$292 ملین Kelp کا استحصال: یہ کیسے ہوا، اور DeFi کے لیے اس کا کیا مطلب ہے۔

ہفتے کے آخر میں تقریباً 292 ملین ڈالر کے استحصال نے کرپٹو انڈسٹری کو ہلا کر رکھ دیا ہے، جس سے وکندریقرت مالیات (DeFi) کے بنیادی ڈھانچے میں کمزوریوں کا پردہ فاش ہو گیا ہے اور قرض دینے کے پروٹوکول پر دستک کے اثرات کے بارے میں خدشات بڑھ رہے ہیں۔

جب کہ تحقیقات ابھی بھی جاری ہیں، ابتدائی تجزیے سے پتہ چلتا ہے کہ حملہ Kelp کے rsETH ٹوکن - ایتھر ($ETH) کا ایک پیداواری ورژن - اور بلاکچینز کے درمیان اثاثوں کو منتقل کرنے کے لیے استعمال ہونے والا طریقہ کار ہے۔

ایسا لگتا ہے کہ حملہ آور نے مناسب پشت پناہی کے بغیر بڑی مقدار میں ٹوکن بنانے کے لیے اس سسٹم میں ہیرا پھیری کی، پھر فوری طور پر ان کا استعمال قرضہ دینے والی منڈیوں سے حقیقی اثاثے لینے اور نکالنے کے لیے کیا، زیادہ تر Aave سے، جو سب سے بڑا وکندریقرت کرپٹو قرض دہندہ ہے۔

یہ واقعہ DeFi کے لیے تازہ ترین دھچکا ہے، جو سولانا پر مبنی پروٹوکول ڈرفٹ کے $285 ملین کے استحصال کے چند ہفتوں بعد ہوا، جس سے تقریباً $90 بلین کرپٹو سیکٹر میں سرمایہ کاروں کے اعتماد کو مزید ٹھیس پہنچی۔

حملہ کیسے کام کرتا تھا۔

ایک اعلی سطح پر، استحصال نے ایک LayerZero پل کے جزو کو نشانہ بنایا - بنیادی ڈھانچے کا ایک ٹکڑا جو اثاثوں کو مختلف بلاکچینز میں منتقل کرنے کے قابل بناتا ہے، ہارڈویئر والیٹ بنانے والی کمپنی لیجر کے CTO، چارلس گیلمیٹ نے ایک نوٹ میں سکے ڈیسک کو بتایا۔

پل عام طور پر ایک زنجیر پر اثاثوں کو لاک کرکے اور دوسرے پر مساوی ٹوکن لگا کر کام کرتے ہیں۔ اس عمل کا انحصار ایک قابل اعتماد ادارے پر ہوتا ہے — جسے اکثر اوریکل یا توثیق کرنے والا کہا جاتا ہے — جمع کی تصدیق کے لیے۔

اس معاملے میں، Kelp نے مؤثر طریقے سے اس تصدیق کنندہ کے طور پر کام کیا۔ Guillemet کے مطابق، یہ نظام سنگل سائنر سیٹ اپ پر انحصار کرتا ہے، یعنی صرف ایک ادارہ کسی بھی لین دین کی منظوری دے سکتا ہے۔

"ایسا لگتا ہے کہ حملہ آور ایک پیغام پر دستخط کرنے کے قابل تھا … اسے بڑی مقدار میں rsETH بنانے کی اجازت دی،" انہوں نے کہا۔ انہوں نے مزید کہا کہ یہ واضح نہیں ہے کہ یہ رسائی کیسے حاصل کی گئی۔

Curve Finance کے بانی مائیکل ایگوروف نے سسٹم کی ترتیب میں اسی کمزوری کی طرف اشارہ کیا۔

"چیزیں اس وقت ہو سکتی ہیں جب آپ کسی ایک پارٹی پر بھروسہ کرتے ہیں - جو بھی ہو۔"

اس سیٹ اپ نے حملہ آور کو مؤثر طریقے سے بغیر پشت پناہی والے ٹوکن بنانے کی اجازت دی، حالانکہ کوئی متعلقہ اثاثہ سورس چین پر مقفل نہیں تھا۔

ایک بار ٹکسال ہونے کے بعد، ٹوکن تیزی سے تعینات کیے گئے تھے۔ Guillemet نے وضاحت کی کہ حملہ آور نے "فوری طور پر انہیں قرض دینے والے پروٹوکول میں زیادہ تر Aave میں جمع کرایا تاکہ حقیقی $ETH کے خلاف قرضہ لیا جا سکے۔"

اس ہتھکنڈے نے مسئلے کو ایک ہی استحصال سے ایک وسیع تر مارکیٹ کے مسئلے میں بدل دیا۔ DeFi قرض دینے والے پلیٹ فارمز اب ایسے کولیٹرل کے ساتھ رہ گئے ہیں جنہیں کھولنا مشکل ہو سکتا ہے، جبکہ قیمتی اور مائع اثاثے پہلے ہی ختم ہو چکے ہیں۔

کریو کے ایگوروف نے کہا، "Aave کے پاس rsETH باقی رہ گیا تھا جسے واقعی فروخت اور زیادہ سے زیادہ قرضہ نہیں لیا جا سکتا ہے، لہذا کوئی بھی $ETH واپس نہیں لے سکتا،" کریو کے ایگوروف نے کہا۔

نتیجے کے طور پر، Aave اور دیگر قرض دینے والے پروٹوکولز قابل اعتراض کولیٹرل اور خراب قرضوں میں سیکڑوں ملین ڈالر پر بیٹھے ہو سکتے ہیں، انہوں نے متنبہ کیا، ممکنہ "بینک رن" کے متحرک ہونے کے خدشات کو بڑھایا کیونکہ صارفین فنڈز نکالنے کے لیے جلدی کرتے ہیں۔

Aave نے پروٹوکول پر اثاثوں میں تقریبا$ 6 بلین ڈالر کی کمی دیکھی کیونکہ اس واقعے کے بعد صارفین نے اپنے اثاثوں کو جھکا دیا۔ پروٹوکول سے وابستہ ٹوکن گزشتہ 24 گھنٹوں کی ٹریڈنگ کے دوران تقریباً 15% کم تھا۔

جو ہم ابھی تک نہیں جانتے

کلیدی سوالات باقی ہیں کہ تصدیق کنندہ سے کیسے سمجھوتہ کیا گیا۔ سسٹم نے LayerZero کے آفیشل نوڈ پر انحصار کیا، اس بات پر غیر یقینی صورتحال پیدا کی کہ آیا اسے ہیک کیا گیا، غلط کنفیگر کیا گیا یا گمراہ کیا گیا۔

"کیا اسے ہیک کیا گیا تھا؟ کیا اسے بے وقوف بنایا گیا تھا؟ ہم نہیں جانتے،" ایگوروف نے کہا۔

حملہ آور کی شناخت بھی نامعلوم ہے، حالانکہ Guillemet نے کہا کہ حملے کا پیمانہ ایک نفیس اداکار کی نشاندہی کرتا ہے۔

"واضح طور پر کچھ اسکرپٹ بچے نہیں ہیں،" انہوں نے کہا۔

DeFi پر اعتماد کے لیے بڑا دھچکا

فوری نقصانات کے علاوہ، exploit the episode ایک اور یاد دہانی کے طور پر کام کرتا ہے کہ جیسے جیسے DeFi ایک دوسرے سے منسلک ہوتا جاتا ہے، ایک پرت میں ناکامیاں تیزی سے پورے سسٹم میں جھڑ جاتی ہیں۔

ایگوروف نے استدلال کیا کہ غیر الگ تھلگ قرض دینے والے ماڈلز، جہاں اثاثے پولوں میں خطرے کا اشتراک کرتے ہیں، ایسے واقعات کے اثرات کو بڑھاتے ہیں۔

انہوں نے اس میں کوتاہیوں کی طرف بھی اشارہ کیا کہ کس طرح نئے اثاثے قرض دینے والے پلیٹ فارمز پر آتے ہیں، کہتے ہیں کہ Kelp کے 1-of-1 تصدیق کنندہ سیٹ اپ جیسی ترتیب کو پہلے جھنڈا لگا دیا جانا چاہیے تھا۔

تاہم، ایگوروف نے کہا کہ ایک چاندی کا استر ہے۔ انہوں نے کہا کہ کرپٹو ایک سخت ماحول ہے جس سے کوئی بھی بینک بچ نہیں سکتا تھا - پھر بھی ہم اس کے ساتھ کام کر رہے ہیں۔ "میرے خیال میں ڈیفی اس واقعے سے سیکھے گا اور پہلے سے زیادہ مضبوط ہو جائے گا۔"

پھر بھی، یہاں تک کہ اس طرح کے واقعات پروٹوکول کو اپ گریڈ کرنے اور نئے سرے سے ڈیزائن کرنے کا باعث بنتے ہیں، وہ وسیع تر DeFi سیکٹر میں سرمایہ کاروں کے اعتماد کو بھی ختم کر دیتے ہیں۔

Guillemet نے کہا، "بالکل، DeFi پروٹوکول پر اعتماد اس قسم کے ایونٹ سے ختم ہو گیا ہے۔"

"اور 2026 ممکنہ طور پر ہیکس کے لحاظ سے بدترین سال ہو گا،" انہوں نے مزید کہا۔

مزید پڑھیں: 'ڈی فائی مر گیا ہے': اس سال کے سب سے بڑے ہیک کے بعد کرپٹو کمیونٹی ہڑبڑا کر متعدی خطرات کو بے نقاب کرتی ہے