ডিফি সিকিউরিটি সংকট: ওপেনজেলিপিন প্রতিষ্ঠাতা সতর্ক করেছেন যে সব প্রোটোকলই ভাঙার ঝুঁকিতে

মূল | ওডেইলি স্টার ডেলি (@OdailyChina)

লেখক | আজুমা (@azuma_eth)

আমি মনে করি সমস্ত DeFi এখন অনিরাপদ।

অ্যাম্যানুয়েল আরাওজ দ্বারা গতকাল X-এ রেখে যাওয়া এই দাবি একটি গভীর জলের বোমা হিসাবে কাজ করেছে, যা ইতিমধ্যে নীরব ডিফি বাজারকে আবার আঘাত করেছে।

ম্যানুয়েল এমনকি বলেছেন যে তিনি নিজের পরিবার এবং বন্ধুদের কাছে Aave, MakerDAO এবং Compound এর মতো কম ঝুঁকিপূর্ণ ব্লু-চিপ ডিফি প্রোটোকলগুলি থেকে তাদের অর্থ তুলে নেওয়ার পরামর্শ দিয়েছেন।

এটি কোনো অপারগের ভয় প্রকাশ নয়। বরং, ম্যানুয়েল নিজেই DeFi নিরাপত্তা ব্যবস্থার সবচেয়ে কেন্দ্রীয় নির্মাতাদের একজন, এবং OpenZeppelin শিল্পের সবচেয়ে প্রধান নিরাপত্তা অডিট কোম্পানির মধ্যে একটি, যার স্মার্ট কনট্রাক্ট লাইব্রেরি, নিরাপত্তা মানদণ্ড এবং অডিট ফ্রেমওয়ার্ক প্রায় সমস্ত DeFi বিশ্বে বিস্তৃত।

ম্যানুয়েলের মনোভাব পরিবর্তনের কারণ হল এআই। ম্যানুয়েল নিঃশেষে বিশ্বাস করেন যে, এআই কোডিং এজেন্টগুলি স্মার্ট চুক্তির দুর্বলতা শনাক্ত করার এবং সেগুলি থেকে লাভ করার ক্ষমতা প্রতিটি মুহূর্তে সূচকীয়ভাবে বৃদ্ধি পাচ্ছে।

এর অর্থ হলো, যে সমস্যাগুলি পূর্বে শীর্ষ সাদা টুপি দলের কয়েক সপ্তাহ লাগত, এখন এআই কয়েক মিনিটের মধ্যে স্ক্যান করে ফেলতে পারে; পূর্বে হ্যাকারদের প্রোটোকলের লজিক বুঝতে দীর্ঘ সময় লাগত, এখন এআই সরাসরি আক্রমণের পথগুলির স্বয়ংক্রিয় বিশ্লেষণ করতে পারে; পূর্বে DeFi-এর “প্রকাশ্যে স্বচ্ছতা” ছিল একটি সুবিধা, কিন্তু এখন এটি আক্রমণকারীদের জন্য সেরা প্রশিক্ষণ কর্পাস হয়ে উঠেছে।

ম্যানুয়েল আরও একটি মারাত্মক সমস্যা উল্লেখ করেছেন, স্মার্ট চুক্তির নিরাপত্তা মূলত একটি অত্যন্ত অসম খেলা — প্রতিরক্ষাকারীকে সমস্ত দুর্বলতা ঠিক করতে হবে, যখন আক্রমণকারীকে শুধুমাত্র একটি দুর্বলতা খুঁজে পেলেই যথেষ্ট হয়ে যায়, যাতে তারা অর্থ চুরি করতে পারে। AI যখন আক্রমণের দক্ষতা প্রচণ্ডভাবে বাড়াতে শুরু করবে, তখন এই অসমতা দ্রুত অস্থিতিশীল হয়ে পড়ছে।

গত কয়েক মাসের ডিফি নিরাপত্তা দুর্ঘটনাগুলির পুনর্বিশ্লেষণ করলে, আপনি দেখতে পাবেন যে ম্যানুয়েলের উদ্বেগ অতিশয়োক্তি নয়।

এপ্রিল প্রায় ডি-ফি-এর ইতিহাসের সবচেয়ে খারাপ মাস ছিল।

• ১ এপ্রিল, এপ্রিল ফুলের দিনে, ড্রিফ্ট প্রোটোকল প্রশাসনিক অধিকার অপহরণ এবং মাল্টি-সিগ বাস্তবায়ন ভাঙ্গনের কারণে 2.8 বিলিয়ন ডলার চুরি হয় (বিস্তারিত জানুন: “এপ্রিল ফুলের হাস্যরস? ড্রিফ্ট প্রোটোকল থেকে 2.8 বিলিয়ন ডলার চুরি, যা সোলানা ইকোসিস্টেমের দ্বিতীয় বৃহত্তম DeFi ডাকাতি হতে পারে”)।
• পরে 19 এপ্রিল, কেল্প ডিওএএস ব্রিজিং প্রোটোকল হ্যাক হওয়ার ফলে 292 মিলিয়ন ডলার চুরি হয় (বিস্তারিত দেখুন: “DeFi আবার 292 মিলিয়ন ডলার চুরি হল, এবার Aave-ও নিরাপদ নয়?”), যার ফলে হ্যাকাররা Aave-এর মতো ধার প্রোটোকলের মাধ্যমে পালিয়ে যায় এবং সমগ্র DeFi-কে খারাপ ঋণ এবং এর পাশাপাশি প্রভাবের ছায়ায় ফেলে দেয়।

মে মাসের পর দুর্ঘটনা কমেনি, বরং আরও ব্যাপকভাবে ছড়িয়ে পড়েছে।

• মে 15 তারিখে, THORChain-এ আক্রমণ হয়, যেখানে নতুন যোগ হওয়া নোড অপারেটররা GG20 থ্রেশহোল্ড সিগনেচার স্কিম (TSS) এর দুর্বলতা ব্যবহার করে ট্রেজারি প্রাইভেট কী পুনর্গঠন করে এবং বাইরের লেনদেনগুলি সরাসরি চালানোর মাধ্যমে 1000 ডলারেরও বেশি ক্ষতি করে।
• মে 18 তারিখে, ভারাসের ব্রিজ প্রোটোকলে আক্রমণ হয়, যেখানে হামলাকারীরা ক্রস-চেইন ইমপোর্ট পেলোড প্রতারণামূলকভাবে তৈরি করে যাচাইকরণ এড়িয়ে ইথারিয়াম রিজার্ভ থেকে সম্পদ তুলে নেয় এবং প্রায় 1158 মিলিয়ন ডলার চুরি করে।
• মে 19 তারিখে, মনাডের উপর ইকো প্রোটোকল প্রাইভেট কী প্রবাহের কারণে আক্রান্ত হয়, যার ফলে আক্রমণকারী 1000টি eBTC (7670 মিলিয়ন ডলারের মূল্য) মিন্ট করে এবং আগে পরীক্ষিত আক্রমণের পথের মাধ্যমে কারভ্যান্সের মাধ্যমে তহবিল তুলে নেয়।
• মে 24 তারিখে, MiCA নিয়ন্ত্রণ ব্যবস্থার অধীনে সম্মত স্থিতিশীল মুদ্রা প্রকাশক StablR-এর উপর আক্রমণ চালানো হয়, যেখানে হ্যাকাররা EURR এবং USDR প্রকাশ করে 280 ডলারেরও বেশি লাভ করে এবং EURR এবং USDR উভয়েরই স্থিতিশীলতা হারিয়ে ফেলে।
• মে 25 তারিখে, স্কুইডরাউটার মডিউলে আক্রমণ হয়, যার ফলে 86টি গ্নোসিস সেফ ওয়ালেট থেকে প্রায় 3 মিলিয়ন ডলারের সম্পদ চুরি হয়।
• মে 27 তারিখে, StakeDAO ডিপ্লয়ারের ব্যক্তিগত চাবি Arbitrum-এ প্রকাশিত হয়, যার ফলে আক্রমণকারীরা প্রায় 5.45 ট্রিলিয়ন vsdCRV মিন্ট করে এবং পালানোর জন্য তাদের মধ্যে কিছুকে 43.7 ETH-এ বদলায়।

অ্যাডভান্সড সিকিউরিটি ইভেন্টগুলি সতর্কবার্তা পাঠিয়েছে, চেইন-অন কোড থেকে চেইন-অফ ম্যানেজমেন্ট পর্যন্ত, DeFi মনে হচ্ছে সমস্ত লাইনে হারিয়ে যাচ্ছে।

এই গ্রীষ্মে DeFi আক্রমণ ও প্রতিরোধ কেন হঠাৎ তীব্র পতনের দিকে এগিয়ে যাচ্ছে? প্রাচীন হ্যাকিং প্রযুক্তির উন্নতির পাশাপাশি, AI বড় মডেলের অসাধারণ উন্নতি সমতা ভাঙার চূড়ান্ত ওজন হয়ে উঠছে।

অতীতে, একটি জটিল স্মার্ট কন্ট্র্যাক্ট ভালনার খোঁজা (বিশেষ করে ক্রস-চেইন, মাল্টি-লেয়ার নেস্টেড, বা অত্যন্ত অদৃশ্য রিএনট্রি লজিক সহ) শীর্ষস্থানীয় হ্যাকারদের জন্য সপ্তাহ বা মাসের পরিসরে কোড বিশ্লেষণের প্রয়োজন হত। তবে, অত্যন্ত দীর্ঘ কনটেক্সট, শক্তিশালী লজিক্যাল রিজনিং, এবং স্বায়ত্তশাসিত টুল কলিং ক্ষমতা সহ AI এজেন্টগুলির পরিপক্কতার সাথে এটি একটি মৌলিক পরিবর্তনের সম্মুখীন হয়েছে।

• সেকেন্ড স্ক্যান এবং সমগ্র ওয়েবের “জিরো-ডে ভালনারেবিলিটি” খোঁজা: আক্রমণকারীদের কাছে শুধু ওপেন-সোর্স কোড লাইব্রেরি নতুন প্র thế hệ AI ইনফারেন্স মডেলের দিকে ফেলতে হবে, AI কয়েক সেকেন্ডের মধ্যে একজন অভিজ্ঞ সিকিউরিটি এক্সপার্টের মতো শত শত এক্সট্রিম ইন্টারঅ্যাকশন সিনারিও প্রতিফলিত করবে এবং ক্লান্তির কারণে মানুষের অডিটররা উপেক্ষা করা বর্ডার কন্ডিশনগুলি সঠিকভাবে শনাক্ত করবে।
• অটোমেটেড আক্রমণ স্ক্রিপ্ট জেনারেশন: এআই শুধু ভাঙ্গন খুঁজে না, বরং অর্থ নিষ্কাশনের জন্য “হ্যাকার স্মার্ট কনট্রাক্ট” স্বয়ংক্রিয়ভাবে লিখতে, পরীক্ষা করতে এবং বাস্তবায়িত করতে পারে।
• অফলাইন DevOps এবং সামাজিক প্রভাবের পারফেক্ট কোরোগ্রাফি: এআই পারফেক্ট ডেভেলপারের মতো ফিশিংয়ের জন্য ছদ্মবেশ ধারণ করতে পারে, অথবা DeFi টিমের GitHub কমিটগুলির উপর 24/7 মনিটরিং করতে পারে। যখন টিম সংবেদনশীল তথ্য বা অনায়ত্ত ফিক্স কোড আপলোড করে, এআই কয়েক সেকেন্ডের মধ্যে আক্রমণ শুরু করবে—যা মানুষের সিকিউরিটি অফিসারদের প্রতিক্রিয়ার সময়ের চেয়ে অনেক দ্রুত।

এই এআই-সমৃদ্ধ সুরক্ষা ও আক্রমণের যুদ্ধে, হ্যাকাররা এআই-এর মাধ্যমে প্রায় অসীম গুলি এবং সেকেন্ডের মধ্যে আক্রমণের গতি অর্জন করেছে, যখন DeFi ধীরগতির গভীর ভোটিং, মাল্টি-সিগ নিশ্চিতকরণ এবং দেরিতে সুরক্ষা অডিটের কারণে প্রতিক্রিয়াশীল প্রতিরোধ প্রদানে অক্ষম।

গত মাসে, Claude-এর পিছনের এআই ডেভেলপমেন্ট কোম্পানি Anthropic একটি নতুন প্র thế মডেল Mythos ঘোষণা করেছে (বিস্তারিত জানুন: “Anthropic ইতিহাসের সবচেয়ে শক্তিশালী এআই মডেল তৈরি করেছে, কিন্তু প্রকাশ করতে ভয় পাচ্ছে...”)। এটি মানব ইতিহাসের প্রথম মডেল যার মোট প্যারামিটার 10 ট্রিলিয়ন পর্যন্ত পৌঁছেছে (এর বিপরীতে, বর্তমানে বাজারের প্রধান মডেলগুলির প্যারামিটার পরিসর 100 বিলিয়ন থেকে 1 ট্রিলিয়ন)। এর প্রশিক্ষণ খরচ 100 বিলিয়ন ডলার।

তবে, মিথসের সাইবার নিরাপত্তা বিশেষজ্ঞতার কারণে (অ্যানথ্রোপিক পূর্বে প্রকাশ করেছে যে কোম্পানিটি মাত্র কয়েক সপ্তাহের মধ্যে মিথস ব্যবহার করে হাজার হাজার জিরো-ডে দুর্বলতা শনাক্ত করেছে), অ্যানথ্রোপিক এই মডেলটি সরাসরি প্রকাশ করতে সাহস করেনি, যাতে হ্যাকারদের দ্বারা এটি দুর্ব্যবহার না হয়; বরং, তারা প্রথমে “গ্লাস উইং” প্রোগ্রামের মাধ্যমে শীর্ষস্থানীয় বড় কোম্পানিগুলিকে পরীক্ষা ও সম্ভাব্য দুর্বলতা ঠিক করার জন্য পরিকল্পনা করছে।

বর্তমানে DeFi-এর নিরাপত্তা পরিস্থিতি এখনও অত্যন্ত গুরুতর, এবং মিথোস প্রকাশের পর শিল্পের নিরাপত্তা প্রতিরোধ কী ধরনের নতুন হুমকির সম্মুখীন হবে, তা কল্পনা করা কঠিন।

সাধারণ DeFi অংশগ্রহণকারী, তরলতা প্রদানকারী (LP) এবং বিশাল মাছদের জন্য, এখন সবচেয়ে গুরুত্বপূর্ণ বিষয় হল বসে একটি হিসাব করা।

দীর্ঘ সময় ধরে, ব্যবহারকারীরা পারম্পরিক অর্থনীতির চেয়ে কয়েকগুণ বেশি বার্ষিক রিটার্নের জন্য DeFi-তে তাদের অর্থ জমা রাখে। বুল মার্কেট বা লিকুইডিটি মাইনিংয়ের উচ্ছ্বল সময়ে, 10%, 20% বা তারও বেশি রিটার্ন প্রত্যাশিত প্রযুক্তিগত ঝুঁকির মনস্তাত্ত্বিক প্রতিক্রিয়াকে কভার করতে পারে।

কিন্তু আজকের দিনে, এই মূল যুক্তি ইতিমধ্যেই কম্প্রোমাইজ বা উল্টে গেছে, DeFi-এর ঝুঁকি-লাভ অনুপাত অসন্তুলিত হয়ে গেছে। লাভের পক্ষে, বাজার স্থিতিশীল প্রতিযোগিতায় প্রবেশ করার সাথে সাথে নিরাপত্তা প্রান্ত বৃদ্ধি পেয়েছে, এবং বেশিরভাগ প্রধান, সাপেক্ষে নির্ভরযোগ্য DeFi প্রোটোকলের প্রকৃত রিটার্ন এখন একক অঙ্কের পরিসরে ফিরে এসেছে; ঝুঁকির পক্ষে, ব্যবহারকারীদের মূলধন এমন একটি ব্ল্যাকবক্সের মধ্যে প্রকাশিত হয়েছে, যা যেকোনো সময় AI-এর দ্বারা ভাঙা, স্বিফটলোন-এর দ্বারা মুহূর্তের মধ্যে খালি করা যেতে পারে। যদি কোনো প্রোটোকলের উপর হ্যাকারদের আক্রমণ হয়, তবে টোকেনগুলির মূল্য শূন্যে নেমে আসা, এবং ফান্ডিং পুলগুলির শূন্যকরণটি প্রায়শই কয়েক মিনিটেরও কমসময়েই ঘটে, এবং কোনওআইনগত, বীমা, বা কেন্দ্রীয়ব্যাংকইএটিকেআচ্ছাদনকরতেপারেনা।

100% মূলধন হারানোর ঝুঁকি নিয়ে প্রায় 5% বার্ষিক রিটার্নের জন্য ঝুঁকি নেওয়া স্পষ্টতই একটি অপ্রয়োজনীয় ব্যবসা।

ম্যানুয়েলের কথাগুলো হয়তো কিছুটা প্রান্তিক, কিন্তু এটি DeFi-এর শেষ আবরণ খুলে ফেলেছে। হ্যাকাররা এখন AI-কে সাধারণ অস্ত্র হিসেবে ব্যবহার করছে এবং শিল্পে নিরাপত্তা সংকট নিয়মিত ঘটছে—এই বাস্তবতার সামনে, যদি আপনি ১০০% মূলধন হারানোর জন্য একটি নির্দিষ্ট আয়ের জন্য মানসিকভাবে প্রস্তুত না থাকেন, তবে “দ্রুত বিনিয়োগ তুলে নেওয়া, লাভ নিশ্চিত করা” হল বর্তমান বাজার চক্রের জন্য সবচেয়ে যুক্তিসঙ্গত এবং ঝুঁকি ব্যবস্থাপনার নীতির সাথে সঙ্গতিপূর্ণ পছন্দ।