कॉइनगीको (CoinGecko) की 27 अगस्त को प्रकाशित ‘स्टेट ऑफ क्रिप्टो सिक्योरिटी रिपोर्ट’ (State of Crypto Security Report) के अनुसार, जनवरी 2025 से जुलाई 2026 के बीच 245 प्रलेखित सुरक्षा घटनाओं में क्रिप्टो प्लेटफॉर्मों को 3.63 बिलियन डॉलर का नुकसान हुआ।

नुकसान अत्यधिक केंद्रित था। दस सबसे बड़े हमलों से कुल चोरी हुए मूल्य का 72.5% से अधिक हिस्सा हुआ, जबकि बुनियादी ढांचे (infrastructure) और आपूर्ति-श्रृंखला (supply-chain) समझौतों के कारण 1.8 बिलियन डॉलर से अधिक का नुकसान हुआ।

कॉइनगीको ने निजी-कुंजी (private-key) के साथ छेड़छाड़ को केंद्रीकृत एक्सचेंजों के लिए प्रमुख जोखिम के रूप में पहचाना। विकेंद्रीकृत एप्लिकेशन (decentralized applications) को स्मार्ट-कॉन्ट्रैक्ट (smart-contract) के शोषण से लगभग 546 मिलियन डॉलर का नुकसान हुआ, जबकि दोनों प्लेटफॉर्म श्रेणियों को ऑरेकल मैनिपुलेशन (oracle manipulation) और आंतरिक-तंत्र विफलताओं का भी सामना करना पड़ा।

ये आंकड़े कॉइनगीको के घटना डेटासेट का प्रतिनिधित्व करते हैं। प्रकाशित सारांश में स्पष्ट रूप से यह नहीं बताया गया है कि प्रत्येक पुनर्प्राप्त (recovered) या फ्रीज की गई संपत्ति को घटाया गया था या नहीं, इसलिए 3.63 बिलियन डॉलर को अंतिम शुद्ध-नुकसान कुल के बजाय अनुमानित नुकसान के रूप में माना जाना चाहिए।

बड़े हमलों में केंद्रित हुए क्रिप्टो सुरक्षा नुकसान

फरवरी 2025 का बायबिट (Bybit) उल्लंघन सबसे बड़ी घटना थी, जिसमें लगभग 1.44 बिलियन डॉलर शामिल थे। इस हमले में एक एक्सचेंज स्मार्ट कॉन्ट्रैक्ट में खराबी के बजाय समझौताग्रस्त लेनदेन-हस्ताक्षर बुनियादी ढांचा (compromised transaction-signing infrastructure) शामिल था।

अन्य प्रमुख घटनाओं में 292 मिलियन डॉलर का केल्पडाओ (KelpDAO) उल्लंघन, 285 मिलियन डॉलर का ड्रिफ्ट प्रोटोकॉल (Drift Protocol) हमला और 223 मिलियन डॉलर का सेटस (Cetus) शोषण शामिल थे। उनके अलग-अलग तरीके बताते हैं कि एक सुरक्षा नियंत्रण उद्योग की पूरी हमले की सतह (attack surface) को क्यों नहीं कवर कर सकता।

बुनियादी ढांचा हमले निजी चाबियों (private keys), कर्मचारी उपकरणों, फ्रंट-एंड इंटरफेस, सॉफ्टवेयर निर्भरता (software dependencies) और ब्रिज ऑपरेटरों (bridge operators) को लक्षित कर सकते हैं। ये घटक अक्सर पारंपरिक ऑडिट के दौरान समीक्षा किए गए स्मार्ट कॉन्ट्रैक्ट से बाहर होते हैं।

राज्य-समर्थित समूहों (State-backed groups) ने भी लंबी और अधिक जटिल कार्रवाइयां अपनाई हैं। जैसा कि पहले बताया गया था, उत्तर कोरिया से जुड़े दो हमलों ने सामान्य अनुबंध दोषों (contract flaws) के बजाय सोशल इंजीनियरिंग (social engineering) और ब्रिज बुनियादी ढांचे (bridge infrastructure) के समझौतों के माध्यम से लगभग 577 मिलियन डॉलर निकाल लिए।

ऑडिट ने केवल शोषण की गई कमजोरियों के एक अल्पसंख्यक हिस्से को कवर किया

कॉइनगीको ने पाया कि 245 प्रभावित प्लेटफॉर्मों में से 147, या लगभग 60% ने हमला होने से पहले एक स्वतंत्र सुरक्षा ऑडिट पूरा कर लिया था। उन प्लेटफॉर्मों में दर्ज नुकसान का 88.44% हिस्सा था।

यह निष्कर्ष यह स्थापित नहीं करता है कि लेखा परीक्षकों (auditors) ने कमजोर घटक (vulnerable component) को मंजूरी दी थी। कॉइनगीको ने कहा कि केवल लगभग 11% घटनाओं में ऐसी खामियां शामिल थीं जो नियमित स्मार्ट-कॉन्ट्रैक्ट ऑडिट के दायरे में आती थीं।

उन दायरे में आने वाली विफलताओं से अभी भी लगभग 396 मिलियन डॉलर का नुकसान हुआ। अधिकांश अन्य घटनाओं में बाहरी बुनियादी ढांचा, अनांकेक्षित सॉफ्टवेयर अपडेट (unaudited software updates), समझौताग्रस्त क्रेडेंशियल (compromised credentials) या शासन तंत्र (governance mechanisms) शामिल थे जिनका ऑडिट में आकलन नहीं किया गया था।

एक ऑडिट किसी विशेष कोड संस्करण (code version) का एक स्नैपशॉट भी होता है। समीक्षा के बाद किए गए परिवर्तन नई कमजोरियां पेश कर सकते हैं। इसकी प्रभावशीलता दायरे (scope), कार्यप्रणाली (methodology), लेखा परीक्षक के अनुभव और डेवलपर्स द्वारा निष्कर्षों को हल किया गया था या नहीं, इस पर निर्भर करती है।

संबंधित कवरेज में, रिपल (Ripple) की सुरक्षा समीक्षा ने प्रभावित कोड उपयोगकर्ताओं तक पहुंचने से पहले 96 मुद्दों की पहचान की, जिससे पता चलता है कि जब निष्कर्ष सक्रियण (activation) से पहले आते हैं तो ऑडिट नुकसान को रोक सकते हैं। वे निरंतर निगरानी (continuous monitoring) और परिचालन सुरक्षा (operational security) की जगह नहीं ले सकते।

हमलों में वृद्धि के साथ ऑनचेन बीमा क्षमता गिरी

प्रमुख ऑनचेन बीमा प्रोटोकॉल (onchain insurance protocols) में सक्रिय कवरेज 20.2% गिरकर 163.2 मिलियन डॉलर से 130.2 मिलियन डॉलर हो गया। कॉइनगीको के अनुसार, संचयी भुगतान (cumulative payouts) लगभग 33 मिलियन डॉलर पर बना रहा।

अगस्त 2026 तक ट्रैक किए गए नौ प्रोटोकॉल में से पांच निष्क्रिय हो गए थे या अन्य व्यावसायिक क्षेत्रों में चले गए थे। कॉइनगीको ने इस गिरावट का श्रेय आंशिक रूप से बढ़े हुए जोखिम, महंगे प्रीमियम और पूंजी प्रदाताओं (capital providers) को आकर्षित करने में कठिनाई को दिया।

130.2 मिलियन डॉलर के कवरेज आंकड़े की तुलना औपचारिक कवरेज अनुपात के रूप में सीधे 3.63 बिलियन डॉलर से नहीं की जानी चाहिए। पहला एक निश्चित समय का माप है, जबकि दूसरा 19 महीनों में संचयी घटनाओं (cumulative incidents) को कवर करता है।

नीतियों में संकीर्ण परिभाषाएं (narrow definitions) भी शामिल हैं। कुछ सत्यापित स्मार्ट-कॉन्ट्रैक्ट विफलताओं को कवर करते हैं लेकिन फ़िशिंग (phishing), निजी-कुंजी चोरी (private-key theft), कर्मचारी त्रुटियों, बाजार की अस्थिरता (market volatility) और असमर्थित श्रृंखलाओं (unsupported chains) से जुड़े नुकसानों को बाहर कर देते हैं।

एक्सचेंज तेजी से स्व-वित्तपोषित भंडार पर निर्भर कर रहे हैं

केंद्रीकृत एक्सचेंजों ने पूर्ण बाहरी बीमा खरीदने के बजाय तेजी से निवेशक-संरक्षण फंड (investor-protection funds) स्थापित किए हैं। ये भंडार उल्लंघन के बाद तेजी से प्रतिपूर्ति (reimbursement) प्रदान कर सकते हैं।

हालांकि, एक संरक्षण फंड स्वचालित रूप से विनियमित बीमा (regulated insurance) के बराबर नहीं होता है। कवरेज एक्सचेंज की शर्तों, आरक्षित हिरासत (reserve custody), परिसंपत्ति संरचना (asset composition) और योग्य घटनाओं पर विवेक पर निर्भर करता है।

प्रूफ-ऑफ-रिजर्व अटेस्टेशन (Proof-of-reserves attestations) यह दिखाकर एक और मुद्दे को संबोधित करते हैं कि एक एक्सचेंज ग्राहक शेष (customer balances) के अनुरूप संपत्तियों को नियंत्रित करता है। वे सुरक्षित कुंजी प्रबंधन (secure key management) स्थापित नहीं करते हैं या यह साबित नहीं करते हैं कि सभी देनदारियां (liabilities) बताई गई हैं।

रिपोर्ट का अगला परीक्षण यह होगा कि क्या प्लेटफॉर्म ऑडिट को स्मार्ट कॉन्ट्रैक्ट से आगे परिचालन प्रणालियों (operational systems), पुलों (bridges) और सॉफ्टवेयर निर्भरता (software dependencies) तक विस्तारित करते हैं। बीमा प्रदाताओं को यह भी निर्धारित करना होगा कि क्या प्रीमियम को वहन करने योग्य बनाए बिना व्यापक सुरक्षा प्रदान की जा सकती है।