ডিফি সিকিউরিটি সংকট: শীর্ষ অডিটর সতর্ক করেছেন যে সব প্রোটোকলই ভাঙার ঝুঁকিতে

মূল | ওডেইলি স্টার ডেলি (@OdailyChina)

লেখক | আজুমা (@azuma_eth)

আমি মনে করি সমস্ত DeFi এখন অনিরাপদ।

ওপেনজেলিপিনের প্রতিষ্ঠাতা ম্যানুয়েল আরাওজ গতকাল X-এ যে বিবৃতি রেখে গেছেন, তা একটি গভীর জলনিমগ্ন বোমার মতো, যা ইতিমধ্যে নীরব ডিফি বাজারকে আবারও আঘাত করেছে।

ম্যানুয়েল এমনকি বলেছেন যে তিনি নিজের পরিবার এবং বন্ধুদের বিভিন্ন DeFi প্রোটোকল থেকে তাদের অর্থ তুলে নেওয়ার পরামর্শ দিয়েছেন, যার মধ্যে Aave, MakerDAO এবং Compound এর মতো কম ঝুঁকিপূর্ণ ব্লু-চিপ প্রোটোকলগুলি অন্তর্ভুক্ত।

এটি কোনো অবিশ্বাস্যের ভয় প্রকাশ নয়। বরং, ম্যানুয়েল নিজেই DeFi নিরাপত্তা ব্যবস্থার সবচেয়ে কেন্দ্রীয় নির্মাতাদের একজন, এবং OpenZeppelin শিল্পের সবচেয়ে প্রধান নিরাপত্তা অডিট কোম্পানির মধ্যে একটি, যার স্মার্ট চুক্তি লাইব্রেরি, নিরাপত্তা মানদণ্ড এবং অডিট ফ্রেমওয়ার্ক প্রায় সমস্ত DeFi বিশ্বে বিস্তৃত।

ম্যানুয়েলের মনোভাব পরিবর্তনের কারণ হল এআই। ম্যানুয়েল নিম্নমুখীভাবে মনে করেন যে, এআই কোডিং এজেন্টগুলি স্মার্ট চুক্তির ভাঙ্গন শনাক্ত করা এবং সেগুলি থেকে লাভ করার ক্ষমতায় সূচকীয়ভাবে বৃদ্ধি পাচ্ছে।

এর অর্থ হলো, যে সমস্যাগুলি পূর্বে শীর্ষ সাদা টুপি দলের কয়েক সপ্তাহ লাগত, এখন এআই কয়েক মিনিটের মধ্যে স্ক্যান করে ফেলতে পারে; পূর্বে হ্যাকারদের প্রোটোকলের যুক্তি বিশ্লেষণের জন্য দীর্ঘ সময় লাগত, এখন এআই সরাসরি আক্রমণের পথ স্বয়ংক্রিয়ভাবে বিশ্লেষণ করতে পারে; পূর্বে DeFi-এর “পাবলিক ট্রানসপারেন্সি” ছিল একটি সুবিধা, কিন্তু এখন এটি আক্রমণকারীদের জন্য সেরা ট্রেনিং করপাস হয়ে উঠেছে।

ম্যানুয়েল আরও একটি মারাত্মক সমস্যা উল্লেখ করেছেন, স্মার্ট চুক্তির নিরাপত্তা মূলত একটি অত্যন্ত অসম খেলা — প্রতিরক্ষাকারীকে সমস্ত ভাঙন ঠিক করতে হবে, যেখানে আক্রমণকারীকে শুধুমাত্র একটি ভাঙন খুঁজে পেলেই যথেষ্ট হয়ে যায়, যাতে তারা অর্থ চুরি করতে পারে। AI যখন আক্রমণের দক্ষতা চরমভাবে বাড়াতে শুরু করবে, তখন এই অসমতা দ্রুতভাবে অস্থিতিশীল হয়ে পড়ছে।

গত কয়েক মাসের ডিফি নিরাপত্তা দুর্ঘটনাগুলির পুনর্বিশ্লেষণ করলে আপনি দেখতে পাবেন যে ম্যানুয়েলের উদ্বেগ অতিশয়োক্তি নয়।

এপ্রিল প্রায় ডিফি-এর ইতিহাসের সবচেয়ে খারাপ মাস ছিল।

• এপ্রিল ১ তারিখে এপ্রিল ফুল দিবসে, ড্রিফ্ট প্রোটোকল প্রশাসনিক অধিকার হারিয়ে এবং মাল্টি-সিগ বাস্তবায়নের ভুলের কারণে ২.৮ বিলিয়ন ডলার চুরি হয় (বিস্তারিত জানুন এপ্রিল ফুল জোক? ড্রিফ্ট প্রোটোকলে ২.৮ বিলিয়ন ডলার চুরি, যা সোলানা ইকোসিস্টেমের দ্বিতীয় বৃহত্তম DeFi ডাকাতি হতে পারে)।
• এরপর 19 এপ্রিল, কেল্প ডিওএএস ব্রিজ প্রোটোকল হ্যাক হওয়ার ফলে 292 মিলিয়ন ডলার চুরি হয় (বিস্তারিত দেখুন DeFi আবার 2.92 কোটি ডলার চুরি হল, এবার Aave-ও নিরাপদ নয়?), হ্যাকার পরবর্তীতে Aave সহ বিভিন্ন ধার প্রোটোকলের মাধ্যমে পালিয়ে যায়, যার ফলে সমগ্র DeFi-এর উপর খারাপ ঋণ এবং তার পরিণতির ছায়া পড়ে।

মে মাসে প্রবেশ করার পরে, দুর্ঘটনা কমে না, বরং আরও ব্যাপকভাবে ছড়িয়ে পড়ে।

• মে 15 তারিখে, THORChain-এ আক্রমণ হয়, যেখানে নতুন যোগ হওয়া নোড অপারেটররা GG20 থ্রেশহোল্ড সিগনেচার স্কিম (TSS) এর দুর্বলতা ব্যবহার করে ট্রেজারি প্রাইভেট কী পুনর্গঠন করে এবং বাইরের লেনদেনগুলি সরাসরি চালিয়েছে, যার ফলে 1000 ডলারেরও বেশি ক্ষতি হয়।
• মে 18 তারিখে, ভারাসের ব্রিজ প্রোটোকল আক্রমণের শিকার হয়, যেখানে হামলাকারীরা ক্রস-চেইন ইম্পোর্ট পেলোড জালিয়াতি করে যাচাইকরণ এড়িয়ে ইথারিয়াম রিজার্ভ থেকে সম্পদ তুলে নেয় এবং প্রায় 1158 মিলিয়ন ডলার চুরি করে।
• মে 19 তারিখে, মনাডের উপর ইকো প্রোটোকল প্রাইভেট কী প্রবাহের কারণে আক্রান্ত হয়, যার ফলে আক্রমণকারী 1000টি eBTC (7670 মিলিয়ন মার্কিন ডলারের মূল্য) মিন্ট করে এবং আগে থেকেই পরীক্ষিত আক্রমণের পথের মাধ্যমে Curvance-এর মাধ্যমে ফান্ডস তুলে নেয়।
• মে 24 তারিখে, MiCA নিয়ন্ত্রণ ব্যবস্থার অধীনে সামঞ্জস্যপূর্ণ স্থিতিশীল মুদ্রা প্রকাশক StablR-এর উপর আক্রমণ চালানো হয়, যেখানে হ্যাকাররা EURR এবং USDR প্রকাশ করে 280 ডলারের বেশি লাভ করে এবং EURR এবং USDR উভয়েরই মূল্যস্থিরতা হারিয়ে ফেলে।
• মে 25 তারিখে, স্কুইডরাউটার মডিউলে আক্রমণ হয়, যার ফলে 86টি গ্নোসিস সেফ ওয়ালেট থেকে প্রায় 3 মিলিয়ন ডলারের সম্পদ চুরি হয়।
• মে 27 তারিখে, StakeDAO ডিপ্লয়ারের ব্যক্তিগত চাবি Arbitrum-এ প্রকাশিত হয়, যার ফলে আক্রমণকারীরা প্রায় 5.45 ট্রিলিয়ন vsdCRV মিন্ট করে এবং পার্টিয়ালি 43.7 ETH-এ রূপান্তরিত করে পালিয়ে যায়।

চেইনের কোড থেকে চেইনের বাইরের পরিচালনা পর্যন্ত, ডিফি সম্পূর্ণরূপে পতনের দিকে এগিয়ে যাচ্ছে, যা উচ্চ ফ্রিকোয়েন্সিতে ঘটছে সুরক্ষা ঘটনাগুলির মাধ্যমে সতর্কবার্তা পাঠিয়েছে।

এই গ্রীষ্মে DeFi আক্রমণ এবং প্রতিরোধ কেন হঠাৎ তীব্র পতনের দিকে এগিয়ে যাচ্ছে? প্রাচীন হ্যাকিং প্রযুক্তির উন্নতির পাশাপাশি, AI বড় মডেলের দ্রুত অগ্রগতি সামঞ্জস্যতা ভাঙার চূড়ান্ত পাল্টা হয়ে উঠছে।

অতীতে, একটি জটিল স্মার্ট কন্ট্রাক্ট ভালোর খোঁজ করা (বিশেষ করে ক্রস-চেইন, মাল্টি-লেয়ার নেস্টিং, বা অত্যন্ত অদৃশ্য রিএনট্রি লজিক সহ) শীর্ষস্থানীয় হ্যাকারদের জন্য সপ্তাহ বা মাসের পরিমাণ কোড বিশ্লেষণের প্রয়োজন হত। তবে, অত্যন্ত দীর্ঘ কনটেক্সট, শক্তিশালী লজিক্যাল রিজনিং, এবং স্বাধীন টুল কলিং ক্ষমতা সহ AI এজেন্টগুলির পরিপক্কতার সাথে এটি একটি মৌলিক পরিবর্তনের সম্মুখীন হয়েছে।

• সেকেন্ড স্ক্যান এবং সমগ্র ওয়েবের “জিরো-ডে ভালনারেবিলিটি” খোঁজা: আক্রমণকারীদের কেবল ওপেন-সোর্স কোড লাইব্রেরি নতুন প্রজন্মের এআই ইনফারেন্স মডেলের দিকে ফেলতে হবে, এআই কয়েক সেকেন্ডের মধ্যে একজন অভিজ্ঞ সিকিউরিটি এক্সপার্টের মতো শত শত এক্সট্রিম ইন্টারঅ্যাকশন সিনারিও প্রতিফলিত করবে এবং ক্লান্তির কারণে মানুষের অডিটররা উপেক্ষা করা বর্ডার কন্ডিশনগুলি সঠিকভাবে শনাক্ত করবে।
• অটোমেটেড আক্রমণ স্ক্রিপ্ট জেনারেশন: এআই শুধু ভাঙ্গন খুঁজে না, বরং অর্থ নিষ্কাশনের জন্য “হ্যাকার স্মার্ট কনট্রাক্ট” স্বয়ংক্রিয়ভাবে লিখতে, পরীক্ষা করতে এবং বাস্তবায়িত করতে পারে।
• অফ-চেইন DevOps এবং সামাজিক প্রভাবের পরিপূর্ণ সমন্বয়: AI একজন আদর্শ ডেভেলপারের মতো ফিশিংয়ের জন্য প্রতারণা করতে পারে বা DeFi টিমের GitHub কমিটগুলির উপর 24/7 নজরদারি করতে পারে। যখন টিম সংবেদনশীল তথ্য বা অপ্রমাণিত ফিক্স কোড আপলোড করে, AI কয়েক সেকেন্ডের মধ্যে আক্রমণ শুরু করবে—যা মানুষের সুরক্ষা কর্মীদের প্রতিক্রিয়ার সময়ের চেয়ে অনেক দ্রুত।

এই এআই-সমৃদ্ধ সুরক্ষা ও আক্রমণের যুদ্ধে, হ্যাকাররা এআই-এর মাধ্যমে প্� practically অসীম গুলি এবং সেকেন্ডের মধ্যে আক্রমণের গতি অর্জন করেছে, যখন DeFi ধীরগতির গভীর ভোটিং, মাল্টি-সিগ নিশ্চিতকরণ এবং দেরি হওয়া সুরক্ষা অডিটের কারণে প্রতিক্রিয়াশীল প্রতিরোধ প্রদানে কঠিন পড়েছে।

গত মাসে, Claude-এর পিছনের AI ডেভেলপমেন্ট কোম্পানি Anthropic একটি নতুন প্র thế মডেল Mythos ঘোষণা করেছে (বিস্তারিত জানুন Anthropic ইতিহাসের সবচেয়ে শক্তিশালী AI মডেল তৈরি করেছে, কিন্তু প্রকাশ করতে সাহস পায়নি...)। এটি মানব ইতিহাসের প্রথম মডেল যার মোট প্যারামিটার 10 ট্রিলিয়নের ঊর্ধ্বে পৌঁছেছে (এর বিপরীতে, বর্তমানে বাজারের প্রধান মডেলগুলির প্যারামিটার পরিসর 100 বিলিয়ন থেকে 1 ট্রিলিয়ন)। এর প্রশিক্ষণ খরচ অসাধারণভাবে 100 বিলিয়ন ডলার।

তবে, মিথসের সাইবার নিরাপত্তা বিশেষজ্ঞতার কারণে (অ্যানথ্রোপিক প্রকাশ করেছে যে কোম্পানিটি কেবল কয়েক সপ্তাহের মধ্যে মিথস ব্যবহার করে হাজার হাজার জিরো-ডে দুর্বলতা শনাক্ত করেছে), অ্যানথ্রোপিক এই মডেলটি সরাসরি প্রকাশ করতে সাহস করেনি, যাতে হ্যাকারদের দ্বারা এটি দুর্ব্যবহার না হয়, বরং প্রথমে “গ্লাস উইং” প্রোগ্রামের মাধ্যমে শীর্ষস্থানীয় বড় কোম্পানিগুলিকে পরীক্ষা ও সম্ভাব্য দুর্বলতা ঠিক করতে দেওয়ার পরিকল্পনা করছে।

বর্তমানে ডিফির নিরাপত্তা পরিস্থিতি এখনও অত্যন্ত গুরুতর, এবং মাইথোস প্রকাশের পর শিল্পের নিরাপত্তা প্রতিরোধ কী ধরনের নতুন হুমকির সম্মুখীন হবে তা কল্পনা করা কঠিন।

সাধারণ DeFi অংশগ্রহণকারী, তরলতা প্রদানকারী (LP) এবং বিশাল মাছদের জন্য, এখন সবচেয়ে গুরুত্বপূর্ণ প্রশ্নটি হল বসে একটি হিসাব করা।

দীর্ঘ সময় ধরে, ব্যবহারকারীরা পারম্পরিক আর্থিক ব্যবস্থার চেয়ে কয়েকগুণ বেশি বার্ষিক রিটার্নের জন্য DeFi-তে তাদের অর্থ জমা রাখে। বুল মার্কেট বা লিকুইডিটি মাইনিংয়ের অত্যধিক সময়ে, 10%, 20% বা তারও বেশি রিটার্ন প্রত্যাশিত প্রযুক্তিগত ঝুঁকির মনস্তাত্ত্বিক প্রতিক্রিয়াকে কভার করতে পারে।

কিন্তু আজকের দিনে, এই মূল যুক্তি ইতিমধ্যেই দুলে গেছে বা বিপর্যস্ত হয়ে গেছে, DeFi-এর ঝুঁকি-আয় অনুপাত অসম হয়ে গেছে। আয়ের দিকে, বাজার স্থির প্রতিদ্বন্দ্বিতায় প্রবেশ করার সাথে সাথে, নিরাপত্তা প্যাডটি বৃদ্ধি পেয়েছে, এবং বেশিরভাগ প্রধান, তুলনামূলকভাবে বিশ্বস্ত DeFi প্রোটোকলের প্রকৃত রিটার্ন এখন একক অঙ্কের পরিসরে ফিরে এসেছে; ঝুঁকির দিকে, ব্যবহারকারীদের মূলধন এমন একটি ব্ল্যাকবক্সের মধ্যে প্রকাশিত হয়েছে, যা যেকোনো সময় AI-এর দ্বারা ভাঙা, স্বিফটলোন-এর দ্বারা পুরোপুরি খালি করা যেতে পারে, এবং যদি কোনো প্রোটোকলকে হ্যাক করা হয়, তবেটিকনগুলির মূল্য শূন্যে নামতেই ৫-১০মিনিটেরও কমসময়েই, ।

100% মূলধন হারানোর ঝুঁকি নিয়ে প্রায় 5% বার্ষিক রিটার্নের জন্য ঝুঁকি নেওয়া স্পষ্টতই একটি অপ্রয়োজনীয় ব্যবসা।

ম্যানুয়েলের কথাগুলো হয়তো কিছুটা প্রান্তিক, কিন্তু এটি DeFi-এর শেষ আবরণটি ছিঁড়ে ফেলেছে। হ্যাকাররা এখন AI-কে সাধারণ অস্ত্র হিসেবে ব্যবহার করছে এবং শিল্পে নিরাপত্তা ঘটনা বারবার ঘটছে—এই বাস্তবতার সামনে, যদি আপনি 100% মূলধন হারানোর জন্য একটি নির্দিষ্ট আয়ের জন্য মানসিকভাবে প্রস্তুত না থাকেন, তবে “দ্রুত বিনিয়োগ তুলে নেওয়া, লাভ সঞ্চয় করা” হল বর্তমান বাজার চক্রের জন্য সবচেয়ে যুক্তিসঙ্গত এবং ঝুঁকি ব্যবস্থাপনা নীতির সাথে সঙ্গতিপূর্ণ পদক্ষেপ।