मैंने हफ्तों से जो भी लेख प्रकाशित किए हैं, उन सभी का अंत एक ही पंक्ति से हुआ है। सब कुछ @arc टेस्टनेट पर चलता है। मेननेट, वास्तविक धन के साथ, सुरक्षा ऑडिट के बाद आता है, और उससे पहले नहीं। मैंने इसका मतलब सच में रखा है। इस साल के आंकड़े बताते हैं कि यह वाक्य उस विफलता के मोड को कवर करता है, जो अब प्रमुख नहीं रहा। तो, मैंने इसे किसी और से पहले कह दिया। DeFi ने 2026 के पहले आठ महीनों में, Forbes और CertiK के आंकड़ों के अनुसार, कम से कम $1.3 बिलियन का नुकसान उठाया है। संरचना कुल संख्या से अधिक महत्वपूर्ण है: रिकॉर्ड के मुताबिक पहली बार, स्मार्ट कॉन्ट्रैक्ट बग्स के बजाय, संक्रमित निजी कुंजियाँ प्रमुख हमले के माध्यम के रूप में आगे निकल गईं। इस उद्योग ने एक दशक तक अपने कोड को ऑडिट करने योग्य बनाने पर खर्च किया। यह काफी सफल रहा, इसलिए हमलावरों ने अपनी रणनीति बदल दी। तीन घटनाएँ, एक ही आकृति। Drift, 1 अप्रैल को $285 मिलियन। प्रोटोकॉल में कोई कमी नहीं। प्रशासक कुंजी तक पहुँचने के लिए महीनों का सामाजिक मनोवैज्ञानिक हमला, और 128 सेकंड में हमला। इन समयावधियों को साथ में सोचिए। महीनों मानवों के खिलाफ, मिनटों में मशीनों के। सब कुछ, जो महत्वपूर्ण है, एक लेन-देन पर हस्ताक्षर होने से पहले ही हो चुका है। KelpDAO, सत्रह दिनों बाद, $290 मिलियन, उसकी सेतु पर एकल संक्रमित प्रमाणीकर्ता। एक ही प्रमाणपत्र, एक सेट में, जिसका डिज़ाइन ऐसा है कि कोई भी सदस्य अकेला कार्रवाई नहीं कर सकता। तीसरी घटना प्रोटोकॉल से संबंधित नहीं है। Trezor को हैक नहीं किया गया। न ही वॉलेट, न ही firmware, कोई seed ya private key प्रकट नहीं हुआ। परन्तु, ShipMonk, प्रसव प्रदाता, Metabase—एक analytics tool—में maximum-severity zero-day SQL injection के माध्यम से संक्रमित हुआ। अगस्त: ~13,689ग्राहक। 4 सितंबर: ~67,000 additional US customers, पहले ShipMonk engagement (नवंबर 2019 से अगस्त 2021) से, माना जाता है कि हटा दिए गए। नाम, e-mail, phone numbers, shipping addresses। हार्डवेयर वॉलेट केग्राहकों के लिए, यह प्रयोग-लिस्ट है, केवल nuisance नहीं। तीनों में, cryptography सुरक्षित रही। क्या विफल हुआ?—एक प्रमाणपत्रवाला मनुष्य, किसी vendor's dashboard, aur kisi ne verify nahi kiya retention policy। इनमें से कुछ bhi code audit dekhta nahi hai. Auditors ke khilaf koi aarop nahi. Ye engagement ki boundary hai. इसलिए, पंक्ति में परिवर्तन हुआ: real funds move karne se pehle: independent code audit, described signing perimeter, inventoried vendor and data perimeter. Audit teeno mein se ek hai. कोई date nahi, jān-bujhkar। Ek published date pressure create karti hai, aur pressure hi us teenvee cheez ko skip karne ka karan ban jaati hai. वही shape kahin aise bhi dikhti hai jahan code audit hi nahi hai: Reserve attestation stablecoin ke peeche standard control hai: ek accounting firm reserve ko examine karti hai aur har mahine publish karti hai. Real control hai jab perform kiya jaye. Iske beech mein, koi bhi instrument accept karne ka faisla kar raha ho, woh ek hafto purana figure padh raha hota hai, ek aise market mein jahan kabhi bhi band nahi hota. @circle ka cirBTC wrapped bitcoin alag tareeke se ship hota hai. Reserve data onchain publish kiya jata hai Chainlink Proof of Reserve ke zariye, reserve addresses disclose kiye gaye hain taki aap Bitcoin par apne aap holdings inspect kar saken aur supply ke saath compare kar saken, reserves lend ya pledged ya rehypothecated nahi hain, aur BTC OCC-chartered national trust bank dwara custodied hain. Attestation bekar nahi hai. Lekin ek periodic control aur ek continuous control alag-alag sawaalon ka javab dete hain, aur sirf ek hi sawaal aapke paas tab tak answer deta hai jab aapko jawab ki zaroorat hoti hai. पूरा पोस्ट कमेंट में 👇 #Security #DeFi #RiskManagement #cirBTC