क्रिप्टो हैक्स के विभिन्न प्रकार और वे क्यों होते हैं

आइए खुद को याद दिलाएँ कि क्रिप्टोकरेंसी वित्तीय प्रणाली अभी भी विकासाधीन है और आदर्श से बहुत दूर है। DeFi के कई फायदे ऐसे नुकसान में बदल जाते हैं, जिन्हें स्कैमर्स हमेशा इस्तेमाल करने को तैयार रहते हैं। इसलिए हाल ही में “प्लेटफ़ॉर्म फ्लैश-लोन अटैक में हैक हो गया” जैसी खबरें बिना किसी व्याख्या के या तकनीकी व्याख्याओं के साथ और भी ज़्यादा आने लगी हैं। इस लेख में, हम इस तरह के हमले और ब्लॉकचेन को हैक करने के अन्य तरीकों को स्पष्ट करने की कोशिश करेंगे।

फ्लैश-लोन अटैक

हालाँकि फ्लैश लोन का विषय अभी भी विकसित हो रहा है, लेकिन कई बड़े पैमाने के हमले पहले ही किए जा चुके हैं। क्योंकि फ्लैश लोन पर राशि की कोई सीमा नहीं होती और किसी कोलैटरल की आवश्यकता नहीं होती, इसलिए ETH के लाखों डॉलर उधार लेकर बड़ा मुनाफ़ा कमाया जा सकता है।

प्रक्रिया को बेहतर समझने के लिए, आइए फ्लैश लोन की इस पूरी अवधारणा, इसके काम करने के सिद्धांत और इसके उपयोग पर नज़र डालते हैं।

Flash Loan एक ऐसा टूल है जिसके जरिए DeFi उपयोगकर्ता बिना कोलैटरल के, डिजिटल एसेट्स में बड़ी राशि कुछ समय के लिए उधार ले सकते हैं। बिना कोलैटरल वाला लोन का मतलब है कि सदस्यों को आय के प्रमाण और अन्य देनदारियाँ दिखाने की आवश्यकता नहीं होती।

ऐसा जोखिम-रहित लोन कुछ इस तरह काम करता है: लेंडर आपको जितना चाहें उतना पैसा उधार देता है, लेकिन केवल एक विशेष ट्रांज़ैक्शन के लिए। इस ट्रांज़ैक्शन के अंत तक, आपको लेंडर को उतनी ही राशि वापस करनी होती है जितनी आपने उधार ली थी।

यदि आप ऐसा नहीं कर पाते, तो ट्रांज़ैक्शन अपने-आप रद्द हो जाएगा! दूसरे शब्दों में, यह लोन atomic है: यदि आप इसे चुका नहीं सकते, तो सब कुछ वापस हो जाता है, जैसे मानो कोई लोन था ही नहीं।

फ्लैश लोन का मुनाफ़े के लिए सबसे आम उपयोग arbitration है। यह एक प्रक्रिया है जो दो अलग-अलग बाज़ारों में एसेट की कीमतों के अंतर का उपयोग करती है।

मुनाफ़ा कमाने का एक और तरीका "wash trade" है। इस प्रकार के ट्रेडिंग में ट्रेडिंग वॉल्यूम बढ़ाने के लिए किसी एसेट की खरीद और बिक्री की जाती है। पारंपरिक बाज़ारों में ऐसी प्रक्रिया निषिद्ध है।

यदि अटैकर बाज़ार को कुछ हद तक मैनिपुलेट कर सके, तो Flash Loan हमले सफल हो सकते हैं। ये हमले pump and dump के arbitrage और/या oracles में हेरफेर करके किए जाते हैं। इन्हें अंजाम देना सस्ता पड़ता है, क्योंकि अटैकर कोई मौद्रिक दायित्व नहीं लेते।

आमतौर पर, ये हमले जटिल, बहु-चरणीय प्रक्रियाएँ होती हैं जिन्हें अत्यधिक अनुभवी DeFi उपयोगकर्ता अंजाम देते हैं। कई मामलों में, इनमें liquidity pools को खाली करना शामिल होता है, जिनमें आम उपयोगकर्ताओं ने निवेश किया होता है, जिससे बहुत से लोगों को भारी नुकसान होता है।

अब, आइए ब्लॉकचेन पर होने वाले कुछ और सामान्य हमलों पर नज़र डालते हैं।

51% Attack 

ब्लॉकचेन नेटवर्क के लिए सबसे अधिक ज्ञात खतरा। इस हमले का नाम व्यापारिक क्षेत्र में कंट्रोलिंग स्टेक के रूपक पर आधारित है। समस्या Proof-of-Work प्रोटोकॉल में है, जिसका उपयोग Bitcoin, Litecoin, Monero और अन्य प्रोजेक्ट्स करते हैं। इसका सार यह है कि पर्याप्त hashrate वाले कई miners नेटवर्क में एक “controlling stake” प्राप्त कर सकते हैं, यानी उनके पास नेटवर्क के कुल hashrate का आधे से अधिक हिस्सा होगा।

ऐसी परिस्थितियाँ हैकर को double-spending attack करने की अनुमति देती हैं, जिसमें वह अपने wallet में मौजूद राशि से अधिक खर्च कर सकता है। नतीजतन, ब्लॉकचेन पर कब्ज़ा हो जाता है, और सभी प्रतिभागियों के फंड हैकरों की संपत्ति में स्थानांतरित हो जाते हैं। बड़े नेटवर्क में, प्रतिभागियों की बड़ी संख्या और महंगे उपकरणों के कारण ऐसे हमले की संभावना कई गुना कम होती है।

Finney Hack

बिटकॉइन ट्रांज़ैक्शन के पहले प्राप्तकर्ता Hal Finney थे और बिटकॉइन लॉन्च करने के बारे में सबसे पहले उन्होंने ही बात की थी। उन्होंने नेटवर्क पर double attack की संभावना का सुझाव देने वाले पहले व्यक्ति भी थे। इसी कारण, उनके सम्मान में इस हमले का नाम Finney Hack या Finney Attack रखा गया।

Finney Hack double-spending attack का एक प्रकार है, जो तब हो सकता है जब कोई व्यक्ति ऑनलाइन एक unconfirmed transaction स्वीकार करता है। Finney ने समझाया कि miner एक ऐसा block बना सकता है जिसमें वह address A से दूसरे address B पर transaction शामिल करेगा, जहाँ दोनों address उसी के हैं। फिर आप उसी currency में एक और भुगतान करेंगे, address A से address C (जो किसी अन्य user का है) पर भेजकर।

यदि निर्दिष्ट user network से confirmations के बिना transaction स्वीकार कर लेता है, तो एक scammer उस block को मुक्त कर सकता है जिसमें उसका मूल transaction शामिल है। इससे trader द्वारा किया गया transaction invalid हो जाता है, और attacker को दोहरा लाभ कमाने का मौका मिलता है।

Race Attack 

Double-spending का एक और प्रकार। अनुभवहीन और जल्दबाज़ trader goods दे सकते हैं, भले ही transfer विफल हो गया हो, क्योंकि transaction attempt तो हुआ था। कुछ seller छोटी राशि के लिए आवश्यक confirmation के बिना “express payments” स्वीकार करते हैं। प्राप्तकर्ता के wallet में ऐसा transaction “in processing” दिखेगा, और addressी “not confirmed” होगा।

एक fraudster ऐसे transfer को manipulate कर सकता है: transaction को seller के node और नेटवर्क पर अपने address दोनों पर भेजे, लेकिन blockchain पर केवल दूसरा वाला broadcast करे। जाँच के दौरान अंतिम transaction वैध माना जाएगा, और पहला transfer invalid हो जाएगा।

ऐसे हमले को रोकने के लिए, node पर incoming connections स्वीकार करने की अनुशंसा नहीं की जाती और कई transfer confirmations का इंतज़ार करना चाहिए ($1000 से $10,000 की राशि के लिए 3 confirmations, $10,000 से $ million के लिए 6 — और इससे भी बड़ी transactions के लिए — 60 confirmations तक)।

Eclipse Attack

एक विशेष प्रकार का cyber attack, जब एक hacker एक node के आसपास एक कृत्रिम क्षेत्र बनाता है ताकि उसके कार्यों को नियंत्रित किया जा सके। अटैकर target node से outgoing और incoming data को अपने node पर redirect कर देता है, जिससे धोखा खाया user वास्तविक नेटवर्क से अलग हो जाता है।

Target node के isolation से उसकी ओर से illegal transactions की पुष्टि कराई जा सकती है और उसे neighboring nodes से आने वाले messages से काटा जा सकता है — hacker को पूरे नेटवर्क को hack करने की ज़रूरत नहीं होती, यह कुछ nodes तक सीमित रहता है। Node को block करने के लिए botnet या phantom network का उपयोग किया जाता है, ताकि अगले connection पर synchronization के लिए node को IP addresses से भर दिया जाए।

Eclipse attack के परिणाम आमतौर पर double-spending attacks होते हैं, जिनका ऊपर पहले ही उल्लेख किया जा चुका है, साथ ही miner power failure भी, जब एक hack किया गया user कृत्रिम blocks की समस्याएँ हल करने में बिजली और समय खर्च करता है, जो वास्तविक blockchain network में मौजूद ही नहीं हैं।

Cryptographic Vulnerability Attacks

Cybersecurity experts कहते हैं कि किसी भी system में सबसे कमज़ोर जगह एक इंसान होता है, और scammers इसी तथ्य का फायदा उठाते हैं। मानव कारक का एक और परिणाम code में errors कहलाता है, जिन्हें खोज लेने पर attacker पूरे नेटवर्क को तोड़ सकता है।

एक उदाहरण के तौर पर, Ethereum पर एक fraudster ने source code में एक security loophole खोज लिया और लगभग $50 million की coins पर कब्ज़ा कर लिया, जो उस समय कुल coin volume का लगभग 30% था। इस घटना के कारण, community दो समूहों में बँट गई। पहला, Ether के creator के नेतृत्व में, चोरी से नाराज़ था और coins को वैध holders को लौटाने के लिए hard fork करने का सुझाव दे रहा था। उनके विरोधियों का मानना था कि coins का वास्तविक मालिक अब hacker ही था ("The code is the law"). परिणामस्वरूप, community soft fork बनाने पर सहमत हो गई। 

Social Engineering Crypto: Phishing

ये तकनीकें संभावित hacker की तकनीकी क्षमता के बजाय मानव कमज़ोरियों पर निर्भर करती हैं। इनका उपयोग संवेदनशील डेटा, cryptocurrency wallets या खातों तक अनधिकृत पहुँच प्राप्त करने, या पीड़ितों को कंप्यूटरों और नेटवर्क पर malware डाउनलोड करने के लिए प्रेरित करने में किया जाता है ताकि आगे नुकसान पहुँचाया जा सके। ऐसी तकनीकों में phishing, baiting, quid pro quo attacks, pretexting, और tailgating शामिल हैं।

Phishing इनमें से सबसे लोकप्रिय तरीकों में से एक है। इसका उपयोग private keys, कार्ड नंबर, बैंक खातों और अन्य गोपनीय डेटा को चुराने के लिए किया जाता है। Cryptocurrency phishing का सबसे सरल संस्करण वही पुरानी spam mailings है, जिनमें emails कथित तौर पर किसी web service द्वारा भेजी गई लगती हैं। इस मामले में, पत्र cryptocurrency wallet sites या exchanges की ओर से भेजे जाते हैं। 

ऐसे fake messages सामान्य phishing messages की तुलना में ज़्यादा विस्तृत और साफ़-सुथरे लिखे हुए लगते हैं। उदाहरण के लिए, यह एक security alert हो सकता है, जिसमें लिखा हो कि हाल ही में किसी ने आपके account में ऐसे और ऐसे browser से लॉग इन करने की कोशिश की है — सब कुछ ठीक है या नहीं, जाँचने के लिए लिंक पर जाएँ। User ने खुद wallet website पर ऐसे संदेशों का reception configure और accept किया हो सकता है — और उसे कुछ भी असामान्य या उससे भी ज़्यादा गलत नज़र नहीं आएगा।

Conclusion

जैसा कि आप देख सकते हैं, crypto market खतरों से भरा हुआ है। इस लेख में, हमने केवल संभावित fraud के कुछ प्रकारों का वर्णन किया है। Creators security protocols को बेहतर बनाने पर लगातार काम कर रहे हैं। लेकिन जब तक system आदर्श नहीं है, संभावित risks को याद रखना और झाँसे में न आना समझदारी है।