71 मिलियन डॉलर जमे हुए, 175 मिलियन डॉलर पहले ही गायब: केल्प DAO हैकर कितना कुशलता से ले रहा है 292 मिलियन चुराए गए ईथर की सफाई

आर्बिट्रम ने तेज़ी से कार्रवाई की। सोमवार की रात, आर्बिट्रम सिक्योरिटी काउंसिल ने 30,766 ETH (लगभग $71 मिलियन) से अधिक को फ्रीज़ कर दिया, जो आर्बिट्रम वन पर केल्पडीएओ (KelpDAO) के शोषण से सीधे जुड़े एक वॉलेट में थे। काउंसिल ने कहा कि उन्होंने हमलावर की पहचान के संबंध में कानून प्रवर्तन से मिली जानकारी के आधार पर कार्रवाई की और इस कार्रवाई से किसी अन्य आर्बिट्रम उपयोगकर्ता या एप्लिकेशन पर कोई असर नहीं पड़ा। डीफाई (DeFi) वातावरण में वास्तविक समय में इस स्तर का ऑन-चेन हस्तक्षेप शायद ही कभी देखा जाता है, इसलिए आर्बिट्रम के लिए यह वास्तव में एक निर्णायक कार्रवाई थी।

हैकर ने और भी तेज़ी से कार्रवाई की। आर्बिट्रम की घोषणा की स्याही सूखने से पहले ही, ब्लॉकचेन इंटेलिजेंस फर्म अर्खम (Arkham) ने संदिग्ध को 75,701 ETH (लगभग $175 मिलियन) एथेरियम एड्रेस से निकालकर नए बनाए गए वॉलेट में ले जाते हुए ट्रैक किया। मंगलवार को यूरोपीय ट्रेडिंग घंटों के दौरान दो ट्रांसफर किए गए, एक $117 मिलियन का और दूसरा $58 मिलियन का। ऑन-चेन अन्वेषक ज़ैकएक्सबीटी (ZachXBT) ने मुझे पुष्टि की कि अवैध रूप से प्राप्त धनराशि को विभिन्न चेनों में ले जाना शुरू कर दिया गया है। मनी लॉन्ड्रिंग का चरण शुरू हो गया है।

जबकि आर्बिट्रम ने चोरी हुई कुल राशि का लगभग 25% फ्रीज़ कर दिया; शेष 75% को अभी भी सक्रिय रूप से ले जाया जा रहा है।

हमला कैसे हुआ

अगर किसी ने इसे मिस कर दिया हो, तो शनिवार, 18 अप्रैल को, एक हमलावर ने केल्प डीएओ (Kelp DAO) के लेयरज़ीरो-आधारित क्रॉस-चेन ब्रिज एक्सप्लॉइट (exploit) का उपयोग करके एक दोष का फायदा उठाया, जिससे उन्हें 116,500 rsETH (उस समय लगभग $291 मिलियन मूल्य का) – उस समय प्रसारित कुल rsETH का लगभग 18% – निकालने की अनुमति मिली। ब्रिज को जाली निर्देश प्रदान करके, हमलावर ने उसे rsETH को अपने नियंत्रण वाले पते पर जारी करने के लिए मजबूर किया। हमलावर ने फिर चोरी हुए टोकन को आवे (Aave), कंपाउंड (Compound) और यूलर (Euler) में जमा किया ताकि उन्हें अतिरिक्त सैकड़ों मिलियन रैप्ड ईथर उधार लेने के लिए संपार्श्विक (collateral) के रूप में इस्तेमाल किया जा सके।

केल्प के ब्रिज में 20 से अधिक नेटवर्कों में rsETH को सपोर्ट करने वाले रिज़र्व थे, इसलिए इस घटना से तत्काल व्यापक प्रभाव पड़े। आज तक, कम से कम नौ प्रोटोकॉल को अपने बाज़ारों को फ्रीज़ करने या अन्य आपातकालीन उपाय करने के लिए मजबूर होना पड़ा है। अकेले आवे ने कुछ ही घंटों के भीतर $6.6 बिलियन टीवीएल (TVL) को अपने प्लेटफॉर्म से निकलते देखा और उनके टोकन का मूल्य 16% गिर गया। अब जब आवे ने अपनी घटना रिपोर्ट जारी कर दी है, तो यह अनुमान लगाया गया है कि उनका खराब ऋण जोखिम (bad debt exposure) $123M और $230M के बीच हो सकता है, यह इस बात पर निर्भर करता है कि केल्प डीएओ (Kelp DAO) अपनी लेयर 2 (Layer 2) स्थितियों के बीच अपनी कमी को कैसे वितरित करता है।

इस प्रकार, यह डीफाई (DeFi) हैक अब दो सप्ताह पहले हुए ड्रिफ्ट हैक को पार कर गया है, जिससे यह 2026 का अब तक का सबसे बड़ा डीफाई हैक बन गया है।

केल्प और लेयरज़ीरो के बीच दोषारोपण का खेल

केल्प डीएओ और लेयरज़ीरो इस बात को लेकर सार्वजनिक विवाद में उलझे हुए हैं कि हमले की वजह बनने वाली कॉन्फ़िगरेशन (configuration) गलती के लिए कौन ज़िम्मेदार है, जबकि अन्वेषक यह जांचना जारी रखे हुए हैं कि पैसा कैसे खो गया। एक कारण एक एकल मालिक था जो यह सत्यापित करने के एकमात्र सत्यापनकर्ता (sole verifier) के रूप में कार्य करता है कि विभिन्न चेनों में भेजा गया प्रत्येक संदेश वैध है या नहीं। यदि वह एकल मालिक समझौताग्रस्त (compromised) हो जाता है तो पूरा ब्रिज समझौताग्रस्त हो जाता है।

लेयरज़ीरो का आग्रह है कि हमने केल्प डीएओ को निर्माण के लिए बुनियादी ढांचा प्रदान किया था। केल्प डीएओ का आग्रह है कि एक एकल मालिक का उनका उपयोग एसवी (SV) के लिए लेयरज़ीरो के मानक कॉन्फ़िगरेशन पर आधारित था, जिसका अर्थ है कि यह केल्प डीएओ द्वारा लिया गया निर्णय नहीं था। कौन ज़िम्मेदार है, इसका परिणाम किसी भी भविष्य के कानूनी उपचार के लिए महत्वपूर्ण है, लेकिन इससे उन लोगों को हुए वित्तीय नुकसान पर कोई असर नहीं पड़ेगा जिन्होंने पैसा खोया है।

अब दोनों पक्ष, प्रभावी रूप से, यह स्वीकार कर रहे हैं कि एक कॉन्फ़िगरेशन था जो घुसपैठ का सामना करने में पूरी तरह से असमर्थ था और सैकड़ों मिलियन डॉलर के क्रॉस-चेन मूल्य वाले ब्रिज पर उत्पादन में चल रहा था (यह वही है जो दोनों पक्षों को एक साथ बांधता है)। किसी को इस समस्या को पकड़ना चाहिए था लेकिन किसी ने नहीं पकड़ा।

उत्तर कोरिया का साया

सुरक्षा शोधकर्ताओं और कई प्रकाशनों ने पहचान की है कि केल्प के शोषण का पैटर्न, उसका पैमाना, और लॉन्ड्र किए गए धन की गति उत्तर कोरिया के लाज़रस ग्रुप (Lazarus Group) से जुड़े कार्यप्रणाली (modus operandi) का बारीकी से प्रतिनिधित्व करती है। ड्रिफ्ट और केल्प के शोषणों ने मिलकर केवल 2 सप्ताह में $500 मिलियन से अधिक की संपत्ति को खत्म कर दिया। विश्लेषकों का मानना है कि यह वित्तीय निकासी एक प्रतिबंधग्रस्त देश को धन की आवश्यकता को दर्शाती है, न कि अवसरवादी हैकरों को जो इस गति से काम करते थे।

लाज़रस ग्रुप इतिहास की कुछ सबसे बड़ी क्रिप्टोकरेंसी चोरियों से जुड़ा रहा है, जिसमें 2022 में हुआ $625 मिलियन का रोनिन नेटवर्क हैक शामिल है। यह ग्रुप समझौताग्रस्त सत्यापनकर्ता सेटअप का उपयोग करके क्रॉस-चेन इन्फ्रास्ट्रक्चर का फायदा उठाने, साथ ही जांचकर्ताओं की चोरी की गई संपत्तियों को ट्रैक करने की क्षमता को बाधित करने के लिए विभिन्न गोपनीयता टूल और चेन हॉप्स के माध्यम से अपने चोरी हुए धन को तेज़ी/अधिक कुशलता से स्थानांतरित करने के लिए जाना जाता है। केल्प का शोषण इन कार्यप्रणालियों से मेल खाता है। जबकि लाज़रस ग्रुप को इसका श्रेय देना अभी तक पुष्टि नहीं हुई है, यह स्पष्ट है कि कानून प्रवर्तन ने आर्बिट्रम सिक्योरिटी काउंसिल को केल्प हमलावर की पहचान के संबंध में पर्याप्त जानकारी दी है ताकि उपरोक्त फ्रीज़ को मंजूरी दी जा सके - जिसका अर्थ है कि जांचकर्ता सार्वजनिक बयानों से कहीं अधिक आगे बढ़ चुके हैं।

आगे क्या होगा

आवे (Aave) के गवर्नेंस (Governance) की मंजूरी के बिना कोई भी $70 मिलियन के फ्रीज़ किए गए आर्बिट्रम फंड तक नहीं पहुंच पाएगा। यह एक बड़ी राशि है जिसे बरामद किया गया है और यह विशेष रूप से प्रभावशाली है कि कितनी तेज़ी से सब कुछ हुआ है। हालांकि, $175M नए वॉलेट में चले गए, जिससे वसूली बहुत अधिक मुश्किल हो गई है, अगर यह केवल एक ब्लॉकचेन पर होता तो ऐसा नहीं होता। चोरी हुई धनराशि का कुल मूल्य कितना अधिक है, इसे देखते हुए एफबीआई (FBI) और आईआरएस-सीआई (IRS-CI) संभवतः जांच के संबंध में एक साथ काम कर रहे हैं, लेकिन इस जांच को वास्तविक संपत्ति में बदलना दिनों नहीं, बल्कि महीनों या वर्षों का समय लेगा।

आवे के लिए खराब ऋण/ऋण वसूली के संबंध में, उनका प्रारंभिक प्रश्न यह होगा कि इस नुकसान से कैसे निपटा जाए। यह संभव है कि इसका कुछ हिस्सा अम्ब्रेला सेफ्टी रिज़र्व (Umbrella Safety Reserve) का उपयोग करके कवर किया जा सके, लेकिन यदि ऐसा नहीं होता है, तो कोई भी अतिरिक्त नुकसान प्रोटोकॉल के बैकस्टॉप तंत्र (backstop mechanism) के माध्यम से stkAAVE धारकों से आएगा। यह आवे गवर्नेंस पर पहली बार अभूतपूर्व तरीके से stkAAVE धारकों को नुकसान से बचाने के लिए कार्रवाई करने का महत्वपूर्ण दबाव डालेगा।

इस समय, केल्प का शोषण हुए केवल लगभग 72 घंटे ही हुए हैं। जांच जारी है; चोरी हुए धन की लॉन्ड्रिंग हो रही है; और शोषण से हुए नुकसान की कुल राशि अभी तक निर्धारित नहीं की गई है। यह स्पष्ट है कि केल्प के शोषण के अपराधी ने इन परिस्थितियों का लाभ उठाने के लिए हैक को अंजाम देने से पहले एक विस्तृत योजना तैयार की थी।