Whalesbook
केल्पच्या सुरक्षा रचनेमुळे $290 मिलियनचा हल्ला कसा झाला?
लेअरझिरो लॅब्सने (LayerZero Labs) स्पष्ट केले आहे की, $290 मिलियनच्या हल्ल्याचे मुख्य कारण म्हणजे केल्प डीएओने (Kelp DAO) एकच सुरक्षा पडताळणीकर्ता (single security verifier) वापरण्याचा घेतलेला निर्णय. लेअरझिरोने यापूर्वीच अशा प्रकारच्या एकाच पडताळणी करणाऱ्या सिस्टीमविरोधात (single-verifier setup) इशारा दिला होता. हा हल्ला थेट प्रोटोकॉलच्या कोअर कोडवर (core code) झाला नव्हता, तर त्याच्या पायाभूत सुविधांवर (infrastructure) झाला. लेअरझिरोने उत्तर कोरियाच्या (North Korea) कुख्यात लॅझारस ग्रुपला (Lazarus Group) या हल्ल्यामागे असल्याचे म्हटले आहे. हल्लेखोरांनी लेअरझिरोच्या पडताळणीकर्त्यासाठी (verifier) आवश्यक असलेले दोन रिमोट प्रोसिजर कॉल (RPC) नोड्स हॅक केले. या हॅक झालेल्या नोड्सचा वापर करून बनावट क्रॉस-चेन व्यवहार (fake cross-chain transactions) कन्फर्म करण्यात आले. याचवेळी, इतर नोड्सवर डिस्ट्रीब्युटेड डिनायल-ऑफ-सर्व्हिस (DDoS) हल्ला करून चुकीचा डेटा पुढे रेटण्यात आला. यामुळे केल्पच्या ब्रिजमधून (bridge) हल्लेखोरांना 116,500 rsETH सोडण्यास यश आले. केल्प डीएओचा rsETH ब्रिज केवळ एकाच व्हॅलिडेटरवर, म्हणजेच लेअर झिरो लॅब्सवर अवलंबून होता. या घटनेनंतर, लेअरझिरो आता अशा ऍप्लिकेशन्ससाठी मेसेज पाठवणे थांबवणार आहे जे सिंगल-व्हेरिफायर सिस्टीम वापरतात. यामुळे संपूर्ण प्रोटोकॉलमध्ये मल्टी-व्हेरिफायर सिस्टीम (multi-verifier systems) अवलंबण्याची सक्ती केली जात आहे, ज्यामध्ये अनेक स्वतंत्र पडताळणीकर्त्यांच्या (independent verifiers) सहमतीची आवश्यकता असते. सिंगल पॉइंट ऑफ फेल्युअर (single points of failure) टाळून भविष्यातील हल्ले रोखणे हा यामागील उद्देश आहे. लेअरझिरोने पुष्टी केली आहे की मल्टी-व्हेरिफायर सिस्टीम वापरणाऱ्या इतर कोणत्याही ऍप्लिकेशन्सना याचा फटका बसलेला नाही.
वाढते धोके: लॅझारस ग्रुप आणि पायाभूत सुविधांमधील धोके
या हल्ल्याची प्रगत पद्धत आणि अलीकडील इतर घटना पाहता, सायबर हल्ल्यांचे संकट अधिकच वाढत चालले आहे. लॅझारस ग्रुप, ज्यावर $280 मिलियनच्या ड्रिफ्ट प्रोटोकॉल (Drift Protocol) हल्ल्याचाही आरोप होता, तो हल्ल्याच्या पद्धतींमध्ये वेगाने बदल करत आहे. ड्रिफ्टमध्ये गव्हर्नन्स साइनर्सना (governance signers) लक्ष्य करण्याऐवजी, केल्पमध्ये त्यांनी पायाभूत सुविधांमधील आरपीसी नोड्सना (infrastructure RPCs) लक्ष्य केले. अनेक डीफाय (DeFi) प्रोटोकॉल त्यांच्या सुरक्षेमध्ये सुधारणा करण्याच्या गतीपेक्षा हल्लेखोरांची ही लवचिकता जास्त आहे. या घटनेमुळे आरपीसी नोड्सचे धोकेही समोर आले आहेत, जे ब्लॉकचेन डेटासाठी प्रवेशद्वार म्हणून काम करतात. हॅक झालेले आरपीसी नोड्स बनावट व्यवहार कन्फर्म करण्यासाठी वापरले जाऊ शकतात, जसे या प्रकरणात घडले. ब्लॉकचेन नेटवर्क्स सुरळीत चालण्यासाठी आरपीसी नोड्सची उपलब्धता अत्यंत महत्त्वाची आहे. गेल्या दोन वर्षांत डीफायमध्ये झालेल्या एकूण नुकसानीपैकी सुमारे 70% नुकसान केवळ ब्रिज हॅक्समुळे झाले आहे. लेअरझिरो, जी ब्लॉकचेन पायाभूत सुविधांमधील एक प्रमुख कंपनी असून तिने $318 मिलियन पेक्षा जास्त निधी उभारला आहे आणि $3 बिलियनचे मूल्यांकन गाठले आहे, आता तिच्या नेटवर्कच्या सुरक्षेवर आणि इंटिग्रेशन्सच्या कॉन्फिगरेशनवर अधिक लक्ष केंद्रित केले जात आहे. अमेरिकेच्या 2026 च्या नॅशनल सायबरसिक्युरिटी स्ट्रॅटेजीमध्ये (National Cybersecurity Strategy) ब्लॉकचेन आणि क्रिप्टो मालमत्तांचे संरक्षण करण्याला प्राधान्य दिले आहे, कारण या तंत्रज्ञानांना गंभीर पायाभूत सुविधा मानले जाते.
कॉन्फिगरेशन त्रुटींमुळे मोठे नुकसान, केवळ प्रोटोकॉलमधील त्रुटींमुळे नाही
केल्प डीएओ (Kelp DAO) हल्ल्याची घटना हा एक मोठा इशारा आहे की, मजबूत कोअर प्रोटोकॉल (core protocols) असूनही, असुरक्षित सेटअप्समुळे गंभीर धोके निर्माण होऊ शकतात. लेअरझिरोने (LayerZero) शिफारस केलेली मल्टी-व्हेरिफायर सिस्टीम न वापरण्याचा केल्पचा निर्णय हा प्रोटोकॉलमधील त्रुटी नसून, इंटिग्रेटरच्या (integrator) चुकीच्या निवडीमुळे मोठी असुरक्षितता निर्माण झाली. जरी कोअर प्रोटोकॉलमध्ये बग (bug) असला तर त्याचा परिणाम सर्व संबंधित टोकन्सवर होतो, परंतु हा एका विशिष्ट ऍप्लिकेशनच्या आर्किटेक्चरमधील (architecture) अपयश होते, तरीही आर्थिक नुकसान तितकेच गंभीर होते. लॅझारस ग्रुप (Lazarus Group) अतिशय यशस्वी ठरला असून, या हल्ल्यापूर्वीच्या 18 दिवसांत डीफायमधून $575 मिलियन पेक्षा जास्त रक्कम हडपली आहे. हे त्यांच्या बदलत्या कार्यपद्धतीचे (playbook) दर्शन घडवते आणि डीफाय प्रोटोकॉल्सवर केवळ स्मार्ट कॉन्ट्रॅक्ट्स (smart contracts) नव्हे, तर ते अवलंबून असलेल्या बाह्य पायाभूत सुविधा आणि कॉन्फिगरेशन्स सुरक्षित करण्याची वाढती दबाव दर्शवते. डीफायची आंतरकनेक्टेड (interconnected) प्रकृती म्हणजे, एक कमकुवत दुवा, विशेषतः ब्रिज कॉन्ट्रॅक्ट्स (bridge contracts) किंवा आरपीसी नोड्समध्ये (RPC nodes), व्यापक समस्या निर्माण करू शकतो. केल्प घटनेनंतर एव्ह (Aave), कंपाऊंड (Compound) आणि यूलर (Euler) सारख्या प्रोटोकॉलवरही याचे परिणाम दिसून आले. एक मुख्य आव्हान कायम आहे: वैयक्तिक डीफाय ऍप्सची सुरक्षा, ते वापरत असलेल्या पायाभूत सुविधांची सुरक्षा कमी करण्याऐवजी वाढवते याची खात्री करणे.
लेअरझिरोचा आदेश उद्योगाला अधिक मजबूत सुरक्षेसाठी प्रेरित करत आहे
लेअरझिरोने (LayerZero) मल्टी-व्हेरिफायर कॉन्फिगरेशन (multi-verifier configurations) अनिवार्य करण्याचा घेतलेला कडक निर्णय हा क्रॉस-चेन कम्युनिकेशनसाठी (cross-chain communication) अधिक सुसंगत आणि लवचिक सुरक्षेच्या दिशेने उद्योगाला मार्गदर्शन करणारा एक महत्त्वाचा टप्पा आहे. ही धोरणात्मक बदल ब्लॉकचेन क्षेत्रातील व्यापक ट्रेंडला (trend) प्रतिबिंबित करते, जिथे अभियांत्रिकी परिपक्वता (engineering maturity) आणि मजबूत पायाभूत सुविधा (strong infrastructure) वाढत्या दत्तकतेसह (adoption) अधिकाधिक महत्त्वाचे ठरत आहेत. जसजसे डीफाय (DeFi) अधिक संस्थात्मक सहभाग (institutional involvement) आणि उच्च मालमत्ता मूल्यांकडे (higher asset values) वाटचाल करत आहे, तसतसे सिद्ध सुरक्षित आणि विश्वासार्ह पायाभूत सुविधांची मागणी वाढेल. ही घटना केवळ कोड तपासणीवरच (code checks) नव्हे, तर सर्व संबंधित घटकांसाठी शिफारस केलेल्या सुरक्षा सेटअपचे (security setups) बारकाईने मूल्यांकन करणे आणि त्यांचे पालन करण्याचे महत्त्व अधोरेखित करते. राष्ट्रीय धोरणांमध्ये (national strategies) सायबर सुरक्षेवर वाढलेले लक्ष हे देखील सूचित करते की भविष्यातील नियमांमुळे (regulations) ब्लॉकचेन पायाभूत सुविधांसाठी उच्च मानके (higher standards) आवश्यक असतील, ज्यामुळे सुरक्षेसाठी अधिक दूरदृष्टीचा दृष्टिकोन (forward-thinking approach) वाढेल.