केल्प डीएओ (Kelp DAO) एक्सप्लॉइट (exploit) जो एक ब्रिज (bridge) कहानी के रूप में शुरू हुआ था, वह अब सिर्फ़ एक ब्रिज कहानी नहीं रहा, बल्कि अब यह इस बात पर एक क्रिप्टो जनमत संग्रह है कि डीफाई (DeFi) सुरक्षा, संक्रामकता (contagion) और जवाबदेही को कैसे संभालता है।

तत्काल क्षति पहले ही गंभीर थी। लगभग $292 मिलियन के इस एक्सप्लॉइट ने केल्प डीएओ के आरएसईटीएच (rsETH) ब्रिज को प्रभावित किया, एवे (Aave) में खराब-ऋण (bad-debt) संबंधी चिंताओं को जन्म दिया और प्रोटोकॉल (protocols) व इंफ्रास्ट्रक्चर प्रोवाइडर्स (infrastructure providers) के बीच आरोप-प्रत्यारोप के एक नए दौर को जन्म दिया।

बाजार की प्रतिक्रिया क्रूर थी। ऑनचेन (Onchain) विश्लेषक लुकऑनचेन (Lookonchain) ने बताया कि हमलावर द्वारा चुराई गई केल्प डीएओ-संबंधित परिसंपत्तियों (assets) का उपयोग संपार्श्विक (collateral) के रूप में करने के बाद एवे का कुल मूल्य लॉक्ड (TVL) लगभग $8 बिलियन गिर गया, जिससे लगभग $195 मिलियन का खराब ऋण रह गया।

द ब्लॉक (The Block) के डेटा से अब पता चलता है कि एवे के टीवीएल (TVL) में 48 घंटों में भारी गिरावट आई है क्योंकि फंड (funds) स्पार्क (Spark) सहित अन्य जगहों पर चले गए।

चार्ट का विस्तार करें

द ब्लॉक ने बाद में बताया कि एवे ने इस घटना के कारण दो संभावित खराब-ऋण परिदृश्यों (scenarios) का मॉडल तैयार किया था।

इस बीच, एक्सप्लॉइट में चोरी हुए फंड आर्बिट्रम (Arbitrum) द्वारा संबंधित ईटीएच (ETH) के एक बड़े हिस्से को फ्रीज (freeze) करने के बाद विभिन्न चेन (chains) में स्थानांतरित होने लगे।

डीफाई सुरक्षा बहस

उद्योग भर में अब एक तीखा सवाल यह उठ रहा है कि क्या डीफाई अभी भी काम करता है, बल्कि यह कि 2026 में यह किस तरह के जोखिमों को अभी भी बर्दाश्त कर रहा है।

कर्वे (Curve) के संस्थापक माइकल एगोरोव (Michael Egorov) ने इसे बहुत ही सीधे शब्दों में कहा। उन्होंने एक्स (X) पर लिखा, "डब्ल्यूटीएफ (WTF)? क्या हम जोकरों का उद्योग हैं?", यह तर्क देते हुए कि केंद्रीकृत विफलता बिंदुओं से जुड़ी हाल की विफलताएं एक ऐसे उद्योग को नुकसान पहुंचा रही हैं जो अभी भी वित्त के भविष्य का निर्माण करने का दावा करता है।

उनका व्यापक बिंदु सही बैठ रहा है। केल्प उल्लंघन ने सिर्फ एक प्रोटोकॉल को प्रभावित नहीं किया, बल्कि कंपोजेबिलिटी (composability) के माध्यम से फैला।

एकल ब्रिज विफलता मल्टी-प्रोटोकॉल संपार्श्विक जोखिम में बदल गई। संपार्श्विक जोखिम उधार तनाव में बदल गया। उधार तनाव निकासी में बदल गया। डीफाई में, कोड मॉड्यूलर (modular) हो सकता है, लेकिन घबराहट साझा होती है।

सर्टिक (CertiK) में एक ब्लॉकचेन (blockchain) विश्लेषक वेनझाओ डोंग (Wenzhao Dong) ने द ब्लॉक को बताया कि समस्या यह नहीं है कि डीफाई अंतर्निहित रूप से टूटा हुआ है। बल्कि, यह है कि बहुत सारी टीमें अभी भी सुरक्षा को एक अतिरिक्त लागत (overhead) मानती हैं।

डोंग ने कहा, "जो प्रोटोकॉल अगले चक्र में बचेंगे, वे वही होंगे जो सुरक्षा को ट्रेडीफाई (TradFi) के प्रतिपक्षी जोखिम (counterparty risk) के रूप में देखते हैं - एक महत्वपूर्ण कारक के रूप में, न कि एक बाद के विचार के रूप में।"

ससिंक्ट लैब्स (Succinct Labs) के मुख्य विकास अधिकारी ब्रायन ट्रुंज़ो (Brian Trunzo) ने भी इसी तरह का एक बिंदु साझा किया। उन्होंने कहा कि जब प्रमाण-आधारित प्रणालियाँ मौजूद हों तो ब्रिज को अब विश्वास-आधारित वैलिडेटर (validator) मॉडल पर निर्भर नहीं रहना चाहिए।

उनके अनुसार, केल्प एक्सप्लॉइट ब्रिज सत्यापन परत में एक विफलता थी, न कि एक विशिष्ट स्मार्ट कॉन्ट्रैक्ट (smart contract) बग (bug), और इसने दिखाया कि एकल-हस्ताक्षरकर्ता (single-signer) धारणाएं कितनी खतरनाक बनी हुई हैं।

ट्रुंज़ो ने द ब्लॉक को बताया, "इस बिंदु पर, यदि आपका विश्वास मॉडल ZK (जीरो-नॉलेज) से कम है, तो आप घोर लापरवाही कर रहे हैं। शायद लापरवाह भी।"

अन्य लोगों ने आलोचना को और आगे बढ़ाया।

1 इंच (1inch) के सह-संस्थापक सर्गेज कुंज़ (Sergej Kunz) ने कहा कि इस घटना ने यह उजागर किया कि साझा-पूल (shared-pool) मॉडल कितना नाजुक हो सकता है जब एक खराब परिसंपत्ति पूर्ण उपयोगिता को प्रेरित करती है और प्रभावी ढंग से उपयोगकर्ता के फंड (funds) को फँसा लेती है। एल्टुरा डीफाई (Altura DeFi) के सीओओ (COO) मैथ्यू पिनॉक (Matthew Pinnock) ने कहा कि निकासी की गति ने दिखाया कि एक बार संपार्श्विक धारणाएं टूट जाने पर विश्वास कितनी तेजी से खत्म हो सकता है।

तेजी का दृष्टिकोण

फिर भी, हर कोई अधिक मंदी (bearish) वाला नहीं निकला।

मेटामास्क (Metamask) सुरक्षा विशेषज्ञ टेलर मोनाहन (Taylor Monahan) ने चुराए गए ईटीएच के आर्बिट्रम के आपातकालीन फ्रीज को एक संकेत बताया कि "डीफाई जीतता है," और अधिक नुकसान को रोकने के लिए आवश्यक समन्वय की प्रशंसा की।

ड्रैगनफ्लाई (Dragonfly) के हसीब कुरेशी (Haseeb Qureshi) ने कहा कि डीफाई ने हमेशा विफलताओं से सीखा है, वर्तमान क्षण की तुलना टेरा (Terra), मार्च 2020 की नीलामी विफलताओं और एसटीईटीएच (stETH) डीपेग (depeg) जैसे पहले के संकटों से करते हुए। एरिक वूरहीस (Erik Voorhees) ने पहले सिद्धांतों से एक समान तर्क दिया: क्रिप्टो में, उन्होंने तर्क दिया, विफलताएं स्रोत के करीब रहती हैं, बजाय इसके कि वे पूरे समाज में सामाजिककृत हों जैसा कि वे अक्सर पारंपरिक वित्त में होती हैं।

डेफी डॉट कॉम (defi.com) के सीईओ नील मे (Neil May) ने थोड़ा अलग विचार प्रस्तुत किया। द ब्लॉक से बात करते हुए, मे ने अनुमान लगाया कि डीफाई की कमजोरी केवल तकनीकी नहीं है, बल्कि यह अनुभवात्मक भी है। उपयोगकर्ताओं से अभी भी बहुत कुछ समझने, बहुत अधिक उजागर करने और चीजें गलत होने पर बहुत खराब तरीके से ठीक होने की अपेक्षा की जाती है।

मे ने कहा, "लोगों को यह समझने की जरूरत है कि वे क्या हस्ताक्षर कर रहे हैं, वे क्या उजागर करते हैं उसे सीमित करें, और चीजें गलत होने पर उनके पास एक स्पष्ट रिकवरी (recovery) मार्ग हो। यह बस एंटरप्राइज़-ग्रेड (enterprise-grade) है जो आज डीफाई में गायब है।" "जो उत्पाद मुख्यधारा का विश्वास अर्जित करेंगे, वे वही होंगे जो सुरक्षा को अदृश्य बना देंगे, न कि वे जो उपयोगकर्ताओं को अपनी सुरक्षा टीम बनने के लिए कहते हैं।"

कुछ लोगों के लिए, केल्प की घटना से यह सबसे महत्वपूर्ण सीख हो सकती है।

इस एक्सप्लॉइट ने विकेंद्रीकरण (decentralization) बनाम सुविधा के बारे में एक पुराने डीफाई तर्क को पुनर्जीवित किया है, लेकिन इसने एक नए तर्क को भी तेज किया है: सुरक्षा अब किसी प्रोटोकॉल के अपने अनुबंधों पर समाप्त नहीं होती है।

एक उधार बाजार अपने दम पर स्वस्थ हो सकता है और फिर भी ऊपर की ओर एक ब्रिज से प्रभावित हो सकता है।

एक ब्रिज खुद को विकेन्द्रीकृत कह सकता है और फिर भी एक कमजोर कड़ी पर निर्भर कर सकता है।

एक आपातकालीन फ्रीज फंड को बचा सकता है और फिर भी शासन (governance) और हस्तक्षेप (intervention) के बारे में असहज सवालों को फिर से खोल सकता है।

राष्ट्र-राज्य विरोधी

सेफ इकोसिस्टम फाउंडेशन (Safe Ecosystem Foundation) के अध्यक्ष लुकास शोर (Lukas Schor) ने द ब्लॉक को बताया कि बड़ा पैटर्न इस दोषारोपण के खेल से अधिक मायने रखता है कि अंततः एवे के नुकसान को कौन भरता है।

उन्होंने कहा कि लाजरस-लिंक्ड (Lazarus-linked) अभिनेताओं ने इस महीने हमलों की गति तेज कर दी है, जबकि एआई (AI) टोही और सोशल इंजीनियरिंग (social engineering) जोखिम को बढ़ाना शुरू कर रहा है।

शोर के विचार में, डीफाई उद्योग एक राष्ट्र-राज्य-ग्रेड (nation-state-grade) विरोधी का सामना कर रहा है, जिसकी सुरक्षा अभी भी एक नरम युग के लिए बनाई गई है।

उन्होंने द ब्लॉक को बताया, "अब यह स्पष्ट है कि सबसे स्थापित डीफाई प्रोटोकॉल भी निशाने पर हैं।" "साइबर सुरक्षा हमेशा एक बिल्ली-और-चूहे का खेल रही है। लेकिन अभी यह स्पष्ट है कि हमें, एक उद्योग के रूप में, अपनी सुरक्षा को मजबूत करना होगा। अन्यथा, डीफाई में विश्वास बहुत जल्दी और अपरिवर्तनीय रूप से खत्म हो जाएगा।"

उन्होंने कहा कि यही कारण है कि सुर्ख़ियों से परे संख्याएँ मायने रखती हैं। द ब्लॉक ने इस सप्ताह की शुरुआत में बताया कि डीफाई के नुकसान कुछ ही हफ्तों में $600 मिलियन से अधिक हो गए थे। लगभग $285 मिलियन के ड्रिफ्ट (Drift) एक्सप्लॉइट और हाइपरब्रिज (Hyperbridge) के संशोधित $2.5 मिलियन के नुकसान के अनुमान को जोड़ने पर, अप्रैल एक और महीने के रूप में आकार ले रहा है जो इस क्षेत्र को विश्वास की धारणाओं और परिचालन अनुशासन के बारे में कठिन सवालों के जवाब देने के लिए मजबूर करता है।