Yieldly का लीगेसी स्टेकिंग एस्क्रो भुगतान पढ़े बिना ही ALGO निकाल ले गया
बयानबाजी के 92 सेकंड के भीतर पांच भुगतानों ने Yieldly के लीगेसी स्टेकिंग वॉल्ट से करीब 390,000 ALGO बाहर निकाल दिए, जबकि धारकों को काफी पहले ही अपनी राशि निकालने के लिए कहा जा चुका था। इसका एस्क्रो प्रोग्राम ऐसा लगता है जो किसी भी भुगतान को बिना प्राप्तकर्ता, राशि या परिसंपत्ति पढ़े मंजूरी दे देता है। खाते में अब 0.20107 ALGO बचा है।
15 अक्टूबर 2026 की सुबह बयानबाजी के 92 सेकंड के भीतर पांच भुगतान Yieldly के एक स्टेकिंग कॉन्ट्रैक्ट खाते से निकले। इन सबने मिलकर उस वॉल्ट से करीब 390,377 ALGO बाहर निकाला, जिसे खाली करने के लिए परियोजना ने उपयोगकर्ताओं से तीन साल पहले कह दिया था। पहला भुगतान करीब 14,3741 ALGO का था और आखिरी करीब 174,763 का। कॉन्ट्रैक्ट ने भुगतान इसलिए किया क्योंकि उसके अपने बहीखाते में एक ऐसी जमा दर्ज हो गई थी जो कभी आई ही नहीं, और वह भी ऐसे टोकन में जो उसके पास कभी था ही नहीं।
यह खाता Yieldly के लीगेसी स्टेकिंग dapp के पीछे का एस्क्रो है, जहां धारक प्रतिफल कमाने के लिए अपने टोकन छोड़ते थे। परियोजना ने उनसे अप्रैल 2023 में और फिर उसी साल जुलाई में अपना स्टेक निकालने को कहा था। वॉल्ट में जो बचा था वह ALGO था, और वह एक प्रकाशित प्रोग्राम के पीछे पड़ा रहा जो ऐसा लगता है कि जिस भुगतान पर हस्ताक्षर करता है, उसका न प्राप्तकर्ता पढ़ता है और न राशि।
खर्च होने से आठ सेकंड पहले बना टोकन
जिस खाते ने पैसा लिया, वह उसी सुबह खोला गया था और उसमें 12 ALGO डाले गए थे। उसने FUEL नाम का एक टोकन बनाया, जिसमें न दशमलव थे और न कोई प्रबंधक, फ्रीज़, clawback या रिज़र्व भूमिका। इसके निर्माता ने पूरी आपूर्ति अपने ही पते पर भेज दी, ऐसा हस्तांतरण जिससे कोई शेष नहीं बदला।
आठ सेकंड बाद एस्क्रो ने उसी खाते को 3,239,706,903.7436723 YLDY का भुगतान किया, यानी करीब 3.244 अरब टोकन, जो 105 अरब की आपूर्ति का एक तिहाई है। स्टेकिंग प्रोग्राम ऐसा लगता है कि हर खाते के लिए एक शेष रखता है और उसमें किसी हस्तांतरण की राशि जोड़ देता है, बिना परिसंपत्ति आईडी की तुलना किए। FUEL पूरी इकाइयों में गिना जाता है और YLDY दस लाखवें हिस्से में, इसलिए एक टोकन की कच्ची गिनती को दूसरे की गिनती मान लिया गया।
उस शेष को जमा करने के लिए एस्क्रो को कुछ भेजने की ज़रूरत नहीं थी। जमा के रास्ते के आगे लगा जांच प्रोग्राम किसी भी ऐसी कॉल पर सफलता लौटाता है जो किसी पोज़िशन को बंद करती है, बिना कोई आर्ग्युमेंट पढ़े, इसलिए संरक्षित रास्ते को छोड़ा जा सकता है। इसके बाद जमा की शाखा किसी भुगतान की राशि जमा कर देती है, बिना पुष्टि किए कि पैसा उस खाते तक पहुंचा जिसके पास धन है।
निकासियां भी इसी ढांचे पर चलती हैं। पांचों में से हर एक से करीब आठ सेकंड पहले उसी खाते ने अपने आप को उतनी ही राशि का भुगतान किया, करीब 14,3746 ALGO से लेकर करीब 174,763 तक, ऐसे समूहों में जहां किसी भी पते का शेष नहीं बदला। वे जमाएं कॉन्ट्रैक्ट के अपने रिकॉर्ड में प्रविष्टियां थीं। जो ALGO बाहर गया वह कॉन्ट्रैक्ट का अपना शेष था, भेजने वाले ने जो डाला था वह नहीं।
ऐसा वॉल्ट जिसने भुगतान के बारे में कुछ नहीं पढ़ा
जिस खाते ने भुगतान किया वह एक लॉजिक सिग्नेचर है, एक छोटा प्रोग्राम जिसमें चुराने के लिए कोई निजी कुंजी नहीं है। Yieldly के डिप्लॉयर ने इसे 5 जून 2021 को 2 ALGO के साथ खोला था। इसका प्रकाशित प्रोग्राम ऐसा लगता है कि तीन शर्तों पर भुगतान को मंजूरी देता है। समूह में दो से छह लेनदेन होने चाहिए, और पहला किसी एक खास Yieldly एप्लिकेशन को कॉल होना चाहिए। पहले दो में से कोई भी रीकी सेट न करे। ऐसा लगता है कि यह जिस भुगतान पर हस्ताक्षर करता है, उसका कोई प्राप्तकर्ता, राशि या परिसंपत्ति नहीं पढ़ता।
इन शर्तों के भीतर यह किसी भी आकार का, किसी भी परिसंपत्ति का, किसी भी पते को भुगतान पर हस्ताक्षर कर सकता था। इस पढ़त के हिसाब से ऐसा लगता है कि तोड़ने की ज़रूरत किसी चीज़ में नहीं पड़ी और कोई कुंजी ढूंढ़नी नहीं पड़ी। प्रोग्राम ऐसा लगता है कि भुगतान कौन भेज रहा है, इस बारे में कुछ नहीं पूछता, इसलिए बाहरी व्यक्ति और पूर्व उपयोगकर्ता दोनों एक ही शर्तों पर खरे उतरे। एस्क्रो का खाता पृष्ठ7 अब 0.201078 ALGO दिखाता है, जो उसे खुला रखने वाले 0.2 ALGO के न्यूनतम से बस थोड़ा ही ऊपर है।
सुर्खी में छपा 400k बाद में किया गया भुगतान है
r/AlgorandOfficial पर यह मामला उठाने वाले थ्रेड9 ने कहा था कि स्टेकिंग कॉन्ट्रैक्ट को '400k10 Algo के लिए हैक कर लिया गया', और इशारा Halborn के 2021 के ऑडिट की ओर किया। जवाबों में कोई इसे हैक कहता रहा तो कोई संचालकों को दोष देता रहा। सुर्खी के पीछे का आंकड़ा, 404,751.14087711 ALGO, वह एक ही हस्तांतरण है जो प्राप्तकर्ता वॉलेट ने आखिरी निकासी के चार मिनट बाद किया, और यह वॉल्ट से निकले धन से बड़ा है।
यह वॉल्ट का पैसा और जमा किए गए टोकनों की बिक्री से मिली रकम का जोड़ है। खाते ने 1,898,163,508.44209812 YLDY एक कॉन्ट्रैक्ट खाते को 8,435.73485413 ALGO में बेचा, और 1,341,543,395.30157314 YLDY एक Tinyman पूल में 5,934.49038915 के लिए डाला। इन दो बिक्री से 14,370.22524316 ALGO मिले। इसे वॉल्ट से निकली राशि में जोड़ें तो योग 404,751.14087717 से कुछ ALGO कम बैठता है, और रिकॉर्ड इस अंतर को नहीं भरता।
YLDY की खुद की कीमत अब बहुत कम है: 19 अक्टूबर तक बाज़ार मूल्य करीब $2,878, और एक दिन का कारोबार सिर्फ $13.44।
आगे भेजा गया पैसा कुछ ही घंटों में फिर चला। यह दो और सामान्य खातों से गुज़रा, और उनमें से आखिरी ने 19 अक्टूबर को 220,000 ALGO आगे भेज दिए। तीनों में से कोई भी किसी नाम से मेल नहीं खाता।
ऑडिट ने अलग कोड जांचा था
Halborn का काम 8 से 19 मई 2021 तक चला और उसमें Yieldly के लॉटरी कॉन्ट्रैक्ट शामिल थे। रिपोर्ट18 कहती है कि समय और संसाधनों की सीमाओं के चलते सिर्फ सबसे ज़रूरी पहलुओं की जांच की गई। रिपोर्ट के मुताबिक, इसके पांच निष्कर्षों में से एक, HAL-02, जिसे निम्न स्तर का दर्जा दिया गया था, ऐसे लेनदेन का ज़िक्र करता था जो प्रॉक्सी से होकर नहीं गुज़रते थे जबकि एस्क्रो उनसे ऐसा होने की उम्मीद करता था, और यह ठीक इसी सीमा पर था।
जिन प्रोग्रामों ने भुगतान किए, वे इसके बाद जारी हुए। दोनों स्टेकिंग एप्लिकेशन आखिरी बार 2 जुलाई 2021 को अपडेट हुए, यानी काम खत्म होने के बाद, और तब से इनमें कोई बदलाव नहीं हुआ। उस ऑडिट को स्टेकिंग वॉल्ट के भरोसे के तौर पर पेश करना उस कोड पर भरोसा जताना है जो अक्टूबर में चल ही नहीं रहा था।
बंद होने की सूचना के तीन साल बाद
Yieldly ने धारकों से अप्रैल 2023 में निकालने को कहा, फिर जुलाई में दोबारा। 20 अप्रैल की पोस्ट19 में लिखा था: 'dapp के 30 दिनों के भीतर ऑफलाइन होने से पहले अपना स्टेक Yieldly स्टेकिंग से निकाल लें,20' और बंद करने के लिए मई का अंत तय किया गया। 25 जुलाई की घोषणा21 में उपयोगकर्ताओं से कहा गया, '26 जुलाई की रात 10 बजे EST से पहले अपना धन Yieldly स्टेकिंग से निकाल लें22'। वे पांच भुगतान उस समय-सीमा के 1,177 दिन बाद आए।
Yieldly ने इन हस्तांतरणों पर कुछ नहीं कहा है। उसके घोषणा चैनल23 पर मार्च 2024 से, Medium फ़ीड24 पर अप्रैल 2023 से, और X खाते25 पर जनवरी 2025 के बाद की कोई पोस्ट नहीं है।
dapp तो चला गया; कॉन्ट्रैक्ट रह गए। एस्क्रो ने 2025 में भी YLDY बाहर भेजा, जिसमें 4 अगस्त को एक ही हस्तांतरण में 112,376,408.272 टोकन शामिल थे, यानी प्रोग्राम अब भी किसी का जवाब दे रहा था। उसके पास ALGO भी था, और वही बाहर गया। प्रोग्रामों में जिन अन्य एप्लिकेशन एस्क्रो का ज़िक्र है, उनमें अब कुछ नहीं है।
स्रोत
इस कहानी के 17 आंकड़े जाँचे गए हैं। 6 सीधे चेन से पढ़े गए।हर जाँच देखें