The ack3 H1 2026 DeFi Incident Dataset: Audit Scope Across 135 Security Incidents
यह शोध पत्र H1 2026 DeFi घटना डेटासेट का विश्लेषण करता है जिससे यह पता चलता है कि 67.6% सुरक्षा घटनाएं और 94.4% आरोपित नुकसान उन आक्रमण पथों (attack paths) के माध्यम से हुए जो पूर्व-घटना स्मार्ट कॉन्ट्रैक्ट ऑडिट के दायरे से बाहर थे, जो प्रोजेक्ट-स्तरीय ऑडिट इतिहास और विशिष्ट घटना-पथ कवरेज के बीच एक महत्वपूर्ण अंतर को प्रदर्शित करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
पैसे की डिजिटल दुनिया की कल्पना करें, जिसे विकेंद्रीकृत वित्त (DeFi) के रूप में जाना जाता है, जो पूरी तरह से अदृश्य, अपने आप चलने वाली मशीनों से बने एक विशाल, हलचल भरे शहर की तरह है। इस शहर में प्रबंधकों के साथ कोई बैंक नहीं हैं; इसके बजाय, यहाँ "स्मार्ट कॉन्ट्रैक्ट्स" (smart contracts) हैं—जटिल कंप्यूटर प्रोग्राम जो सख्त नियमों के आधार पर पैसे को स्वचालित रूप से इधर-उधर ले जाते हैं। क्योंकि इन मशीनों के पास अरबों डॉलर होते हैं, इसलिए लोग "ऑडिटर्स" (auditors) को काम पर रखते हैं, जो हाई-टेक बिल्डिंग इंस्पेक्टरों की तरह होते हैं, जो मशीनों को चालू करने से पहले उनके ब्लूप्रिंट की जांच करते हैं। बड़ा सवाल जो हर कोई पूछता है, वह यह है: "यदि किसी इमारत पर निरीक्षक की मंजूरी की मुहर लगी है, तो क्या वह सुरक्षित है?" यह शोध पत्र ठीक इसी सवाल पर गहराई से विचार करता है, लेकिन एक ट्विस्ट के साथ। यह सुझाव देता है कि मुहर होने का मतलब यह नहीं है कि पूरी इमारत सुरक्षित है; इसका मतलब केवल यह हो सकता है कि निरीक्षक ने सामने के दरवाजे को देखा जबकि चोर पीछे की खिड़की से अंदर घुस रहा था। लेखक यह पता लगाने की कोशिश कर रहे हैं कि ये "मुहरें" वास्तव में कितनी बार उस विशिष्ट मार्ग को कवर करती हैं जिससे हैकर पैसा चुराता है।
महान "ऑडिट" बेमेल: जब निरीक्षक वास्तविक खतरे को चूक जाते हैं
2026 की पहली छमाही में, ack3 नामक एक साइबर सुरक्षा टीम ने जासूसी करने का निर्णय लिया। उन्होंने DeFi शहर में 135 सुरक्षा आपदाओं की एक विशाल सूची एकत्र की, जहाँ हैकर्स ने चौंका देने वाले $939.86 मिलियन चुरा लिए। यह लगभग एक अरब डॉलर है जो डिजिटल शून्य में गायब हो गया! टीम एक रहस्य सुलझाना चाहती थी: जब ये आपदाएं हुईं, तो क्या उन प्रोजेक्ट्स का पहले से "ऑडिट" (निरीक्षण) किया गया था? और यदि किया गया था, तो क्या ऑडिटर्स ने वास्तव में सिस्टम के उस विशिष्ट हिस्से की जांच की जिसे हैकर ने तोड़ा था?
इसका उत्तर कार की सुरक्षा की जांच करने जैसा है। कल्पना कीजिए कि आपने कार की जांच के लिए एक मैकेनिक को काम पर रखा है। वह इंजन, ब्रेक और टायरों की जांच करता है, और उसे "सुरक्षित रूप से चलाने योग्य" का स्टिकर दे देता है। लेकिन फिर, कार चोरी हो जाती है क्योंकि चोर ने दस्ताने के डिब्बे (glove box) का ताला तोड़ दिया—एक ऐसा हिस्सा जिसे मैकेनिक ने कभी देखा ही नहीं था। कार का "निरीक्षण" किया गया था, लेकिन वह विशिष्ट भाग जो विफल हुआ, वह निरीक्षण के दायरे (scope) से बाहर था।
शोधकर्ताओं ने इन 135 आपदाओं में से उन 68 मामलों को देखा जहाँ उन्हें मूल निरीक्षण रिपोर्ट मिल सकी। यहाँ चौंकाने वाला तथ्य है: उन 46 मामलों में (यानी निरीक्षण किए गए प्रोजेक्ट्स के 67.6% में), हैकर ने उस हिस्से को नहीं तोड़ा जिसे ऑडिटर्स ने जांचा था। उन्होंने कुछ और ही तोड़ा था! शायद उन्होंने उस सर्वर को हैक किया जो वेबसाइट चलाता है, क्लाउड कंप्यूटर से पासवर्ड चुरा लिया, या एक ऐसे ब्रिज (bridge) को धोखा दिया जो दो अलग-अलग डिजिटल दुनिया को जोड़ता है। ये सभी चीजें थीं जो ऑडिट के दायरे से बाहर थीं।
जब आप खोए हुए पैसे को देखते हैं, तो तस्वीर और भी नाटकीय हो जाती है। "आउट-ऑफ-स्कोप" (दायरे से बाहर) आपदाओं में कुल नुकसान का 94.4% हिस्सा था। इसका मतलब है कि लगभग सारा चोरी किया गया कैश उन प्रोजेक्ट्स से आया जहाँ ऑडिटर्स ने मशीन के गलत हिस्से को देखा था।
यह सुनिश्चित करने के लिए कि यह दो बड़ी चोरियों के कारण हुआ कोई इत्तेफाक नहीं है, शोधकर्ताओं ने एक छोटा सा गणितीय तरीका अपनाया। उन्होंने दो सबसे बड़ी चोरियों (एक 285 मिलियन) को हटा दिया और बाकी को देखा। उन दिग्गजों के बिना भी, "आउट-ऑफ-स्कोप" आपदाओं ने शेष नुकसान का 72.1% हिस्सा बनाया। पैटर्न मजबूत बना रहा: ऑडिटर्स अक्सर गलत चीज़ देख रहे थे।
लेकिन उन 20 घटनाओं के बारे में क्या, जहाँ हैकर ने वास्तव में उस हिस्से को तोड़ा जिसे ऑडिटर्स ने जांचा था? शोधकर्ताओं ने पाया कि इनके लिए, "निरीक्षण" अक्सर काफी पुराना था। ऑडिट और हैक के बीच का औसत समय 18 महीने था। तकनीक की दुनिया में, यह 2024 में एक ब्लूप्रिंट की जांच करने वाले आर्किटेक्ट के समान है, लेकिन इमारत 2026 तक बनकर तैयार नहीं होती, और इस बीच बिल्डरों ने वायरिंग बदल दी, नए कमरे जोड़ दिए और दरवाजे बदल दिए। "स्टिकर" अभी भी वहीं था, लेकिन इमारत बदल चुकी थी।
पेपर ने यह भी देखा कि क्या हैक किया गया था। सबसे बड़ा वर्ग "अन्य प्रोटोकॉल" (other protocols) था, जो एक ऐसा शब्द है जो उन अजीब, जटिल सिस्टमों के लिए उपयोग किया जाता है जो "लेंडिंग" या "एक्सचेंज" जैसे सरल बक्सों में फिट नहीं होते। इन जटिल सिस्टमों ने सबसे अधिक पैसा खोया, जो कुल $392.86 मिलियन था। ब्रिज (जो विभिन्न डिजिटल नेटवर्क के बीच पैसा स्थानांतरित करते हैं) और परपचुअल फ्यूचर्स एक्सचेंज (perpetual futures exchanges) भी बड़े लक्ष्य थे।
तो, मुख्य निष्कर्ष क्या है? लेखक यह नहीं कह रहे हैं कि ऑडिट बेकार हैं। वे कह रहे हैं कि "ऑडिटेड" (Audited) लेबल को अक्सर एक जादुई ढाल माना जाता है जो पूरे प्रोजेक्ट को कवर करती है, जबकि वास्तव में, यह किसी विशिष्ट कार्य के लिए किए गए एक विशिष्ट काम की रसीद की तरह है। यदि कोई प्रोजेक्ट कहता है, "हमारा ऑडिट हुआ था," तो इसका मतलब यह नहीं है कि पूरा सिस्टम सुरक्षित है; इसका मतलब केवल यह है कि सिस्टम के कुछ हिस्से को किसी समय जांचा गया था।
शोधकर्ता सुझाव देते हैं कि हमें "ऑडिटेड" लेबल को गारंटी के रूप में देखना बंद करने की आवश्यकता है। इसके बजाय, हमें पूछना चाहिए: "क्या उन्होंने ठीक उसी कोड की जांच की जिसे हैक किया गया था?" और "वह जांच कितनी पुरानी थी?" क्योंकि DeFi के तेजी से चलते शहर में, एक साल पुराना सुरक्षा चेक आपको आज के नए तरह के चोर से बचाने में सक्षम नहीं हो सकता है। सबक स्पष्ट है: सिर्फ इसलिए कि निरीक्षक ने कागज पर हस्ताक्षर किए हैं, इसका मतलब यह नहीं है कि पूरा घर चोरों से सुरक्षित है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।