انجام دیا۔ نو ڈرین ٹرانزیکشنز چار زنجیروں میں ہوئیں - ایتھریم، بیس، آربٹرم، اور بی ایس سی۔ سب سے بڑا سنگل ڈرین USDC آن بیس میں $110,291 تھا۔ ایک جامع ڈیون اینالیٹکس اسکین نے اس بات کی تصدیق کی کہ تمام پانچ منسلک ای وی ایم چینز میں کوئی اضافی متاثرین موجود نہیں ہیں۔ ZetaChain نے واقعہ کو براہ راست X پر خطاب کیا، یہ بتاتے ہوئے کہ "کراس چین ZETA ٹرانسفرز متاثر نہیں ہوئے" اور یہ کہ "کوئی صارف کے فنڈز متاثر نہیں ہوئے - تمام متاثرہ بٹوے ZetaChain کے زیر کنٹرول تھے۔" 27 اپریل کو، ZetaChain نے ٹارگیٹڈ استحصال کا تجربہ کیا جس میں جان بوجھ کر تیاری شامل تھی، بشمول ٹورنیڈو کیش فنڈنگ ​​اور والیٹ ایڈریس سپوفنگ۔ کراس چین ZETA کی منتقلی متاثر نہیں ہوئی۔ کوئی صارف کے فنڈز متاثر نہیں ہوئے - تمام متاثرہ بٹوے ZetaChain کے زیر کنٹرول تھے۔ A… — ZetaChain 🟩 (@ZetaChain) اپریل 29، 2026 یہ موقع پرست حملہ نہیں تھا۔ ہیکر نے اس استحصال کو انجام دینے سے تقریباً تین دن پہلے ٹورنیڈو کیش کے ذریعے پرائمری والیٹ کو فنڈ فراہم کیا۔ اس دانستہ قدم نے آپریشن سے پہلے فنڈز کی اصلیت کو دھندلا دیا۔ حملہ آور نے زبردستی ایک وینٹی والیٹ ایڈریس بھی چھین لیا جو متاثرہ کے اصلی پتے سے بہت مشابہ تھا۔ جعلی ایڈریس نے حقیقی ایک کے ساتھ 13 مماثل ہیکساڈیسیمل حروف کا اشتراک کیا — چار سابقہ ​​پر اور نو لاحقہ پر۔ اسے بنانے کے لیے تخمینہ 4.5 quadrillion ٹرائل کیز درکار ہیں، جن کی لاگت GPU کمپیوٹ میں $300 اور $2,500 کے درمیان ہے۔ اس جعلی ایڈریس کا استعمال متاثرہ کو دھول کے لین دین بھیجنے کے لیے کیا گیا تھا، اور ان کی لین دین کی تاریخ میں ایک جیسا لگا ہوا تھا۔ یہ تکنیک استفادہ کرتی ہے کہ کس طرح والیٹ انٹرفیس ڈسپلے کے لیے پتوں کو تراشتا ہے۔ کراس چین کالوں کو آرکیسٹریٹ کرنے کے لیے ZetaChain پر ایک مقصد سے بنایا ہوا ڈرینر کنٹریکٹ بھی تعینات کیا گیا تھا۔ ہر ایک ڈرین صفر منزل کی ناکامیوں کے ساتھ کامیاب ہوا۔ پوسٹ مارٹم نے اس پیٹرن کو نوٹ کیا، تجویز کیا کہ "ہیکر نے عمل کرنے سے پہلے احتیاط سے ہر ہدف کے الاؤنس کی حالت اور ٹوکن بیلنس کی توثیق کی تھی۔" ZetaChain نے حملے کا پتہ لگانے کے آٹھ منٹ کے اندر تمام کراس چین ٹرانزیکشنز کو روک دیا۔ ٹیم نے اسی دن ZetaHub ڈپازٹ فلو سے لامحدود الاؤنس کی منظوریوں کو ہٹا دیا۔ نئے ڈپازٹس اب صرف درست رقم کی منظوری دیتے ہیں فی لین دین درکار ہے۔ ایک zetaclient پیچ تیار کیا گیا تھا، جس کا ٹیسٹ نیٹ پر تجربہ کیا گیا تھا، اور اب یہ مین نیٹ آپریٹر نوڈس پر آ رہا ہے۔ پیچ مستقل طور پر صوابدیدی کال کوڈ کے راستے کو غیر فعال کرتا ہے جس نے اس استحصال کو ممکن بنایا۔ تصدیق کنندہ نوڈ آپریٹرز کو کارروائی کرنے کی ضرورت نہیں ہے - صرف مبصر نوڈس کو اپ گریڈ کی ضرورت ہوتی ہے۔ تمام شناخت شدہ استحصالی پتوں کو SEAL 911 ایمرجنسی رسپانس نیٹ ورک کے ذریعے جھنڈا لگایا گیا تھا۔ IC3.gov کے ذریعے قانون نافذ کرنے والے اداروں کے ساتھ ایک رپورٹ بھی درج کرائی گئی۔ Ethereum پر چوری شدہ فنڈز کو تقریباً 139 ETH میں تبدیل کر دیا گیا اور ایک کنسولیڈیشن والیٹ میں منتقل کر دیا گیا۔ ZetaChain اپنے بگ باؤنٹی ٹرائیج کے عمل کا بھی جائزہ لے رہا ہے۔ پوسٹ مارٹم نے تسلیم کیا کہ اس خطرے کو پہلے ہی نشان زد کیا گیا تھا، یہ نوٹ کرتے ہوئے کہ "ابتدائی رپورٹس کو مسترد کر دیا گیا تھا کیونکہ صوابدیدی کال کے رویے کو ڈیزائن کے مطابق سمجھا جاتا تھا۔" پروٹوکول نے مزید کہا کہ اس واقعے کے بعد سے زنجیر زدہ حملہ کرنے والے ویکٹرز کے لیے ٹرائیج کے طریقہ کار کا جائزہ لیا گیا ہے۔ سابقہ ​​گیٹ وے تعاملات والے صارفین کو مشورہ دیا جاتا ہے کہ وہ Revoke.cash جیسے ٹولز کا استعمال کرتے ہوئے ERC-20 الاؤنسز کو منسوخ کریں۔