The Audit Gap in Blockchain Security: A Four-Year Empirical Study of Public Audit Findings and Real-World Exploit Incidents
2022 से 2026 तक वेब3 (Web3) सुरक्षा का यह अनुभवजन्य अध्ययन स्थिर ऑडिट निष्कर्षों और वास्तविक दुनिया के शोषण संबंधी नुकसानों के बीच एक महत्वपूर्ण विच्छेद को प्रकट करता है, जो यह प्रदर्शित करता है कि जबकि ऑडिट तकनीकी कमजोरियों पर ध्यान केंद्रित करते हैं, अधिकांश वित्तीय क्षति सोशल इंजीनियरिंग जैसे गैर-तकनीकी कारकों से उत्पन्न होती है और कुछ विशाल घटनाओं में अत्यधिक केंद्रित होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि वेब3 (ब्लॉकचेन और क्रिप्टोकरेंसी) की दुनिया एक विशाल, हलचल भरे शहर की तरह है जहाँ लोग अपने पैसे रखने के लिए डिजिटल बैंक, पुल और तिजोरियाँ बनाते हैं। यह शोध पत्र एक चार साल लंबी जांच की तरह है कि क्यों, इन इमारतों के ब्लूप्रिंट (खाके) की जांच करने के लिए बेहतरीन सुरक्षा गार्डों (ऑडिटर्स) को काम पर रखने के बावजूद, यह शहर अभी भी चोरों के हाथों अरबों डॉलर खो देता है।
यहाँ इस जांच की कहानी है, जिसे सरल भागों में विभाजित किया गया है:
1. दो अलग-अलग दुनियाएँ
शोधकर्ताओं ने डेटा की दो बहुत अलग सूचियों का अध्ययन किया:
- "ब्लूप्रिंट चेक" सूची: इसमें सुरक्षा फर्मों के 23,818 नोट्स शामिल हैं जिन्होंने कोड की समीक्षा की। उन्होंने ऐसी चीजें पाईं जैसे "यह दरवाजे का हैंडल कमजोर है" या "यह दीवार ढीले मटीरियल से बनी है।"
- "डकैती" सूची: इसमें वास्तविक दुनिया की 218 कहानियाँ शामिल हैं, जिनमें कुल मिलाकर लगभग $7.76 बिलियन की चोरी हुई।
बड़ा सवाल यह था: क्या वे चीजें जिनके बारे में सुरक्षा गार्ड हमें चेतावनी देते हैं, उन चीजों से मेल खाती हैं जो वास्तव में चोरी होती हैं?
2. बड़ी विसंगति (द "ऑडिट गैप")
इसका उत्तर एक ज़ोरदार "नहीं" है। दोनों सूचियाँ पूरी तरह से अलग हैं, जैसे किसी कार के इंजन में टूट सकने वाली चीज़ों की सूची की तुलना उन कारणों से करना जिनकी वजह से वास्तव में कार दुर्घटनाएं होती हैं।
- ऑडिटर्स ने क्या पाया: सुरक्षा गार्ड अपना अधिकांश समय कोड में छोटी, तकनीकी खामियों को खोजने में बिताते थे। वे ऐसी चीजों की चिंता करते थे जैसे "लॉजिक एरर" (कोड गलत गणित कर रहा है) या "एक्सेस कंट्रोल" (किसके पास चाबी है)। ये उनकी रिपोर्टों का एक बड़ा हिस्सा थे।
- वास्तव में क्या हुआ: चोरों को कोड के गणित की परवाह नहीं थी। उन्होंने मुख्य रूप से इन तरीकों से पैसा चुराया:
- लोगों को धोखा देना: फिशिंग ईमेल या सोशल इंजीनियरिंग (किसी और का रूप धारण करना)।
- चाबियाँ चुराना: वे निजी पासवर्ड (प्राइवेट कीज़) छीन लेते हैं जो तिजोरियों को नियंत्रित करते हैं।
- सप्लाई चेन को हैक करना: तिजोरी को तोड़ने के बजाय, उस टूल को चुराना जिसका उपयोग तिजोरी बनाने के लिए किया गया था।
उपमा: कल्पना कीजिए कि एक बैंक अपनी तिजोरी के दरवाजे के स्टील की जांच करने के लिए एक टीम को काम पर रखता है। टीम स्टील में छोटी दरारें खोजने में महीनों बिता देती है (ऑडिट)। लेकिन चोर दरवाजा नहीं तोड़ते; वे बस एक गार्ड के बाहर निकलने का इंतज़ार करते हैं, उसे चाबी देने के लिए बहलाते हैं, या आर्किटेक्ट की मेज से ब्लूप्रिंट चुरा लेते हैं। ऑडिट दरवाजे के लिए एकदम सही था, लेकिन उसने गार्ड या मेज की जांच नहीं की।
3. "सुपर-स्टॉर्म" प्रभाव
इस शोध पत्र ने यह भी पता लगाया कि इस दुनिया में धन की हानि समान रूप से नहीं होती है। यह ऐसा नहीं है कि हर दिन हल्की बारिश हो रही हो। यह एक तूफान की तरह है।
- एक्सट्रीम 80/20 नियम: केवल 8 बड़ी डकैतियों ने चार वर्षों में हुए कुल धन नुकसान के आधे से अधिक हिस्से की जिम्मेदारी ली।
- "औसत" एक झूठ है: यदि आप "औसत" चोरी को देखकर जोखिम का अनुमान लगाने की कोशिश करते हैं, तो आप गलत होंगे। अधिकांश चोरियां छोटी होती हैं, लेकिन कुछ इतनी बड़ी होती हैं कि वे बाकी सब कुछ खत्म कर देती हैं। यह पत्र चेतावनी देता है कि "औसत" के लिए योजना बनाना एक धूप वाले दिन की योजना बनाने जैसा है जब वास्तव में सुनामी आने वाली हो।
4. "मानवीय" कारक
सबसे आश्चर्यजनक खोज यह है कि सबसे बड़े नुकसान कंप्यूटर बग्स से नहीं, बल्कि मानवीय त्रुटियों से आते हैं।
- पिछले कुछ वर्षों में, कुल नुकसान का आधा से अधिक हिस्सा लोगों को ठगे जाने, चाबियाँ चुराए जाने या खराब प्रबंधन के कारण हुआ।
- सुरक्षा ऑडिट मुख्य रूप से कोड की जांच करते थे, लेकिन वे शायद ही कभी उन लोगों की जांच करते थे जिनके पास चाबियाँ थीं या उन कंप्यूटरों की जिनका लोग लेनदेन साइन करने के लिए उपयोग करते थे।
5. निष्कर्ष: हमें दो प्रकार की सुरक्षा की आवश्यकता है
पत्र इस निष्कर्ष पर पहुँचता है कि हम केवल एक प्रकार के सुरक्षा गार्ड पर भरोसा नहीं कर सकते।
- कोड ऑडिटर्स सॉफ्टवेयर (ब्लूप्रिंट) में बग्स खोजने में माहिर हैं।
- ऑपरेशनल गार्ड्स की आवश्यकता लोगों, चाबियों और प्रक्रियाओं (सुरक्षा गार्ड की वर्दी और गार्ड के दिमाग) की रक्षा करने के लिए है।
अध्ययन कहता है कि वर्तमान में, उद्योग ब्लूप्रिंट की जांच करने में बहुत अच्छा है लेकिन उन लोगों की रक्षा करने में बहुत खराब है जो चाबियाँ थामे हुए हैं। इन नुकसानों को रोकने के लिए, हमें इन दो कामों को एक-दूसरे के विकल्प के रूप में नहीं, बल्कि पार्टनर के रूप में देखने की आवश्यकता है। हमें कोड की जांच करनी होगी और मानवीय व्यवहार की भी जांच करनी होगी।
संक्षेप में: सुरक्षा विशेषज्ञ खोई हुई चाबियों को स्ट्रीट लैंप के नीचे ढूँढ रहे हैं क्योंकि वहाँ रोशनी अच्छी है (कोड), लेकिन चोर चाबियाँ उस अंधेरी गली (लोग और प्रक्रियाएं) से ले जा रहे हैं जहाँ कोई नहीं देख रहा है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।