இந்த ஆண்டின் மிகப்பெரிய கிரிப்டோ கொள்ளை
2026 ஏப்ரல் 18 அன்று, Ethereum வலையமைப்பில் இயங்கும் பரவலாக்கப்பட்ட நிதி நெறிமுறையான KelpDAO-விடமிருந்து தாக்குதலாளர்கள் சுமார் 290 மில்லியன் டாலர் மதிப்பிலான கிரிப்டோகரன்சியைத் திருடினர். இது இந்த ஆண்டின் மிகப்பெரிய டிஜிட்டல் சொத்துத் திருட்டாகும். தாக்குதலின் குறுக்கே சிக்கிய, பல பிளாக்செயின்களுக்கு இடையிலான உள்கட்டமைப்பு வழங்குநரான LayerZero Labs, தொடக்கநிலைத் தொழில்நுட்பக் குறியீடுகள் மிகுந்த நுட்பமுள்ள அரசு ஆதரவு நடவடிக்கையைச் சுட்டிக்காட்டுவதாகக் கூறி, இந்தத் தாக்குதலுக்கு வட கொரியாவின் Lazarus Group-இன் சிறப்புப் பிரிவான TraderTraitor-ஐக் காரணமாகக் குறிப்பிட்டது. இதே அச்சுறுத்தல் குழுக்கள் Drift Protocol-இலிருந்து 285 மில்லியன் டாலரைச் சுருட்டியதாகக் கூறப்படும் சம்பவம் நிகழ்ந்து சில வாரங்களே ஆன நிலையில் இந்தக் கொள்ளை நடந்துள்ளது. இதனால் ஏப்ரல் மாதத்தில் மட்டும் வட கொரிய ஹேக்கர்கள் திருடிய தொகை 575 மில்லியன் டாலரைத் தாண்டியுள்ளது.
உள்ளடக்கம்
- இந்த ஆண்டின் மிகப்பெரிய கிரிப்டோ கொள்ளை
- பல பிளாக்செயின்களுக்கு இடையிலான தாக்குதல் எவ்வாறு நடந்தது
- LayerZeroவும் KelpDAOவும் பொறுப்பை ஒருவர்மீது ஒருவர் சுமத்தல்
- பரவலாக்கப்பட்ட நிதியில் தொடர்ச்சியான தாக்கம்
- Lazarus Group மற்றும் அரசு ஆதரவிலான திருட்டு
- பேச்சுவார்த்தை முயற்சிகளும் பாதுகாப்புப் பாடங்களும்
- முக்கிய அம்சங்கள்
இந்தத் தாக்குதலின் இலக்கு KelpDAO வெளியிட்ட rsETH என்ற திரவ மறுபங்கீட்டு டோக்கன் ஆகும். இது பங்கிடப்பட்ட Ethereum-ஐக் குறிக்கும்; அதேவேளை, வருமானம் ஈட்டிக்கொண்டே பிற பரவலாக்கப்பட்ட பயன்பாடுகளிலும் பயன்படுத்த முடியும். பல பிளாக்செயின்களுக்கு இடையிலான சரிபார்ப்பு முறையின் பலவீனங்களைப் பயன்படுத்தி, கொள்ளையர்கள் 116,500 rsETH டோக்கன்களை வடித்தெடுத்தனர். அவற்றின் மதிப்பு சுமார் 293 மில்லியன் டாலர். பின்னர், பரிவர்த்தனைத் தடங்களை மறைப்பதற்காக உருவாக்கப்பட்ட கிரிப்டோகரன்சி கலப்பு சேவையான Tornado Cash வழியாக நிதியின் ஒரு பகுதியை அவர்கள் சலவை செய்தனர். 2017 முதல் வட கொரியா 3 பில்லியன் டாலருக்கும் அதிகமான கிரிப்டோகரன்சியைத் திருடியுள்ளதாகவும், அந்தச் சட்டவிரோத வருவாயை அதன் அணு ஆயுத மேம்பாட்டுத் திட்டத்துக்கு உதவப் பயன்படுத்துவதாகவும் ஐக்கிய நாடுகள் சபையின் குழு ஒன்று முன்னதாக மதிப்பிட்டுள்ளது.
இந்தச் சம்பவம் தனித்த குற்றச் செயலைவிடப் பெரியது. பரவலாக்கப்பட்ட நிதிச் சூழலை இலக்காகக் கொண்ட பியோங்யாங்கின் தீவிரமடைந்து வரும் நடவடிக்கைக்கு இது சான்று எனப் பாதுகாப்பு ஆய்வாளர்கள் கருதுகின்றனர். பல பிளாக்செயின்களை இணைக்கும் பாலங்களும் சரிபார்ப்பு வழிமுறைகளும் செயல்படும் முறையிலுள்ள அடிப்படைப் பலவீனங்களையும் இது வெளிப்படுத்துகிறது. இந்தத் திருட்டு கிரிப்டோகரன்சி துறையில் அதிர்வலைகளை ஏற்படுத்தியுள்ளது. இதையடுத்து, கடன் வழங்கும் பெரிய நிறுவனமான Aave சந்தைகளை முடக்கியதுடன், பாதிக்கப்பட்ட நெறிமுறைகளிலிருந்து பல பில்லியன் டாலர் மதிப்பிலான நிதி வெளியேறவும் வழிவகுத்தது.
பல பிளாக்செயின்களுக்கு இடையிலான தாக்குதல் எவ்வாறு நடந்தது
KelpDAO ஒரு திரவ மறுபங்கீட்டு நெறிமுறையாகச் செயல்படுகிறது. பயனர்கள் Ethereum-ஐ வைப்புச் செய்து, அதற்குப் பதிலாக rsETH டோக்கன்களைப் பெறலாம். இந்தப் பெறுமதி சார்ந்த டோக்கன்கள், அடிப்படையில் பங்கிடப்பட்ட சொத்துகளைக் குறிக்கும் அதேவேளை, Ethereum-இல் உள்ள மறுபங்கீட்டு உள்கட்டமைப்பான EigenLayer வழியாக வெகுமதிகளையும் தொடர்ந்து ஈட்டுகின்றன. LayerZero போன்ற இயங்குதன்மை அடுக்குகள் மூலம் rsETH-ஐ வெவ்வேறு பிளாக்செயின் வலையமைப்புகளுக்கு இடையே நகர்த்தலாம். இது நெகிழ்வுத்தன்மையை அதிகரித்தாலும், தாக்குதலுக்கான சாத்தியமான பரப்பையும் விரிவுபடுத்துகிறது. இந்தப் பல பிளாக்செயின் செயல்பாடே இந்த ஆண்டுப் பதிவான மிகப்பெரிய கிரிப்டோ தாக்குதலுக்கான நுழைவுப் புள்ளியாக அமைந்தது.
வெவ்வேறு பிளாக்செயின்களுக்கு இடையிலான செய்திகளைச் சரிபார்க்கும் பொறுப்புடைய Decentralized Verifier Network (DVN) அமைப்பைத் தாக்குதலாளர்கள் இலக்காகக் கொண்டனர். KelpDAO-வின் ஸ்மார்ட் ஒப்பந்தக் குறியீட்டிலுள்ள குறைபாட்டைப் பயன்படுத்துவதற்குப் பதிலாக, சரிபார்ப்புச் செயல்பாடுகளுக்கு ஆதரவளிக்கும் உள்கட்டமைப்பையே ஹேக்கர்கள் கையாண்டனர். பிளாக்செயின் தரவைப் படிக்கப் பயன்பாடுகளுக்கு உதவும் தகவல் தொடர்பு முனைகளான குறிப்பிட்ட Remote Procedure Call (RPC) முனைகளை அவர்கள் சமரசப்படுத்தி, சரிபார்ப்பு அடுக்கில் போலித் தரவைச் செலுத்தினர்.
தங்கள் தாக்குதலின் தாக்கத்தை அதிகரிக்க, உண்மையான RPC முனைகளுக்கு எதிராகத் தாக்குதலாளர்கள் ஒரே நேரத்தில் விநியோகிக்கப்பட்ட சேவை மறுப்புத் தாக்குதல்களையும் (DDoS) நடத்தினர். இதனால் நம்பகமான தரவு மூலங்களின் கிடைக்கும் தன்மை பாதிக்கப்பட்டு, தவறான தகவல்களை வழங்கிக்கொண்டிருந்த சமரசப்படுத்தப்பட்ட முனைகளைச் சார்ந்திருக்க அமைப்பு நிர்ப்பந்திக்கப்பட்டது. அடிப்படையில், தாக்குதலாளர்கள் சரிபார்ப்பு முறையில் நச்சுத் தரவைப் புகுத்தினர். இதனால், பிளாக்செயினில் உண்மையில் நிகழாத அடிப்படைப் பரிவர்த்தனைகளையும் முறையானவை எனக் காட்டும் போலிச் செய்திகள் ஏற்றுக்கொள்ளப்பட்டன.
இந்த ஏமாற்றத்துக்கு ஒரு முக்கியமான பலவீனம் வழிவகுத்தது. KelpDAO தனது பல பிளாக்செயின் செயல்பாடுகளுக்கு ஒற்றை-DVN அமைப்பைப் பயன்படுத்தியது. அதாவது, பல சுயாதீன சரிபார்ப்பாளர்களின் ஒப்புதலைப் பெறுவதற்குப் பதிலாக, ஒரே ஒரு சரிபார்ப்பாளர் மட்டுமே செய்திகளின் செல்லுபடியைச் சரிபார்த்தார். இந்த அமைப்பு ஒரே தோல்விப் புள்ளியை உருவாக்கியதால், கூடுதல் சரிபார்ப்பின்றி போலிச் செய்தி கடந்துசெல்ல முடிந்தது என்று LayerZero தெரிவித்தது. மிகக் குறைந்த எச்சரிக்கைகளுடன் DVN-க்கு போலிச் செய்தி அனுப்புவதற்கெனத் தாக்குதலாளர்கள் தனிப்பயன் தரவுத் தொகுப்பைப் பயன்படுத்தினர். இதன் மூலம், தங்கள் கட்டுப்பாட்டிலிருந்த பணப்பைகளுக்கு rsETH டோக்கன்களை அங்கீகாரமின்றி மாற்றினர்.
LayerZeroவும் KelpDAOவும் பொறுப்பை ஒருவர்மீது ஒருவர் சுமத்தல்
கொள்ளைக்குப் பிறகு, பாதுகாப்பு மீறலுக்கான பொறுப்பு குறித்து LayerZeroவும் KelpDAOவும் பொதுவெளியில் வாதிட்டு வருகின்றன. பல சுயாதீன DVN-களைச் செயல்படுத்துமாறு பரிந்துரைக்கப்பட்டிருந்தும், ஒற்றைச் சரிபார்ப்பாளர் அமைப்பில் இயங்க KelpDAO எடுத்த முடிவே இந்தச் சம்பவத்துக்கு முழுப் பொறுப்பு என LayerZero கூறுகிறது. DVN-களைப் பன்முகப்படுத்துவது தொடர்பான சிறந்த நடைமுறைகளை KelpDAO-விடம் முன்பே தெரிவித்ததாகவும், பல சரிபார்ப்பாளர்களிடையே ஒருமித்த முடிவைக் கோரும் முறையாகப் பாதுகாப்பை வலுப்படுத்தியிருந்தால் இந்தத் தாக்குதலைத் தடுத்திருக்க முடியும் என்றும் நிறுவனம் வலியுறுத்தியது.
RPC போலியாக்கத் தாக்குதல் முறைமையை விளக்கும் விரிவான தொழில்நுட்பப் பின்பரிசோதனை அறிக்கையை LayerZero வெளியிட்டது. மேலும், வேறு அமைப்புகளைப் பயன்படுத்தும் பிற பல பிளாக்செயின் சொத்துகளுக்கோ பயன்பாடுகளுக்கோ இந்தத் தாக்குதல் பரவவில்லை என்றும் தெரிவித்தது. இதேபோன்ற சம்பவங்களைத் தடுக்க, ஒற்றைச் சரிபார்ப்பாளர் அமைப்பில் இயங்கும் பயன்பாடுகளுக்கான செய்திகளில் இனி கையொப்பமிடப்போவதில்லை என்றும் நிறுவனம் அறிவித்தது. கிரிப்டோகரன்சி தளங்களைக் குறிவைப்பதில் பெயர்பெற்ற Lazarus Group-இன் துணைக் குழுவான TraderTraitor-ஐத் தாக்குதலுக்குப் பொறுப்பான குறிப்பிட்ட அச்சுறுத்தல் குழுவாக LayerZero அடையாளம் காட்டியது.
இந்தக் கருத்தை மறுத்த KelpDAO, LayerZero உள்கட்டமைப்பில் 2024 ஜனவரி முதல் இயங்கி வந்ததாகவும், LayerZero குழுவுடன் திறந்த தகவல் தொடர்பைப் பேணி வந்ததாகவும் வாதிட்டது. KelpDAO-வின் கூற்றுப்படி, Layer 2 விரிவாக்கத்தின்போது DVN அமைப்பு குறித்த கேள்விகள் எழுந்தன; அப்போது இயல்புநிலை அமைப்புகள் பொருத்தமானவை என உறுதியாகத் தெரிவிக்கப்பட்டது. LayerZero-வின் இயல்புநிலை அமைப்பே பாதிப்புக்குரிய ஏற்பாட்டுக்கு வழிவகுத்ததாக இந்த நெறிமுறை வாதிடுகிறது. நிலையான விருப்பங்களாக முன்வைக்கப்பட்ட பாதுகாப்பு அளவுருக்களுக்கான முழுப் பொறுப்பையும் பயனர்கள் ஏற்க வேண்டும் என்ற கருத்தையும் அது கேள்விக்குள்ளாக்குகிறது.
ஒரே தோல்விப் புள்ளியைக் கொண்ட அமைப்பில் இயங்கியதால், போலிச் செய்தியைக் கண்டறிந்து நிராகரிக்க சுயாதீன சரிபார்ப்பாளர் எவரும் இல்லை. DVN-களைப் பன்முகப்படுத்துவது தொடர்பான சிறந்த நடைமுறைகளை LayerZeroவும் பிற வெளித் தரப்பினரும் முன்பே KelpDAO-விடம் தெரிவித்திருந்தனர். இந்தப் பரிந்துரைகள் இருந்தபோதிலும், 1/1 DVN அமைப்பைப் பயன்படுத்த KelpDAO முடிவுசெய்தது.
இந்த விவாதத்தில் பாதுகாப்பு நிபுணர்களும் கருத்துத் தெரிவித்துள்ளனர். ஆவணங்களைப் படித்து, பாதுகாப்பான விருப்பங்களைப் பயனர்கள் தாங்களாகவே தேர்ந்தெடுப்பதைச் சார்ந்திருக்கும் பாதுகாப்பு என்பது பரவலாக்கப்பட்ட அமைப்புகளின் அடிப்படை வடிவமைப்புக் குறைபாடு என்று அவர்கள் சுட்டிக்காட்டினர். பிளாக்செயின் பாதுகாப்பு நிறுவனமான SVRN-இன் தலைமைச் செயல்பாட்டு அதிகாரி டேவிட் ஷ்வெட், ஒரு அமைப்பு பாதுகாப்பற்றது எனத் தெரியவந்தால், அதைத் தேர்ந்தெடுக்கக்கூடிய விருப்பமாகவே வழங்கக்கூடாது என்று குறிப்பிட்டார். பரவலாக்கத்தின் இலட்சியங்களுக்கும் பாதுகாப்பான இயல்புநிலை அமைப்புகளுக்கான நடைமுறைத் தேவைக்கும் இடையிலான பரந்த முரண்பாட்டை இது எடுத்துக்காட்டுகிறது.
பரவலாக்கப்பட்ட நிதியில் தொடர்ச்சியான தாக்கம்
இந்தத் திருட்டின் தாக்கம் KelpDAO-வுடன் நின்றுவிடவில்லை. நவீன பரவலாக்கப்பட்ட நிதி நெறிமுறைகள் ஒன்றோடொன்று இணைந்திருப்பதை இது வெளிப்படுத்தியது. பல கடன் வழங்கும் தளங்களில் rsETH பிணையமாகப் பயன்படுத்தப்படுவதால், இந்தத் தாக்குதல் அமைப்புமுழுவதும் பரவும் அபாயத்தை உருவாக்கி, சில மணி நேரங்களுக்குள் சூழல் முழுவதும் பரவியது. மிகப்பெரிய பரவலாக்கப்பட்ட கடன் வழங்கும் நெறிமுறைகளில் ஒன்றான Aave-இல், முதலீட்டாளர்கள் சொத்துகளை அவசரமாகத் திரும்பப் பெற்றதால், மொத்தப் பூட்டிய மதிப்பு சுமார் 8 பில்லியன் டாலர் சரிந்தது. மேலும் பாதிப்பைத் தடுக்க Ethereum, Arbitrum, Base, Mantle, Linea ஆகியவற்றில் உள்ள rsETH சந்தைகளை அந்த நெறிமுறை முடக்கியது.
திருடப்பட்ட rsETH-ஐ Aave v3-இல் பிணையமாகச் செலுத்தி, அதற்கு எதிராக wrapped Ether கடன் வாங்கியதன் மூலம் தாக்குதலாளர்கள் நுட்பமான நிதிசார் உத்தியைக் கையாண்டனர். இதனால் அந்தத் தளத்தில் சுமார் 195 மில்லியன் டாலர் கடன் உருவானது. சாத்தியமான இழப்புகளைத் தவிர்க்கப் பயனர்கள் சொத்துகளை அவசரமாகத் திரும்பப் பெற்றதால், Aave v3 கடன் தொகுப்புகள் முழுப் பயன்பாட்டு அளவை எட்டின. இதனால் 5.1 பில்லியன் டாலருக்கும் அதிகமான நிலையான நாணயங்களை அணுக முடியாத நிலை தற்காலிகமாக ஏற்பட்டது. Compound மற்றும் Euler நெறிமுறைகளும் இந்தச் சம்பவத்தால் பாதிப்புகள் ஏற்பட்டதாகத் தெரிவித்தன; இருப்பினும், பாதிப்பு பரவலைக் கட்டுப்படுத்த அவசர நடவடிக்கைகளை மேற்கொண்டன.
Cardano நிறுவனர் சார்லஸ் ஹாஸ்கின்சன் நேரலை ஒளிபரப்பில் இந்தத் தாக்குதலைப் பகுப்பாய்வு செய்து, ஆரம்பத் திருட்டையும் அதைத் தொடர்ந்து கடன் சந்தைகள் வழியாக ஏற்பட்ட பாதிப்புப் பரவலையும் வேறுபடுத்திக் காட்டினார். பாலத்தின் போலியாக்கச் செயல்முறை புதுமையானது அல்ல; திருடப்பட்ட rsETH-ஐப் பிணையமாக வைத்து திரவச் சொத்துகளைக் கடன் வாங்கிய விதத்தில்தான் புதுமை இருந்தது என்றார். இதனால் எளிய திருட்டு, குறைந்தது ஒன்பது நெறிமுறைகளுக்கான இருப்புநிலைக் கணக்கு நெருக்கடியாக மாறியது. இந்த இரண்டாம் நிலைத் தாக்குதல் வழி, நச்சுத் தரவுடைய பிணையத்தைப் பரந்த DeFi சூழலுக்கு எதிரான ஆயுதமாக மாற்றியது.
இந்தச் செய்திக்கு சந்தை கடுமையாக எதிர்வினையாற்றியது. பணப்புழக்க வழங்குநர்கள் ஆதரவை விலக்கிக்கொண்டதால், முதல் 24 மணி நேரத்தில் rsETH டோக்கரின் விலை 1,600 டாலருக்கும் 2,500 டாலருக்கும் இடையில் ஏற்ற இறக்கம் கண்டது. இந்தச் சம்பவத்தைத் தொடர்ந்து 48 மணி நேரத்தில் DeFi துறையின் மொத்தப் பூட்டிய மதிப்பு சுமார் 13 பில்லியன் டாலர் சரிந்தது. திருடப்பட்ட நிதியில் சுமார் கால்பங்கான 30,766 ETH-ஐ, அதாவது 71 மில்லியன் டாலர் மதிப்பிலான தொகையை, Arbitrum பாதுகாப்புக் குழு முடக்கியது. இருப்பினும், பெரும்பகுதி தாக்குதலாளர்களின் கட்டுப்பாட்டிலேயே இருந்தது.
Lazarus Group மற்றும் அரசு ஆதரவிலான திருட்டு
வட கொரியாவின் Lazarus Group மீது சுமத்தப்படும் இந்தக் குற்றச்சாட்டு, சர்வதேசத் தடைகளைத் தவிர்த்து ஆயுதத் திட்டங்களுக்குப் பணம் திரட்டும் நோக்கிலான அரசு ஆதரவு கிரிப்டோகரன்சி திருட்டுகளின் நீண்டகாலப் போக்குடன் ஒத்துப்போகிறது. இந்தத் தாக்குதலில் அடையாளம் காணப்பட்ட குறிப்பிட்ட துணைக் குழுவான TraderTraitor, சமீபத்திய ஆண்டுகளில் பல முக்கியக் கொள்ளைகளுடன் தொடர்புபடுத்தப்பட்டுள்ளது. அவற்றுள் 2026ஆம் ஆண்டின் தொடக்கத்தில் Bybit-இலிருந்து நடந்த 1.5 பில்லியன் டாலர் திருட்டும் அடங்கும்; அதுவே வரலாற்றின் மிகப்பெரிய கிரிப்டோ கொள்ளையாகும். இந்தச் சட்டவிரோத வருவாயை பியோங்யாங் தனது அணு ஆயுத மற்றும் பாலிஸ்டிக் ஏவுகணை மேம்பாட்டுக்குத் திருப்பிவிடுவதாக ஐக்கிய நாடுகள் சபை கண்காணிப்பாளர்கள் ஆவணப்படுத்தியுள்ளனர்.
வட கொரியாவின் இணையவழி நடவடிக்கைகள், கிரிப்டோ பரிவர்த்தனைத் தளங்கள் மீதான சந்தர்ப்பவாதத் தாக்குதல்களிலிருந்து, பரவலாக்கப்பட்ட நிதியின் அடிப்படை உள்கட்டமைப்பைக் குறிவைக்கும் நுட்பமான, பொறுமையான ஊடுருவல்களாக மாறியுள்ளதாகப் பாதுகாப்பு ஆய்வாளர்கள் குறிப்பிடுகின்றனர். ENS Labs-இன் தலைமைத் தகவல் பாதுகாப்பு அதிகாரி அலெக்சாண்டர் உர்பெலிஸ், இந்தச் சம்பவங்களைத் தனித்த நிகழ்வுகளாக அல்லாமல், தொடர்ச்சியாக நடைபெறும் நடவடிக்கைகளாக விவரித்தார். Lazarus போன்ற குழுக்கள் செல்வத்துடன் மட்டும் தப்பிச் செல்வதில்லை; மேலும் வலுப்பெற்றும் செல்கின்றன. திருடிய வளங்களைப் பயன்படுத்தி கருவிகளை விரிவுபடுத்தவும், நுட்பங்களைச் செம்மைப்படுத்தவும், எதிர்கால நடவடிக்கைகளில் மீண்டும் முதலீடு செய்யவும் செய்கின்றன என்று அவர் வலியுறுத்தினார்.
இந்தச் சூழல்கள், திடீர் கொள்ளையில் ஈடுபடும் குழுக்களால் சோதிக்கப்படுவதில்லை. உள்கட்டமைப்பு, பயன்பாடுகள், நம்பிக்கை உறவுகள் ஆகியவற்றிலுள்ள பலவீனங்களை ஒன்றோடொன்று இணைத்துப் பயன்படுத்தத் தெரிந்த, கட்டுப்பாட்டுடன் செயல்படும் எதிரிகளால் அவை தொடர்ந்து அழுத்தத்துக்கு உள்ளாகின்றன.
இந்தத் தாக்குதல் முறை, Lazarus குழுவின் இலக்கு வைக்கும் உத்திகள் பரிணமித்திருப்பதைக் காட்டுகிறது. ஸ்மார்ட் ஒப்பந்தப் பலவீனங்களைப் பயன்படுத்துவதற்கோ தனிப்பட்ட விசைகளைத் திருடுவதற்கோ பதிலாக, வெவ்வேறு பிளாக்செயின்களையும் மறுபங்கீட்டு உள்கட்டமைப்பையும் இணைக்கும் அடிப்படை அமைப்புகளை அந்தக் குழு இலக்காகக் கொள்ளத் தொடங்கியுள்ளது. இந்த அடுக்குகள் தொழில்நுட்ப ரீதியாகச் சிக்கலானவை; பெரும்பாலும் கணிசமான மதிப்பைக் கொண்டவை; மேலோட்டமான பயன்பாடுகளைக் காட்டிலும் கண்காணிப்பது கடினமானவை. பயன்பாட்டு தர்க்கத்தை விடச் சரிபார்ப்பு உள்கட்டமைப்பைச் சமரசப்படுத்தியதன் மூலம், பரவலாக்கப்பட்ட அமைப்புகள் தகவலை எவ்வாறு நம்பி சரிபார்க்கின்றன என்பது குறித்த ஆழ்ந்த அறிவைத் தாக்குதலாளர்கள் வெளிப்படுத்தியுள்ளனர்.
Nine Blocks Capital Management-இன் இணை நிறுவனர் ஹென்றி அர்ஸ்லானியன், இந்தக் குற்றச்சாட்டு குறித்து உறுதியான கருத்தைத் தெரிவித்தார். “இத்தகைய ஹேக்கை நடத்துவதற்குத் தேவையான நிபுணத்துவமும் வலிமையும் உலகில் வேறு எந்தக் குழுவிடமும் இல்லை,” என்று அவர் கூறினார். KelpDAO மீதான தாக்குதலில் வெளிப்பட்ட தொழில்நுட்ப நுட்பமும் செயல்பாட்டுப் பாதுகாப்பும் அரசு நிலைத் திறன்களுடன் மட்டுமே ஒத்துப்போகின்றன என்றும் அவர் குறிப்பிட்டார். பணமோசடிக்காக Tornado Cash பயன்படுத்தப்பட்டதும், உள்கட்டமைப்புச் சமரசப்படுத்தலையும் சமூகப் பொறியியல் கூறுகளையும் இணைத்துப் பல கட்டங்களாகத் தாக்குதல் நடத்தப்பட்டதும் இந்த மதிப்பீட்டை ஆதரிக்கின்றன.
பேச்சுவார்த்தை முயற்சிகளும் பாதுகாப்புப் பாடங்களும்
வழக்கத்திற்கு மாறாக, பில்லியனர் மற்றும் Tron Network நிறுவனர் ஜஸ்டின் சன், திருடப்பட்ட நிதியைத் திருப்பித் தருமாறு ஹேக்கர்களிடம் பொதுவெளியில் கோரிக்கை விடுத்தார். சமூக ஊடகத்தில் அவர், தாக்குதலாளர்களுடன் நேரடியாகப் பேச்சுவார்த்தை நடத்த முன்வந்து, அவர்களுக்கு எவ்வளவு வேண்டும் என்று கேட்டார். Aave, KelpDAO ஆகிய இரண்டையும் அழிவுக்கு உள்ளாக்கும் அளவுக்கு இதைத் தொடர்வது பயனற்றது என்றும் வாதிட்டார். இந்தத் தாக்குதல் உருவாக்கிய அமைப்புமுழுவதுமான அபாயத்தின் தீவிரத்தை அவரது தலையீடு வெளிப்படுத்தியது. குறிப்பாக, சன் சொந்தமான பரிவர்த்தனைத் தளமான HTX-உடன் தொடர்புடைய முகவரிகள், Aave கணக்குகளுக்கு நூற்றுக்கணக்கான மில்லியன் டாலர்களை அனுப்பியிருந்த நிலையில் இது முக்கியத்துவம் பெற்றது.
Kelp DAO ஹேக்கரே, உனக்கு எவ்வளவு வேண்டும்? பேசலாம். Kelp DAO-வின் உதவியுடன்தான், நிச்சயமாக. இந்த ஹேக்கால் Aave, Kelp DAO இரண்டையும் தியாகம் செய்து வீழ்ச்சியடைய விடுவது உண்மையில் பயனற்றது. எப்படியும் 300 மில்லியன் டாலரை உன்னால் செலவிட முடியாது.
பரவலாக்கத்துக்கும் பாதுகாப்புக்கும் இடையிலான சமநிலை குறித்து இந்தச் சம்பவம் பிளாக்செயின் பாதுகாப்புச் சமூகத்தில் கடுமையான விவாதத்தைத் தூண்டியுள்ளது. சரிபார்ப்பு தர்க்கத்தில்தான் தோல்வி ஏற்பட்டதே தவிர, பயன்பாட்டு தர்க்கத்தில் அல்ல என்று சார்லஸ் ஹாஸ்கின்சன் வாதிட்டார். 1/1 அமைப்புக்குப் பதிலாக 3/5 சரிபார்ப்பாளர் அமைப்பு இருந்திருந்தால் இந்தப் போலியாக்கத்தைத் தடுத்திருக்க முடியும் என்றும் அவர் சுட்டிக்காட்டினார். சிக்கலான பல பிளாக்செயின் தொடர்புகள் ஒரே தோல்விப் புள்ளிகளின் தாக்கத்தைப் பெருக்கக்கூடிய சார்புகளை உருவாக்கும் Ethereum சூழல் முழுவதற்கும் இந்த விமர்சனம் பொருந்துகிறது.
சமரசம் நிகழக்கூடும் என முன்கூட்டியே கருதி, சிக்கலான சூழல்களில் கடுமையான சரிபார்ப்பை உறுதிசெய்யும் நம்பிக்கை அற்ற கட்டமைப்புகளைப் பாதுகாப்பு வல்லுநர்கள் பரிந்துரைக்கின்றனர். RPC முனைகளைப் பாதுகாப்பாக வலுப்படுத்துதல், பல தரப்பினரின் ஒருமித்த முடிவு வழிமுறைகளைச் செயல்படுத்துதல், வலுவான DDoS தற்காப்புகளைப் பயன்படுத்துதல், வழக்கத்திற்கு மாறான செயல்பாடுகள் கண்டறியப்படும்போது பரிவர்த்தனைகளைத் தானாக இடைநிறுத்தும் சுற்றுத் தடுப்பான்களை அறிமுகப்படுத்துதல் ஆகியவை பரிந்துரைக்கப்படும் தடுப்பு நடவடிக்கைகளில் அடங்கும். பரவலாக்கப்பட்ட நிதியில் ஒட்டுமொத்தச் சங்கிலியின் வலிமை ஒவ்வொரு இணைப்பிலும் உள்ள கட்டுப்பாடுகளைச் சார்ந்துள்ளது என்பதையும், ஓர் இணைப்பு முறிந்தால் அதன் விளைவுகள் விரைவாகத் தொடர்ச்சியாகப் பரவும் என்பதையும் KelpDAO தாக்குதல் காட்டுகிறது.
DeFi உலகில் புதிதாக நுழைவோருக்கு, பரவலாக்கம் என்பது இருநிலைப் பண்பு அல்ல; நம்பிக்கை மற்றும் சரிபார்ப்பு குறித்த தொடர்ச்சியான தெரிவுகளின் தொகுப்பு என்பதை இந்தக் கொள்ளை நினைவூட்டுகிறது. வட கொரியாவின் இணையவழி நடவடிக்கைகள் தொடர்ந்து மாறி விரிவடையும் நிலையில், பாதுகாப்பு என்பது பரிந்துரைகளால் கிடைப்பதாக அல்ல, இயல்புநிலையாகவே உறுதிசெய்யப்படுவதாக இருக்க வேண்டும் என்ற அழுத்தம் துறைக்கு அதிகரித்து வருகிறது. இதனால், மிகவும் பாதுகாப்பான விருப்பங்கள் தொழில்நுட்ப ஆவணங்களில் மறைந்திருக்காமல், பயன்படுத்துவதற்கு எளிதானவையாக இருக்க வேண்டும்.
முக்கிய அம்சங்கள்
- வட கொரியாவின் Lazarus Group-இன் TraderTraitor துணைக் குழு, 2026 ஏப்ரல் 18 அன்று KelpDAO-விடமிருந்து சுமார் 290 மில்லியன் டாலர் மதிப்பிலான rsETH டோக்கன்களைத் திருடியதாகச் சந்தேகிக்கப்படுகிறது
- KelpDAO-வின் பல பிளாக்செயின் உள்கட்டமைப்பிலிருந்த ஒற்றைச் சரிபார்ப்பாளர் அமைப்பைப் பயன்படுத்தி, சரிபார்ப்புச் செய்திகளை ஹேக்கர்கள் போலியாக உருவாக்கி நிதியை வடித்தெடுத்தனர்
- தாக்குதலாளர்கள் RPC முனைகளைச் சமரசப்படுத்தி, நச்சுத் தரவு மூலங்களைச் சார்ந்திருக்கும்படி அமைப்பை நிர்ப்பந்திக்க DDoS தாக்குதல்களை நடத்தினர்
- இந்தக் கொள்ளை DeFi முழுவதும் அமைப்புசார் பாதிப்பை ஏற்படுத்தியது; Aave சந்தைகளை முடக்கவும், கடன் வழங்கும் நெறிமுறைகளிலிருந்து 8 பில்லியன் டாலர் நிதி வெளியேறவும் வழிவகுத்தது
- பாதுகாப்பற்ற அமைப்புத் தெரிவுகளைக் காரணம் காட்டும் LayerZero-வும் இயல்புநிலை அமைப்புகளைப் பின்பற்றியதாகக் கூறும் KelpDAO-வும் பொறுப்பு குறித்து பொதுவெளியில் முரண்பட்டுள்ளன
- 2026 ஏப்ரலில் நடந்த இரண்டாவது பெரிய வட கொரிய கிரிப்டோ திருட்டு இது; இதற்கு முன் Drift Protocol-இலிருந்து 285 மில்லியன் டாலர் கொள்ளையடிக்கப்பட்டது
- திருடப்பட்ட நிதியில் சுமார் 71 மில்லியன் டாலரை Arbitrum பாதுகாப்புக் குழு முடக்கியுள்ளது; பெரும்பகுதி Tornado Cash வழியாகச் சலவை செய்யப்பட்டது
- அணு ஆயுத மேம்பாட்டுக்கு நிதியளிப்பதற்காக 2017 முதல் வட கொரியா 3 பில்லியன் டாலருக்கும் அதிகமான கிரிப்டோகரன்சியைத் திருடியுள்ளதாக ஐக்கிய நாடுகள் சபைக் குழுக்கள் மதிப்பிட்டுள்ளன
