स्मार्ट कॉन्ट्रैक्ट्स की कमजोरियाँ: DAO, DeFi, और री-एंट्री अटैक

विकेंद्रीकृत वित्त क्षेत्र ने पिछले वर्ष में घातीय वृद्धि दिखाई है, जो पिछले वर्ष मार्च में दर्ज कुल $540 मिलियन से बढ़कर इस लेख के प्रकाशित होने के समय $47.6 बिलियन से अधिक हो गई है।

DeFi क्षेत्र की वृद्धि ने उपयोगकर्ताओं, डेवलपर्स और समग्र रूप से उद्योग के लिए नए अवसर खोले हैं, लेकिन साथ ही नए जोखिम भी लाए हैं जिनके बारे में निवेशकों को शायद जानकारी न हो, फिर भी जिनसे उन्हें निपटना पड़ता है।

अधिकांश DeFi प्रोटोकॉल Ethereum ब्लॉकचेन पर बनाए गए हैं। Ethereum बाज़ार पूंजीकरण के हिसाब से दूसरी सबसे बड़ी क्रिप्टोकरेंसी है, केवल Bitcoin से पीछे। Ethereum की बदौलत, विशेष रूप से Turing-complete स्मार्ट कॉन्ट्रैक्ट्स के उपयोग से, ब्लॉकचेन प्रोजेक्ट्स अधिक प्रोग्रामेबल हो गए हैं।

स्मार्ट कॉन्ट्रैक्ट्स, वास्तव में, self-executing कॉन्ट्रैक्ट्स हैं। इन कॉन्ट्रैक्ट्स में निर्धारित कोड आपको कुछ निश्चित पैरामीटरों के भीतर और प्रतिपक्ष के लिए बिना किसी जोखिम के, छद्मनाम पक्षों के बीच पूर्वनिर्धारित लेनदेन और समझौतों को स्वतः निष्पादित करने की अनुमति देता है।

इन self-executing कॉन्ट्रैक्ट्स का पहली बार 1994 में Nick Szabo द्वारा प्रस्ताव दिया गया था, जो Bitcoin के पूर्ववर्ती Bit Gold के निर्माता हैं, और उन्होंने कई विकेंद्रीकृत अनुप्रयोगों के निर्माण की अनुमति दी, जिन्होंने क्रिप्टोकरेंसी उपयोगकर्ताओं के लिए नए अवसर खोले, चाहे वह किसी निर्धारित एल्गोरिदम के अनुसार बनाए गए stablecoins का जारी होना हो, क्रिप्टोकरेंसी ऋणों का जारी होना हो, या क्रिप्टो कोलैटरल पर ऋण। और यह तो केवल एक छोटा-सा हिस्सा है।

विकेंद्रीकृत प्रबंधन मॉडल वाले विकेंद्रीकृत एक्सचेंज केवल ऐसे स्मार्ट कॉन्ट्रैक्ट्स की बदौलत संभव हुए, जिसके परिणामस्वरूप एक नई डिजिटल दुनिया उभरी, जिसके चलते Binance Smart Chain, Polkadot, और Avalanche जैसे उत्पाद सामने आए।

Aave, Compound, Uniswap, और 1 Inch.exchange जैसे प्रोटोकॉल उपयोगकर्ताओं को अपने निवेश पर ब्याज कमाने और क्रिप्टो संपत्तियों तथा यहां तक कि विकेंद्रीकृत डेरिवेटिव्स जैसे जटिल उपकरणों का व्यापार करने की अनुमति देते हैं।

इन सभी रोमांचक नए उत्पादों ने ऊपर उल्लिखित DeFi सेक्टर बनाया है, जो वित्तीय दुनिया में धूम मचा रहा है और पारंपरिक वित्तीय संस्थानों को पैसा कमाने में सक्षम बना रहा है।

यह अवसरों का नया क्षेत्र, जैसा कि पहले बताया गया, स्मार्ट कॉन्ट्रैक्ट डेवलपर्स द्वारा लिखे गए कोड द्वारा नियंत्रित है। अधिकांश DeFi प्रोजेक्ट्स का कोड open source होता है और यहां तक कि peer review और audit से भी गुजरता है, जबकि कुछ इसके विपरीत ऐसा नहीं करते। अक्सर, जांचे-परखे कोड में भी ऐसी कमजोरियां मिल सकती हैं जो अज्ञात attack vectors के उपयोग की अनुमति देती हैं, जिससे कंपनियों और आम उपयोगकर्ताओं को भारी नुकसान होता है।

स्मार्ट कॉन्ट्रैक्ट कमजोरियां उपयोगकर्ताओं को कैसे प्रभावित करती हैं?

स्मार्ट कॉन्ट्रैक्ट्स की सुरक्षा की गारंटी देने के लिए, आप केवल उनके निष्पादन के सभी विकल्पों का विश्लेषण कर सकते हैं। Turing-complete भाषाओं में स्मार्ट कॉन्ट्रैक्ट्स को निष्पादित करते समय, आपको सुनिश्चित होना चाहिए कि कंप्यूटर प्रोग्राम में bugs नहीं हैं, जो लगभग असंभव है। इसलिए, स्मार्ट कॉन्ट्रैक्ट्स के साथ काम करते समय या उन्हें बनाते समय, आपको उनका audit करना होगा।

Ethereum स्मार्ट कॉन्ट्रैक्ट्स में कमजोरियों के गंभीर परिणाम हो सकते हैं। भले ही Aave जैसे प्रोटोकॉल पेशेवरों द्वारा प्रबंधित किए जाते हैं और नियमित रूप से जांचे जाते हैं, सुरक्षा कमजोरियां अभी भी एक hacker attack और भारी मात्रा में crypto assets के नुकसान का जोखिम पैदा करती हैं, जिससे प्रोटोकॉल में निवेशकों का विश्वास नकारात्मक रूप से प्रभावित होता है और बाद में उपयोगकर्ताओं/कंपनियों को वित्तीय नुकसान तथा मूल्य अस्थिरता होती है।

ये कमजोरियां Ethereum की मूल स्मार्ट कॉन्ट्रैक्ट भाषा और उसकी accounting system की जटिलता से उत्पन्न होती हैं, जो Bitcoin की UTXO system के विपरीत, कहीं अधिक लचीली है और इसलिए अतिरिक्त कमजोरियों तथा attack vectors के प्रति अधिक संवेदनशील है।

चूंकि Solidity और अन्य स्मार्ट कॉन्ट्रैक्ट भाषाएं नई और अत्यंत जटिल हैं, इन कमजोरियों के लिए डेवलपर्स को दोष देना गलत होगा।

Ethereum पर बने 80 से अधिक DeFi प्लेटफ़ॉर्म हैं, और हर हफ्ते नए प्रोजेक्ट लॉन्च हो रहे हैं। उनके द्वारा उपयोग किए जाने वाले स्मार्ट कॉन्ट्रैक्ट्स में कमजोरियां होना तय है, खासकर यदि उन्हें ठीक से लिखा और परीक्षण नहीं किया गया हो।

CyberNews द्वारा किए गए एक investigation से पता चला कि लगभग 3,800 Ethereum स्मार्ट कॉन्ट्रैक्ट्स में ऐसी कमजोरियां थीं जिनके जरिए हमलावर कम से कम $1 मिलियन मूल्य की crypto assets चुरा सकते थे। अध्ययन ने यह भी दिखाया कि कुल 13 अलग-अलग प्रकार की कमजोरियां हैं, और उनमें से चार के हैकर्स द्वारा शोषित होने की संभावना काफी अधिक है।

लोकप्रिय Avalanche प्लेटफ़ॉर्म में इस वर्ष की शुरुआत में एक vulnerability सामने आई। तो, नए विकेंद्रीकृत Pangolin एक्सचेंज के लॉन्च और नेटवर्क overload के दौरान, एक error हुई जिससे issue विफल हो गया, और व्यापक घबराहट फैल गई। Solana, Flow, Zilliqa, और Fantom सहित अन्य प्रसिद्ध प्लेटफ़ॉर्म्स में भी, जैसा कि सामने आया, उनके कॉन्ट्रैक्ट्स में errors थीं।

DAO और Re-Entry Attack

Re-entry स्मार्ट कॉन्ट्रैक्ट्स की एक सामान्य vulnerability है। हालांकि यह विभिन्न blockchain platforms के स्मार्ट कॉन्ट्रैक्ट्स में मौजूद हो सकती है, लेकिन यह सबसे अधिक Ethereum blockchain से जुड़ी होती है।

Re-entry attacks 2016 में Ethereum blockchain पर DAO की प्रसिद्ध hacking के लिए सबसे अधिक जानी जाती हैं।

एक स्मार्ट कॉन्ट्रैक्ट में पहली और सबसे विनाशकारी गलती 2016 में हुई। decentralized autonomous organization (DAO) स्मार्ट कॉन्ट्रैक्ट्स पर काम कर रही थी और उस समय उसने $150 मिलियन से अधिक एकत्र किए थे।

एक अज्ञात हमलावर crowdfunding के माध्यम से एकत्र किए गए ether (ETH) को निकालने में सफल रहा। नुकसान की राशि $150 मिलियन से अधिक थी।

यह मामला Re-entry attack का सबसे प्रसिद्ध उदाहरण है। एक repeat attack का मतलब है कि हमलावर एक transaction भेजता है, जिसके परिणामस्वरूप contract तब तक बार-बार निष्पादित होता है जब तक contract account के resources समाप्त नहीं हो जाते।

यदि धन चाहने वाले प्रोजेक्ट को DAO community से पर्याप्त समर्थन मिला हो, तो उस प्रोजेक्ट का Ethereum address DAO से ether निकाल सकता था। दुर्भाग्य से DAO के लिए, transfer mechanism ने ether को आंतरिक स्थिति अपडेट करने और यह नोट करने से पहले कि balance पहले ही ट्रांसफर हो चुका है, एक external address पर भेज दिया। इससे हमलावरों को अधिक ether निकालने में मदद मिली।

कुल मिलाकर, DAO wallets से 3.6 मिलियन ETH निकाले गए। अब, ये tokens $6.4 बिलियन से अधिक मूल्य के हैं। यह hack एक hard fork का कारण बना, जिसने नेटवर्क को दो भागों में विभाजित कर दिया: Ethereum और Ethereum Classic।

जहां कुछ लोगों ने सहमति जताई कि नुकसान को कम करना और धन को उन addresses में स्थानांतरित करना बेहतर है जिन तक उनके मूल मालिक पहुंच सकते हैं, वहीं अन्य ने तर्क दिया कि blockchain की immutability का उल्लंघन नहीं किया जाना चाहिए, अन्यथा इससे community के भीतर तकनीकी और वैचारिक विभाजन होता है।

मूल Ethereum blockchain, जिसे अब Ethereum Classic के नाम से जाना जाता है, ने DAO से चुराए गए tokens को हैकर के पास रहने दिया, immutability को चुनते हुए, जबकि Ethereum ने community को वोट देने की अनुमति दी और funds को उनके मूल मालिकों को वापस कर दिया, blockchain consensus को प्राथमिकता देते हुए।

DAO के अलावा Re-entry Attacks के अन्य उदाहरण

हालांकि, ये कमजोरियां स्मार्ट कॉन्ट्रैक्ट्स की कई hacking घटनाओं में भी पाई गई हैं, जिनमें कई DeFi protocols शामिल हैं।

Re-entry vulnerabilities से जुड़े हाल के DeFi hacks के कुछ उदाहरण हैं:

• Fei Protocol: अप्रैल 2022 में, Fei protocol लगभग ~$80 मिलियन के hack का शिकार हुआ, जो re-entry vulnerabilities वाले third-party code के उपयोग से संभव हुआ।
• Paraluni: मार्च 2022 में Paraluni smart contract की hacking में re-entry vulnerability और अविश्वसनीय user data की खराब verification का उपयोग कर लगभग ~$1.7 मिलियन मूल्य के tokens चुराए गए।
• Grim Finance: दिसंबर 2021 में, Grim Finance के safeTransferFrom function में re-entering की vulnerability का उपयोग लगभग ~$30 मिलियन मूल्य के tokens प्राप्त करने के लिए किया गया।
• The SIREN Protocol: सितंबर 2021 में SIREN protocol के AMM pool के smart contracts में re-entry की vulnerability का उपयोग लगभग ~$3.5 मिलियन मूल्य के tokens के लिए किया गया।
• CREAM Finance: अगस्त 2021 में, एक हमलावर ने लगभग $18.8 मिलियन मूल्य के tokens चुराने के लिए AMP CREAM Finance token integration system में घुसने हेतु re-logging exploit का उपयोग किया।

ये DeFi hacks के केवल कुछ उदाहरण नहीं हैं जिन्होंने re-entry के दौरान कमजोरियों का फायदा उठाया। हालांकि यह एक पुराना और व्यापक रूप से प्रचारित जोखिम है, फिर भी आज नए स्मार्ट कॉन्ट्रैक्ट्स में re-entry vulnerabilities दिखाई देती हैं।

आइए संक्षेप में समझें

आम उपयोगकर्ताओं और बड़े निवेशकों, दोनों का DeFi की मूल अवधारणा पर भरोसा इस बात पर निर्भर करेगा कि crypto industry इस तरह की चुनौतियों से कैसे निपटती है।

जो अभी हो रहा है, वह स्वाभाविक है और जल्द ही blockchain projects की सुरक्षा के स्तर में वृद्धि लाएगा, लेकिन समय-समय पर हम अभी भी सफल hacker attacks की खबरें देखेंगे।