کیلپ ڈی او کو 2.2 ارب ڈالر چوری کر لیا گیا، جس میں سے تقریباً پوری رقم صاف کر دی گئی، جبکہ زنجیر پر ٹریکنگ THORChain، Wasabi، اور Tornado Cash کے سامنے بے کار ثابت ہو گئی۔ یہ ایک منفرد واقعہ نہیں ہے — ریڈینٹ کیپٹل نے حال ہی میں 50 ملین ڈالر کے حملے کے بعد اپنا آپریشن بند کر دیا، اور Gnosis Pay کا خلل اب بھی جاری ہے۔ کراس چین برجوں کا اعتماد کا دستاویز دوبارہ دوبارہ لکھا جا رہا ہے۔ ہیکرز نے THORChain کا استعمال کرتے ہوئے 1.75 ارب ETH کو بٹ کوائن پر کراس چین کیا، پھر اسے مکس اور تقسیم کیا، جس سے THORChain کا ایک دن کا ٹریڈنگ حجم 394 ملین ڈالر تک پہنچ گیا۔ خفیہ ٹولز نئے نہیں ہیں، لیکن اس بار کا پیمانہ ایک ساختی مسئلے کو ظاہر کرتا ہے: جتنا زیادہ کراس چین لکوڈٹی بڑھتی ہے، اتنا ہی زیادہ ہیکرز کے لیے پیسہ صاف کرنے کے راستے ترقی کرتے جاتے ہیں۔ صرف 71 ملین ڈالر ETH جو فریز کیا گیا تھا، اب قانونی تنازعات میں پھنسا ہوا ہے — شمالی کوریا کے متاثرین کے خاندان اسے معاوضہ کے طور پر ضبط کرنا چاہتے ہیں۔ عدالت کے حکم کے تحت، اس رقم کو واپس حاصل کرنے کا سوال اب بھی نامعلوم ہے۔ DeFi کی سلامتی کی فرضیات "کوڈ ہی قانون ہے" سے "قانون آخری دفاع ہے" کی طرف مائل ہو رہی ہیں۔ بازار کے لحاظ سے، یہ "بُرا خبر ختم" کا معاملہ نہیں ہے۔ ہر حملے کے بعد پروٹوکولز آڈٹ مزید مضبوط بناتے ہیں، لیکن ہیکرز بھی ترقی کر رہے ہیں۔ کراس چین اعتماد کے اخراجات میں اضافہ، آخرکار فنڈنگ فار، TVL، اور صارفین کے روئے عمل پر ظاہر ہوگا — کya آپ اپنا اثاثہ اس نیٹ ورک پر رکھنا چاہتے ہیں جس میں پیسہ صاف کرنے والے راستوں سے نقصان کا خطرہ موجود ہو؟ $btc #eth #defi #链上数据 #ai

تمام DeFi ناکامیاں ہیک سے شروع نہیں ہوتیں۔ فائر لائٹ دونوں ٹیکنیکل اور مالی ناکامیوں کو کور کرے گا، جس میں ضمانت اور قرضہ اثاثوں کے تعلقات کے تحت خراب قرضہ اور ساختی نقصان شامل ہیں۔ ہر دعوے کے پیچھے واضح ٹریگرز اور قابل تصدیق آن چین ثبوت ہوں گے۔

لانچ کے بعد بگ بانٹی پروگرام میں بہت زیادہ سب میشنز آ چکی ہیں۔ ہر رپورٹ کو اس کا م deserved اہتمام دینے کے لیے، ہم قیمت کو حل کرتے ہوئے نئی سب میشنز کو روک رہے ہیں۔ جب پروگرام دوبارہ شروع ہوگا، تو ہم اپڈیٹ شیئر کریں گے۔ اب تک جن لوگوں نے حصہ لیا، ان سب کا شکریہ۔

ہی۔ صرف وہی بازار میں رہ سکتے ہیں جو سیکورٹی اقدامات کے لیے $1M ادا کر سکتے ہیں۔ ＞ Mythos اسکین نے Palo Alto Networks کے اپنے سورس کوڈ میں 20 سے زیادہ اہم کمزوریاں دریافت کیں، جس کے نتیجے میں 100 ڈالر سے زیادہ ٹوکن استعمال ہوئے۔

بٹ کوائن۔ کوئی کرپٹو نہیں۔ “لا ڈی او کے لیے مستقبل کی طرف کوئی قابلِ عمل راستہ نہیں ہے۔” سائبر حملے کے نتیجے میں جس کی قیمت تقریباً 50 ملین ڈالر تھی، ریڈینٹ کیپٹل واپس نہیں لے پائی اور اس نے اپنے دروازے بند کر دیے ہیں۔

سفید ہیٹ ریکوری: ریسرچر فلورینٹ نے ہانگ کوائن ٹیم کے ساتھ تعاون کیا تاکہ 2016 کے ICO ریفند کنٹریکٹ میں گھسٹے ہوئے ~1,003 ETH (~$2M) کو فعال کیا جا سکے، جو قدیمی اوورفلو/ریفند منطق کی خرابیوں کی وجہ سے بند ہو گیا تھا۔ #Ethereum #SmartContractSecurity

ری اینٹرینسی کو سمجھیں - 2026 میں بھی اسمارٹ کنٹریکٹ کا یہ بگ ملینز کو خالی کر رہا ہے، اور وہ چیکس-ایفیکٹس-انٹر ایکشن پیٹرن جو اسے کوڈ میں روک دیتا ہے ری اینٹرینسی جادو نہیں ہے۔ یہ ایک آرڈرنگ بگ ہے: آپ کا کنٹریکٹ اپنا اسٹیٹ اس وقت اپڈیٹ کرتا ہے جب کہ وہ باہری کال بنانے کے بعد ہوتا ہے، نہ کہ اس سے پہلے، اور حملہ آور وہ فاصلے کے دوران واپس کال کر دیتا ہے۔ آرڈر درست کر دیں اور بگ ختم ہو جائے گا۔ 17 جون، 2016 کو، دی ڈی او نے اسی غلطی کی وجہ سے تقریباً 3.6M ETH (تقریباً 60 ملین امریکی ڈالر، جو وقت کے لحاظ سے تمام ETH کا تقریباً 5% تھا) کھو دیا۔ اس کے نتائج میں ایتھریم ETH اور ETC میں تقسیم ہو گیا۔ دس سال بعد بھی، یہ فنڈز خالی کر رہا ہے۔ 5 مارچ، 2026 کو سولو پروٹوکول نے ری اینٹرینسی کی وجہ سے $2.73M کھو دیا، اور مئی 2026 میں آن چین پروٹوکولز پر تقریباً $52M چوری ہوئے (DeFiLlama، CryptoTimes، 31 مئی، 2026)۔ ناقص پیٹرن: بیلنس پڑھیں، کم لول کال کے ذریعے ETH بھیج دیں، پھر بیلنس صفر پر سیٹ کر دیں۔ حملہ آور کا receive() فنکشن اس صفر تک پہنچنے سے پہلے withdraw() میں دوبارہ داخل ہو جاتا ہے، اور اس طرح لُوپ جاری رکھتا ہے جب تک کنٹریکٹ خالی نہ ہو جائے۔ دو حل، جو اکٹھے استعمال کئے جائیں: چیکس-ایفیکٹس-انٹر ایکشن۔ تصدیق کریں، تمام اسٹیٹ اپڈیٹ کر دیں، پھر باہری کال آخر میں کریں۔ بیلنسز[msg.sender] = 0 کو کال سے پہلے منتقل کر دیں، اور ری اینٹرینٹ کال صفر پڑھتی ہے اور منسوخ ہو جاتی ہے۔ OpenZeppelin کا nonReentrant گارڈ۔ اسٹورج ميوٹکس (NOT_ENTERED سے ENTERED تک) جو ری اینٹری پر منسوخ ہو جاتا ہے۔ اسے استعمال کریں اور CEI بھی استعمال کریں، صرف ایک نہیں۔ دو چیزیں جنہیں زائد تر ڈوولپرز اب بھی غلط سمجھتے ہیں۔ 1. .transfer() اب شیرد نہیں رہا: EIP-1884 نے 2019 میں SLOAD gas بڑھا دیا تو 2300 gas stipend کا محفوظ فرض نہ رہا۔ CEI کے ساتھ .call{value:}("") استعمال کریں۔ 2. رِید-اوںلِ رِاینٹرینسِ سٹینڈرڈ گارڈ کو بائypass کرتا ہے، کیونکہ اپڈیٹ کے دوران وِو فنکشن پڑھنے سے خراب اسٹیٹ واپس آتا ہے اور قِمَت آرکل (dForce, $3.64M) کو زہر دے سکتا ہے۔ صرف تعلیمی مقاصد کے لئے۔ مالی مشورہ نہیں۔ روزانہ انگائزز کے لئے فالو کریں - جہاں بلاکچین AI سے ملتا ہے، ایک خوشگوار سوائپ پر۔ #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation