مصنف: Chloe، ChainCatcher
چند دنوں سے مارکیٹ کی توجہ کا مرکز رہنے والی اور Polymarket پر کئی کروڑ ڈالر کی بیٹنگ جمع ہونے والی خبر "زیک ایکس بی ٹی کون سی کرپٹو کمپنی کو اندر کی ٹریڈنگ کے لیے ایکسپو کریں گے؟" کا اختتام ہو چکا ہے۔ 26 فروری کو، لین ڈیٹیکٹیو زیک ایکس بی ٹی نے اپنا تحقیقی رپورٹ جاری کرتے ہوئے DeFi ٹریڈنگ پلیٹ فارم Axiom Exchange کو نشانہ بنایا۔
رپورٹ میں الزام لگایا گیا ہے کہ اس پلیٹ فارم کے ایک تجربہ کار ملازم نے اپنے اندر کے انتظامی اختیارات کا غلط استعمال کیا، طویل عرصے تک صارفین کے پرائیویٹ ویلٹ ڈیٹا تک غیر قانونی طور پر رسائی حاصل کی، اور ان حساس معلومات کو اندر کی ٹریڈنگ کے ذریعے استعمال کیا۔ یہ مضمون ZachXBT کے ذریعہ سامنے لائے گئے ثبوت کے سلسلے کا گہرا جائزہ لے گا، جب "چین پر شفافیت" کو "چین کے باہر گہرے خفیہ انتظام" نے قبضہ کر لیا۔
زیک ایکس بی ٹی نے ایکسیوم ایکسچینج کے اندر ٹریڈنگ کے فراڈ کا انکشاف کیا
ایکسچینج ایکسیوم کو مسٹ اور کیل نے مل کر بنایا، اور 2025 کے شروع میں اسے وائی کامبنیٹر ونٹر بیچ (W25) میں شامل کیا گیا۔ اس پلیٹ فارم نے صرف ایک سال میں 3.9 ارب امریکی ڈالر سے زائد کل آمدنی حاصل کی ہے۔ تاہم، اس عظیم مالی اعداد و شمار کے پیچھے، ایک سینئر بزنس ڈویلپمنٹ ملازم بروکس باور، ایکسیوم کے بیک اینڈ ٹولز کو اپنا ذاتی شکار کا میدان بنارہا ہے۔
زیک ایکس بی ٹی کی تحقیق کے مطابق، بروکس باور صرف اکیلے نہیں تھا، اس نے ایک منظم "معلومات کو منافع میں تبدیل کرنے" کا عمل قائم کیا، جس کا مرکز ایکسیم کا اندر کا ڈیش بورڈ تھا، جہاں بروکس کسی بھی صارف کی نجی معلومات کو پرومو کوڈ، والٹ ایڈریس یا یو آئی ڈی کے ذریعے آزادانہ طور پر چیک کر سکتا تھا۔ بروکس نے ریکارڈنگ میں کہا کہ وہ "اس شخص کے بارے میں کوئی بھی معلومات حاصل کر سکتا ہے"، اور اس کے عمل میں بہت زیادہ چھپنے کی صلاحیت بھی شامل تھی:
شروع میں صرف 10 سے 20 والٹس کو دریافت کریں، تاکہ سسٹم کے غیر معمولی ایلرٹس نہ ہوں۔
ہدف کو تصادفی طور پر نہیں چنا جاتا۔ جیسے کہ ایک KOL جس کا نام مارسل ہے، جس نے لمبے عرصے تک اپنے پرائیویٹ والٹ میں بہت سارے میم کرینس خریدے، اور اپنے فانز کو لیکویڈٹی نکالنے کے لیے پروموٹ کیا، وہ ایک اہم ٹریکنگ ہدف بن گیا۔ اس قسم کے ٹریڈرز کے پرائیویٹ والٹ عام طور پر شائع نہیں ہوتے اور ایڈریسز کا دوبارہ استعمال کم ہوتا ہے، جس کی وجہ سے ان معلومات کی آربٹریج کی قیمت بہت زیادہ ہوتی ہے۔
ایک اور ایکسیوم ملازم رائین (Ryucio) کی مدد سے صارفین کی معلومات تلاش کرنے، گونو کو ماڈریٹر مقرر کرنے، اور ان انفرادی والٹس کو گوگل شیٹس میں جمع کرکے ٹریک کرنے کے لیے تنظیم اور قواعد قائم کیے گئے۔
یہ خلاف ورزیاں دس ماہ سے زیادہ عرصہ تک جاری رہیں (اپریل 2025 سے شروع)، اور ان کے ثبوت میں متاثرین "جیری" اور "مونکس" سمیت دیگر کے بیک اینڈ مینجمنٹ اسکرین شاٹس شامل ہیں۔ ان مواد نے سوال اٹھایا کہ کاروباری ترقی کے ملازمین کو فنکشنل سطح پر عبوری رسائی کیوں دی گئی؟ جو مانیٹرنگ اور اجازت علیحدگی کا نظام ہونا چاہئے تھا، وہ واضح طور پر کام نہیں کر رہا تھا۔
اکسیوم کی آفیشل جانب سے جواب، پیچھے کی ساختی ناکامی کو اب بھی چھپایا نہیں جا سکا
زیک ایکس بی ٹی کی رپورٹ جاری ہونے کے بعد، ایکسیوم نے معیاری پبلک ریلیشنز کریسز مینجمنٹ کا طریقہ اپنایا: ایک بیان جاری کرکے "حیرانی اور ناامیدی" کا اظہار کیا، اجازتیں منسوخ کر دیں اور تحقیقات شروع کر دیں۔ تاہم، یہ پیچیدہ عدم صلاحیت کو چھپانے میں ناکام رہا، جس سے پلیٹ فارم کے اجازت کنٹرول میں خرابی کا پتہ چلتا ہے، صرف ایک واحد ملازم کے ذاتی عمل کے بجائے۔
1. غائب آڈٹ لاگ
سنتی فنانس یا بالغ ویب2 ٹیک کمپنیوں میں، صارف کے حساس ڈیٹا تک کسی بھی رسائی کو لاگ رکھنا ضروری ہوتا ہے۔ اگر ایک بزنس ایکسپینشن ایمپلائی سینکڑوں ایسے والٹس ایڈریسز تک رسائی حاصل کر سکتا ہے جو اس کے کام سے متعلق نہیں ہیں، تو سسٹم کو فوراً ایک ایلرٹ ٹرگر کرنا چاہئے۔ ایکسیوم کے دس ماہ کا ریگولیٹری خلاء یہ ظاہر کرتا ہے کہ شاید ان کے اندر کے سسٹم میں "غیر معمولی سلوک کا پتہ لگانے والا میکنزم" موجود ہی نہیں، اور "آپریشن ریکارڈز" کو محفوظ رکھنا بھی شکوک کے باہر ہے۔
2. تک اثر پانے والوں کا دائرہ واضح نہیں ہے
اکسیم کے بیان میں متاثرہ صارفین کے سائز کا ذکر نہیں ہے۔ اس سے مزید گہری فکر پیدا ہوتی ہے: اگر بروکس باور کو دیکھنا ممکن تھا، تو دوسرے ملازمین کو بھی؟ رپورٹ میں مینیجر گونو اور دوسرے کاروباری ترقی کے ملازم رائین کو اس کے معاون کے طور پر بیان کیا گیا ہے، جس سے یہ ظاہر ہوتا ہے کہ اس قسم کے اختیارات کا غلط استعمال نسبتاً آسان تھا۔ جب ایک تنظیم کی حکمرانی کی بنیاد "اعتماد" کے بجائے "اداروں" پر ہوتی ہے، تو اندر کے فساد کا سرحدی اخراج بہت کم ہوتا ہے۔
اختیارات بے کار؟ ویب3 کا ڈیٹا گورننس کا سیاہیاں
اس سکینڈل کے مرکز کا مزید جائزہ لیں۔ زیک ایکس بی ٹی کی رپورٹ میں درج ہونے والے بیک اینڈ تک رسائی والے ڈیٹا ابعاد دل دہلانے والے ہیں: صارفین کی مکمل والٹ لسٹ، صارفین جو ٹریک کر رہے ہیں، مکمل ٹرانزیکشن تاریخ، صارفین کے ذریعہ سیٹ کیے گئے والٹ نام، اور متعلقہ اکاؤنٹس، یہ فہرست صرف ٹرانزیکشن ڈیٹا تک محدود نہیں بلکہ صارف کے مکمل آن لائن سلوک کے نمونے کو دوبارہ تشکیل دینے کے قابل ہے۔
سنتھیٹک فنانشل اداروں میں، اس قسم کے ڈیٹا تک رسائی “کم سے کم ضروری معلومات کے اصول” کے تحت سختی سے منظم ہوتی ہے۔ کوئی بھی ملازم صرف اپنے کام کی واضح ضرورت کے بغیر صارفین کے حساس ڈیٹا تک رسائی نہیں کر سکتا؛ تمام رسائیوں کو آڈٹ کے قابل آپریشن لاگ رکھنا ضروری ہے، اور کمپلاینس ڈیپارٹمنٹ انہیں منظم طور پر چیک کرتی ہے۔ اس نظام کا ڈیزائن منطق بہت سادہ ہے: یہ ملازمین کی ذاتی اخلاقیات پر انحصار نہیں کرتا، بلکہ مسائل کے وقوع سے پہلے ہی نقصان کے امکانات کو تکنیکی اور ادارائی دونوں پابندیوں کے ذریعے کم کرتا ہے۔
ایکسیوم کے بیک اینڈ واضح طور پر اس معیار تک نہیں پہنچا۔ اس سے زیادہ غور کرنے کی بات یہ ہے کہ ویب3 اسٹارٹ اپس میں ایسے مسائل عام ہیں۔ تیزی سے بڑھتی ہوئی ٹیمیں اکثر انجینئرنگ وسائل کو صرف پروڈکٹ اپڈیٹس پر مرکوز کرتی ہیں، جبکہ کمپلائنس اور ڈیٹا گورننس کے ڈھانچے کو تاخیر سے یا "پہلے لسٹنگ کر لیں" کے طور پر نظر انداز کر دیا جاتا ہے۔ تاہم، جب پلیٹ فارم کا سائز ایکسیوم جیسا ہو جاتا ہے، تو بیک اینڈ ٹولز تک پہنچنے والی ڈیٹا کی حساسیت پہلے کے مراحل سے بہت زیادہ ہو چکی ہوتی ہے، جبکہ حفاظتی نظاموں کا ترقی اب بھی اسٹارٹ اپ کے مراحل کے سطح پر رہ جاتا ہے۔
یہ مثال Web3 کے خاص مضحکہ خیز تضاد کو بھی ظاہر کرتی ہے: بلاکچین پر شفافیت، آف-چین شفافیت کے برابر نہیں ہوتی۔ بلاکچین نے ٹرانزیکشن کو "انانومس شفافیت" فراہم کی ہے، جس میں سب کو پتہ چلتا ہے کہ پتے کہاں جا رہے ہیں، لیکن پیچھے کے ایجنسی کو سمجھنا مشکل ہوتا ہے؛ تاہم، اصل خطرہ اس لمحے پیدا ہوتا ہے جب صارفین رجسٹر ہوتے ہیں، واٹل جوڑتے ہیں، اور نوٹس طے کرتے ہیں: وہ "یہ پتا میرا ہے" کا سب سے اہم تعلق، پلیٹ فارم کے سینٹرلائزڈ ڈیٹابیس کو سونپ دیتے ہیں۔
اس کے بعد، ناشناختی آہستہ آہستہ ایک خیال بن گئی۔ جب یہ شناختی سطح مزید معلومات سے جوڑ دی جائے، مزید لیبلز لگائے جائیں، یا استعمال کی غلطی کی جائے، تو بلاکچین کی شفافیت صارفین کا تحفظ نہیں رہتی بلکہ ملزم کے ہاتھوں میں سب سے زیادہ درست آلہ بن جاتی ہے۔
پروٹوکول کے لیول پر ڈی سینٹرلائزیشن، کبھی بھی کمپنی کے برابر نہیں ہوتی۔
اکسیوم کے اسکینڈل نے صرف کچھ ملازمین کی ذاتی بے اخلاقی نہیں بلکہ ویب3 صنعت کے اندر ایک بڑا تضاد کھول دیا جسے "ڈی سینٹرلائزڈ" کے نریٹیو کے تحت طویل عرصے تک نظرانداز کیا گیا تھا: پروٹوکول لیول کی ڈی سینٹرلائزیشن کبھی بھی کمپنی کے آپریشنز لیول کی ڈی سینٹرلائزیشن کے برابر نہیں ہوتی۔
جب کسی پلیٹ فارم کا بنیادی کاروبار مرکزی بیک اینڈ سسٹم، انسانی کسٹمر سروس، اور ملازمین کے فیصلوں پر منحصر رہے، تو "DeFi" یا "Web3" کا لیبل صرف فرانت اینڈ کی سجاوٹ کی طرح ہوتا ہے۔ صارفین اسمارٹ کنٹریکٹس کی غیر قابل تبدیلی پر یقین رکھتے ہیں، لیکن وہ بھول جاتے ہیں کہ جب وہ اپنی ذاتی معلومات درج کرکے اپنا والٹ جوڑتے ہیں، تو وہ اپنی سب سے اہم معلومات ایک مکمل طور پر مرکزی تنظیم کو سونپ دیتے ہیں۔
بھروسہ کبھی مفت نہیں ہوتا، اور ایسی جگہوں پر جہاں ادارے ابھی پختہ نہیں ہوئے، بھروسے کی لاگت ہمیشہ معلومات کے سب سے زیادہ عدم توازن والے طرف پر ہوتی ہے۔