$292 ملین Kelp DAO کا استحصال ظاہر کرتا ہے کہ کیوں کرپٹو پل اب بھی انڈسٹری کے کمزور ترین لنکس میں سے ایک ہیں۔

KelpDAO سے منسلک $292 ملین کا استحصال کرپٹو برج ہیکس کی ایک لمبی لائن میں تازہ ترین ہے، جس میں اس بات کی نشاندہی کی گئی ہے کہ بلاک چینز کو جوڑنے کے لیے بنائے گئے سسٹمز ان کو توڑنے کے کچھ آسان ترین طریقے بن گئے ہیں۔

اس واقعے میں KelpDAO کا LayerZero کے کراس چین میسجنگ سسٹم کا استعمال شامل ہے، ایک قسم کا بنیادی ڈھانچہ جو بڑے پیمانے پر ڈیٹا اور اثاثوں کو بلاکچینز کے درمیان منتقل کرنے کے لیے استعمال ہوتا ہے۔

پلوں کا مقصد صارفین کو اثاثوں کو ایک بلاکچین سے دوسرے میں منتقل کرنے کی اجازت دینا ہے، جیسے ایتھریم سے ایک مختلف نیٹ ورک پر۔ لیکن ہموار کنیکٹر کے طور پر کام کرنے کے بجائے، وہ بار بار کمزور پوائنٹس میں تبدیل ہو گئے ہیں، جس سے پچھلے کچھ سالوں میں اربوں ڈالر کا نقصان ہوا ہے۔

تو ایسا کیوں ہوتا رہتا ہے؟

کرپٹو ایکو سسٹم کے رہنماؤں کا کہنا ہے کہ جواب صرف برا کوڈ یا لاپرواہ غلطیاں نہیں ہے۔ مسئلہ زیادہ بنیادی ہے؛ یہ اس میں ہے کہ پل کیسے بنائے جاتے ہیں۔

بنیادی مسئلہ: مڈل مین پر بھروسہ کرنا

مسئلے کو سمجھنے کے لیے، یہ دیکھنے میں مدد ملتی ہے کہ پل اصل میں کیا کرتا ہے۔

اگر آپ ایک بلاک چین سے دوسرے میں ٹوکن منتقل کرتے ہیں، تو دوسری زنجیر کو اس بات کا ثبوت درکار ہوتا ہے کہ آپ کے ٹوکن موجود تھے اور پہلے والے پر مقفل تھے۔ ایک مثالی دنیا میں، یہ خود اس کی تصدیق کرے گا۔ حقیقت میں، یہ بہت مہنگا اور پیچیدہ ہے.

ایسپریسو سسٹمز کے سی ای او بین فش نے کہا کہ "زیادہ تر پل اس بات کی مکمل تصدیق نہیں کرتے کہ دوسری زنجیر پر کیا ہوا ہے۔" "اس کے بجائے، وہ اس کی اطلاع دینے کے لیے ایک چھوٹے سسٹم پر انحصار کرتے ہیں۔ وہ [دوسرا] سسٹم وہ چیز بن جاتا ہے جس پر آپ بھروسہ کرتے ہیں۔"

اس لیے سچائی کو آزادانہ طور پر جانچنے کے بجائے، پل اسے آؤٹ سورس کرتا ہے، اکثر چھوٹے توثیق کرنے والے گروپوں یا بیرونی نیٹ ورکس جیسے LayerZero یا Axelar کو۔ یہ شارٹ کٹ خطرہ پیدا کرتا ہے۔ Kelp DAO سے متعلقہ استحصال میں، حملہ آوروں نے پل میں ڈیٹا فیڈنگ کرنے کو نشانہ بنایا۔

فش نے کہا، "حملہ آوروں نے نوڈس سے سمجھوتہ کیا اور سسٹم کو حقیقت کا غلط ورژن کھلایا۔" "پل نے ڈیزائن کے مطابق کام کیا۔ اس نے صرف غلط معلومات پر یقین کیا۔"

برج ہیکس اکثر سطح پر مختلف نظر آتے ہیں۔ کچھ میں چوری شدہ چابیاں شامل ہیں، دوسروں میں ناقص سمارٹ معاہدے شامل ہیں۔ لیکن ماہرین کا کہنا ہے کہ یہ ایک گہرے مسئلے کی علامات ہیں۔ اصل مسئلہ یہ ہے کہ سسٹمز کو کس طرح ڈیزائن کیا گیا ہے۔

"جو کچھ بھی غلط ہو سکتا ہے وہ غلط ہو جائے گا، اور برج ہیکس ایک بہترین مثال ہیں،" سرج کنز، 1 انچ کے شریک بانی نے کہا۔ "آپ کوڈ کی کمزوریاں، مرکزیت کے مسائل، سوشل انجینئرنگ، یہاں تک کہ معاشی حملے بھی نظر آتے ہیں۔ عام طور پر یہ ایک مرکب ہوتا ہے۔"

پل کیسے کام کرتے ہیں۔

صارفین کے لیے، پل سادہ نظر آتے ہیں۔ آپ ایک بٹن پر کلک کرتے ہیں اور اثاثوں کو ایک بلاکچین سے دوسرے میں منتقل کرتے ہیں۔ پردے کے پیچھے، عمل زیادہ پیچیدہ ہے۔

سب سے پہلے، آپ کے ٹوکن اصل بلاکچین پر مقفل ہیں۔ پھر ایک علیحدہ نظام تصدیق کرتا ہے کہ ٹوکن لاک ہیں۔ یہ نظام عام طور پر آپریٹرز یا توثیق کرنے والوں کے ایک چھوٹے گروپ پر مشتمل ہوتا ہے۔ پھر وہ آپریٹرز دوسرے بلاک چین کو پیغام بھیجتے ہیں کہ ٹوکن لاک کر دیے گئے ہیں تاکہ نئے جاری کیے جا سکیں۔ اگر وہ پیغام قبول کر لیا جاتا ہے، تو دوسری زنجیر آپ کے ٹوکنز کا ایک نیا ورژن بناتی ہے۔ یہ لپیٹے ہوئے ٹوکن ہیں، جیسے rsETH یا WBTC۔

مسئلہ یہ ہے کہ یہ عمل اس پیغام کو بھیجنے والے پر بھروسہ کرنے پر منحصر ہے۔ اگر حملہ آور اس نظام سے سمجھوتہ کرتے ہیں، تو وہ ایک غلط پیغام بھیج سکتے ہیں اور ایسے ٹوکن بنا سکتے ہیں جن کی اصل زنجیر پر کبھی حمایت نہیں کی گئی تھی۔

فش نے کہا، "سب سے خراب صورت حال یہ ہے کہ جب نظام واقعی کسی چیز کی جانچ نہیں کر رہا ہے۔" "یہ صرف کسی اور کے واقعات کے ورژن پر بھروسہ کرنا ہے۔"

جب ایک ناکامی پھیل جاتی ہے۔

یہ دیکھتے ہوئے کہ پل کتنی بار فیل ہوتے ہیں، انڈسٹری نے انہیں ٹھیک کیوں نہیں کیا؟

جواب کا کچھ حصہ ترغیبات پر آتا ہے۔ "سیکیورٹی اکثر اولین ترجیح نہیں ہوتی،" کنز نے کہا۔ "ٹیمیں تیزی سے لانچ کرنے، صارفین کی تعداد بڑھانے اور لاک ویلیو کو بڑھانے پر توجہ مرکوز کرتی ہیں۔"

محفوظ نظام بنانے میں وقت اور پیسہ لگتا ہے۔ بہت سے DeFi پروجیکٹ محدود وسائل کے ساتھ کام کرتے ہیں، جس سے آڈٹ، نگرانی اور بنیادی ڈھانچے میں بھاری سرمایہ کاری کرنا مشکل ہو جاتا ہے۔

ایک ہی وقت میں، پروجیکٹس مزید بلاکچینز کو سپورٹ کرنے کے لیے دوڑ رہے ہیں۔ ہر نیا انضمام پیچیدگی کا اضافہ کرتا ہے۔ "ہر نیا کنکشن مزید مفروضوں کا اضافہ کرتا ہے،" فش نے کہا۔

برج ہیکس شاذ و نادر ہی موجود رہتے ہیں۔ برجڈ اثاثوں کو قرض دینے کے پروٹوکول، لیکویڈیٹی پولز اور پیداوار کی حکمت عملیوں میں استعمال کیا جاتا ہے۔ اگر ان اثاثوں سے سمجھوتہ کیا جائے تو نقصان پھیلتا ہے۔

"دیگر پلیٹ فارمز ہیک شدہ اثاثے کو جائز سمجھ سکتے ہیں،" کنز نے کہا۔ "اس طرح متعدی بیماری ہوتی ہے۔" صارفین کو شاذ و نادر ہی بتایا جاتا ہے کہ پل دراصل کیسے کام کرتا ہے یا کیا غلط ہوسکتا ہے۔

پلوں کو محفوظ بنانے کے طریقے ہیں۔ فش کا کہنا ہے کہ ایک اہم قدم مشترکہ انفراسٹرکچر کے بجائے آزاد ڈیٹا ذرائع پر انحصار کرکے ناکامی کے واحد نکات کو دور کرنا ہے۔

عملی طور پر، یہ "ڈیٹا ذرائع" وہ کمپیوٹر ہیں جو بلاک چینز کو دیکھتے ہیں اور رپورٹ کرتے ہیں کہ کیا ہوا ہے۔ وہ خود پل کے ذریعے، بیرونی نیٹ ورکس جیسے LayerZero، یا انفراسٹرکچر فراہم کرنے والوں کے ذریعے چلائے جا سکتے ہیں۔ لیکن بہت سے لوگ ایک ہی بنیادی خدمات پر انحصار کرتے ہیں، یعنی ایک ہی سمجھوتہ شدہ ذریعہ متعدد سسٹمز میں خراب ڈیٹا کو فیڈ کر سکتا ہے۔

"اگر ہر کوئی ایک ہی ذریعہ پر انحصار کر رہا ہے، تو آپ نے خطرہ کم نہیں کیا ہے،" انہوں نے کہا۔ "آپ نے ابھی اسے کاپی کیا ہے۔"

دیگر طریقوں میں ہارڈ ویئر کے تحفظات اور غلط کنفیگریشنز کو جلد پکڑنے کے لیے بہتر نگرانی شامل ہے۔ کچھ ڈویلپرز ایسے ڈیزائن پر بھی کام کر رہے ہیں جو براہ راست کریپ کا استعمال کرتے ہوئے ڈیٹا کی تصدیق کرتے ہیں۔