A Systematic Taxonomy and Risk-Scoring Framework for Cross-Chain Bridge Security: Design, Retrospective Validation, and Comparative Analysis

डिजिटल मुद्रा की दुनिया की कल्पना अलग-अलग द्वीपों के एक संग्रह के रूप में करें, जिनमें से प्रत्येक के अपने अनूठे नियम, मुद्रा और कानून हैं। लंबे समय तक, यदि आप अपना खजाना एक द्वीप से दूसरे द्वीप पर ले जाना चाहते थे, तो आप फंस कर रह जाते थे। आप बस तैरकर पार नहीं जा सकते थे क्योंकि पानी बहुत गहरा और धाराएं बहुत खतरनाक थीं। इसे हल करने के लिए, इंजीनियरों ने "पुल" (bridges) बनाए—विशेष डिजिटल सुरंगें जो आपको एक द्वीप पर अपने सिक्के लॉक करने और दूसरे पर उनकी एक समान प्रति प्राप्त करने की अनुमति देती हैं। ये पुल डिजिटल अर्थव्यवस्था के महामार्ग बन गए, जिससे लोगों को विभिन्न नेटवर्कों के बीच व्यापार करने, खेल खेलने और निवेश करने की सुविधा मिली। लेकिन यहाँ एक पेंच है: पुल बनाना अविश्वसनीय रूप से कठिन है। यदि पुल के ताले कमजोर हैं, गार्ड सो रहे हैं, या ब्लूप्रिंट में कोई गलती है, तो चोर सीधे अंदर आकर सब कुछ चुरा सकते हैं। वास्तव में, ये पुल हैकर्स के लिए सबसे लोकप्रिय लक्ष्य बन गए हैं, जिसमें कुछ ही वर्षों में अरबों डॉलर का नुकसान हुआ है।

डेवलपर्स और ऑडिटर्स के सामने बड़ा सवाल यह है कि: "हम एक नया पुल बनाने से पहले यह कैसे जान सकते हैं कि वह सुरक्षित है?" वर्तमान में, एक पुल की सुरक्षा की जांच करना ऐसा है जैसे हजारों अलग-अलग लोगों द्वारा लिखी गई हजारों अलग-अलग अग्नि रिपोर्टों को पढ़कर यह अनुमान लगाने की कोशिश करना कि क्या कोई घर जल जाएगा। कोई एकल, सरल चेकलिस्ट या स्कोरकार्ड नहीं है जो कहता हो, "यह पुल का डिज़ाइन जोखिम भरा है," या "यह सुरक्षित है।" आपको अव्यवस्थित तकनीकी रिपोर्टों को खोजना पड़ता है, हैकर्स के संभावित कदमों का अनुमान लगाना पड़ता है, और बस बेहतर की उम्मीद करनी पड़ती है। यह शोध पत्र उस भ्रम को दूर करने के लिए आता है और एक स्पष्ट, उपयोग में आसान "जोखिम स्कोर" (risk score) बनाकर, जो बिल्डरों को एक डॉलर भी स्थानांतरित करने से पहले खतरे के संकेतों को पहचानने में मदद करता है।

ब्रिज सेफ्टी स्कोरकार्ड (पुल सुरक्षा स्कोरकार्ड)

यह शोध पत्र ब्रिज सिक्योरिटी रिस्क स्कोर (BSRS) नामक एक नया टूल पेश करता है। इसे एक रोलरकोस्टर की सुरक्षा रेटिंग की तरह समझें। सवारी करने से पहले, आप जानना चाहते हैं कि क्या ट्रैक मजबूत हैं, क्या ब्रेक काम कर रहे हैं, और क्या सुरक्षा हार्नेस (safety harnesses) मजबूत हैं। दुर्घटना होने का इंतजार करने के बजाय, यह स्कोरकार्ड आपको ब्लूप्रिंट देखने और सवारी को एक ग्रेड देने की अनुमति देता है: कम (Low), मध्यम (Medium), उच्च (High), या गंभीर (Critical) जोखिम।

अर्तिक घोष के नेतृत्व में लेखकों ने इसे केवल हवा में नहीं बनाया। उन्होंने पहले पिछले पुल आपदाओं के बारे में शोध पत्रों और रिपोर्टों के एक विशाल ढेर का अध्ययन किया। उन्होंने पाया कि अधिकांश अध्ययन या तो बहुत व्यापक थे (सामान्य रूप से पुलों के बारे में बात करना) या बहुत विशिष्ट थे (केवल एक विशिष्ट हैक के बाद उसे देखना)। किसी ने भी ऐसा टूल नहीं बनाया था जो किसी पुल के उपयोग से पहले उसके डिज़ाइन को देख सके और भविष्यवाणी कर सके कि उसके हैक होने की कितनी संभावना है।

स्कोरकार्ड कैसे काम करता है
BSRS एक सरल गणितीय सूत्र है। इसे काम करने के लिए किसी सुपरकंप्यूटर या आर्टिफिशियल इंटेलिजेंस की आवश्यकता नहीं है। इसके बजाय, यह एक कार की जांच करने वाले मैकेनिक की तरह, पुल के डिज़ाइन के बारे में सात विशिष्ट प्रश्न पूछता है:

1. कितने गार्ड निगरानी कर रहे हैं? (वैलिडेटर सेट साइज)
2. गेट खोलने के लिए कितने गार्ड्स को सहमत होना आवश्यक है? (सिग्नेचर थ्रेशोल्ड)
3. किस प्रकार का ताला उपयोग किया गया है? (वेरिफिकेशन मॉडल: क्या यह एक विश्वसनीय समिति है, एक गणित-आधारित प्रमाण है, या एक लाइट क्लाइंट है?)
4. मास्टर की (Master Key) किसके पास है? (अपग्रेड-की कस्टडी)
5. क्या गलतियों को पकड़ने के लिए "कूलिंग-ऑफ" अवधि है? (फ्रॉड-प्रूफ विंडो)
6. पुल कितने बाहरी सहायकों पर निर्भर है? (ओरेकल/रिलेयर डिपेंडेंसीज़)
7. क्या विशेषज्ञों द्वारा इसकी जांच की गई है? (ऑडिट मैच्योरिटी)

प्रत्येक उत्तर को एक नंबर मिलता है। यदि किसी पुल में बहुत कम गार्ड हैं, एक कमजोर ताला है, या एक मास्टर की जिसे एक व्यक्ति द्वारा तुरंत बदला जा सकता है, तो इसे उच्च-जोखिम स्कोर मिलता है। यदि इसमें कई स्वतंत्र गार्ड हैं, मजबूत गणित-आधारित ताले हैं, और परिवर्तनों के लिए लंबी प्रतीक्षा अवधि है, तो इसे कम-जोखिम स्कोर मिलता है।

स्कोरकार्ड का परीक्षण
यह देखने के लिए कि उनका नया स्कोरकार्ड वास्तव में काम करता है या नहीं, लेखकों ने दस वास्तविक दुनिया के पुलों को लिया और उन्हें इस परीक्षण से गुजारा। इनमें से आठ पुलों को पहले ही हैक किया जा चुका था और उन्होंने लाखों डॉलर का नुकसान किया था। अन्य दो (LayerZero और Axelar) को बड़े पैमाने पर हैक नहीं किया गया था।

परिणाम चौंकाने वाले थे। जिन पुलों को हैक किया गया था—जैसे कि रोनिन ब्रिज (जिसने $625 मिलियन का नुकसान किया) और **हारमनी होराइजन ब्रिज** (जिसने$100 मिलियन का नुकसान किया)—उन सभी को उच्च (High) या गंभीर (Critical) जोखिम स्कोर प्राप्त हुआ। स्कोरकार्ड ने सही ढंग से पहचान लिया कि उनके डिज़ाइन में खामियां थीं, जैसे कि बहुत कम गार्ड या कमजोर सिग्नेचर नियम।

दूसरी ओर, जिन दो पुलों को हैक नहीं किया गया था, उन्हें कम से मध्यम (Low to Medium) स्कोर प्राप्त हुआ। यह सुझाव देता है कि उनके डिज़ाइन अधिक मजबूत थे, जिनमें बेहतर गार्ड सिस्टम और बेहतर सत्यापन विधियाँ थीं।

स्कोरकार्ड क्या नहीं कर सकता
लेखक अपने टूल की सीमाओं के बारे में बहुत ईमानदार हैं। वे समझाते हैं कि BSRS एक घर के ब्लूप्रिंट की जांच करने जैसा है; यह आपको बता सकता है कि नींव अस्थिर है या दरवाजे कमजोर हैं। हालाँकि, यह यह नहीं देख सकता कि प्लंबर ने दीवारों के अंदर पाइप सही ढंग से लगाया है या नहीं। यदि किसी पुल का डिज़ाइन एकदम सही है लेकिन एक प्रोग्रामर ने कोड में एक छोटी सी टाइपो (गलती) कर दी है (एक "लॉजिक बग"), तो स्कोरकार्ड फिर भी उसे अच्छा ग्रेड दे सकता है। उदाहरण के लिए, क्यूबिट फाइनेंस (Qubit Finance) ब्रिज का स्कोर मध्यम-से-उच्च था, लेकिन फिर भी इसे हैक कर लिया गया क्योंकि यह एक विशिष्ट कोडिंग त्रुटि थी जिसे स्कोरकार्ड के डिज़ाइन पैरामीटर नहीं पकड़ सके।

यह क्यों महत्वपूर्ण है
यह शोध पत्र यह दावा नहीं करता है कि उसने पुल सुरक्षा की समस्या को हमेशा के लिए हल कर दिया है। इसके बजाय, यह एक स्पष्ट, पारदर्शी शुरुआती बिंदु प्रदान करता है। यह सुझाव देता है कि अगला डिजिटल सुपरहाइवे बनाने से पहले, हमें एक सरल चेकलिस्ट का उपयोग करना चाहिए ताकि यह देखा जा सके कि डिज़ाइन सुरक्षित है या नहीं। यह बातचीत को "आइए उम्मीद करें कि हमें हैक न किया जाए" से बदलकर "आइए जोखिम को मापें और पहले कमजोरियों को ठीक करें" पर ले जाता है।

लेखक आशा करते हैं कि भविष्य में, इस स्कोरकार्ड को अधिक डेटा और स्वचालित उपकरणों के साथ सुधारा जा सकता है, लेकिन फिलहाल, यह किसी भी व्यक्ति को एक पुल को देखने और तथ्यों के आधार पर कहने का एक महत्वपूर्ण, समझने में आसान तरीका प्रदान करता है कि, "यह जोखिम भरा लग रहा है," या "यह सुरक्षित लग रहा है।"