दस दिनों में तीन "इन्फिनिमिंट" क्रिप्टो ब्रिज एक्सप्लॉइट्स दिखाते हैं कि क्रॉस-चेन ब्रिज क्रिप्टो का अनसुलझा सुरक्षा छेद हैं — और ऑडिट उन्हें बचा नहीं सकते।
क्रिप्टो ब्रिज एक्सप्लॉइट्स एक डिज़ाइन फ्लॉ हैं, बुरी किस्मत नहीं
मुख्य बिंदु
- अक्टूबर के इस महीने में दस दिनों के भीतर तीन "इनिफिमिंट" ब्रिग हैक हुए: इनिशिया ($2.7M), साइसिक ($727K), और ऑथियो का THEO (~$1.76M).
- हर एक ने वही रेसिपी अपनाई — एक चेन पर बिना बैकअप वाले टोकन मिनट किए, और किसी की प्रतिक्रिया से पहले असली एसेट्स को ब्रिज आउट कर दिया।
- ऑडिट ने मदद नहीं की। ऑथियो का समीकरण हल्बॉर्न, सर्टिके और अवेलर लैब्स द्वारा किया गया था और फिर भी इसे ड्रेन कर दिया गया।
- एक ब्रिज कोड में लिपटे एक मिंटिंग मशीन है। कोड में बग होते हैं। यह एक डिज़ाइन समस्या है, बुरी किस्मत की श्रृंखला नहीं।
- जब तक ब्रिज कॉलैटरलाइज्ड, इंश्योर्ड या प्रतिस्थापित नहीं होते, हर ब्रिज किए गए टोकन एक अनबैक्ड वादा है।
इस अक्टूबर में दस दिन के अवधि में तीन blockchains को एक ही तरकीब से लूटा गया: हवा में tokens mint करें, फिर असली पैसा लेकर भाग जाएं। Initia (https://initia.xyz) ने October 23 को लगभग $2.7 million खोया। Cysic ने October 17 को लगभग $727,000 खोया। Autheo (https://autheo.com) के THEO token को October 13 को लगभग $1.76 million ड्रेन किया गया। तीन अलग-अलग teams, तीन अलग-अलग codebases, एक ही समान विफलता। ये crypto bridge exploits भाग्य के बुरे दिन नहीं हैं। ये एक design flaw है जिसे industry ने पाँच साल से यह अड़कर कह रही है कि इसे इंजीनियरिंग के ज़रिए circumvent किया जा सकता है।
वास्तव में क्या हुआ
Initia, एक MoveVM-आधारित Layer 1 जो एक अंतर्विनिर्मित रोलअप्स (rollups) के नेटवर्क को चलाता है, सबसे बड़ा हिट था। एक हमलावर ने इसके MoveVM — वर्चुअल मशीन स्वयं, किसी जल्दबाजी में लिखे ऐप नहीं — में स्क्रिप्ट-कैशिंग बग का फायदा उठाया, जिससे उसने चेन की स्थिति को नकली (spoof) किया और WETH, iUSD, और USDC को अपने नाम किया, जिनके लिए कोई जमा (deposit) कभी नहीं हुआ था। फिर उसने LayerZero और Noble/CCTP के माध्यम से लगभग $2.7 मिलियन को बाहर निकाला, इससे पहले कि चेन 15:41:30 UTC पर रोक दी गई।
वो विवरण जो आपको डराना चाहिए: ऑन-चेन एनालिटिक्स फर्म Bitquery ने पाया कि ब्रिज का USDC रेजर्व एक ही दोपहर में लगभग $1.09 मिलियन से घटकर $63 हो गया। हमलावर के नकली बैलेंस लगभग $7.48 मिलियन थे, लेकिन वे केवल लगभग $3 मिलियन ही निकाल पाए — क्योंकि रेजर्व पूरी तरह खत्म हो गया। शेष नुकसान उन ईमानदार उपयोगकर्ताओं पर आया जिनकी निकासियां बंद हो गईं। उनके पास IOUs थे, और उन IOUs के पीछे वाला वॉल्ट खाली था।
Cysic, एक ज़ीरो-नॉलेज हार्डवेयर प्रोजेक्ट, 17 अक्टूबर को एक अलग रास्ते से प्रभावित हुआ — एक भेदक सपोर्ट डेटाबेस और ब्रिज द्वारा "mint" संदेशों को प्रोसेस करने की विधि में दोष के संयोजन से। हमलावर ने BNB चेन पर 10 मिलियन CYS टोकन बनाए और लगभग 306.6 ETH को Ethereum पर ब्रिज किया। फाउंडेशन ने 2.8 मिलियन टोकन फ्रीज किए और 10% बंटी की पेशकश की। हमलावर ने इनकार किया, फिर 300 ETH और 30.4 BNB को Tornado Cash में भेज दिया।
Autheo सबसे सिनेमैटिक था। 13 अक्टूबर को, किसी ने Base पर एक संदिग्ध Hyperlane ब्रिज एक्सप्लॉइट के माध्यम से लाखों THEO टोकन मिंटे किए — एक शोधकर्ता ने इसे 119 मिलियन, लगभग 70% आपूर्ति के रूप में बताया — उन्हें लगभग 700 ETH के लिए स्वैप किया और डंप कर दिया। टोकन घंटों में क्रैटर हो गया। फिर हमलावर ने कुछ अजीब किया: उन्होंने लगभग $1 मिलियन मूल्य के THEO को एक यादृच्छिक परिचित के वॉलेट में भेजा, जो दयालुता से कम और एक निर्दोष पता को बदनाम करने और एट्रिब्यूशन को धुंधला करने की जानबूझकर कोशिश जैसा लगता है।
इसे ऑडिट क्यों नहीं पकड़ पाए?
Autheo मामला क्रिप्टो के पसंदीदा बचाव पर अंतिम प्रहार है। इस प्रोजेक्ट की समीक्षा Halborn, CertiK और Avelar Labs — तीन ब्रांड-नाम वाली सुरक्षा कंपनियों — ने की थी। फिर भी इससे धन निकाल लिया गया। यही मुख्य बात है। ऑडिट ज्ञात कोड पथों में ज्ञात बग पैटर्न खोजते हैं। वे एक संरचनात्मक रूप से अस्थिर मॉडल को ठीक नहीं करते। जब कमजोरी वर्चुअल मशीन के कैशिंग लॉजिक (Initia) या ब्रिज के मैसेज-प्रोसेसिंग मीडलवेयर (Cysic, Autheo) में होती है, तो स्मार्ट-कॉन्ट्रैक्ट रिव्यू की कोई भी मात्रा उसे पकड़ नहीं पाती। "हमने ऑडिट करवाया" वाला बैज एक मार्केटिंग संपत्ति है, सुरक्षा गारंटी नहीं।
बड़ी तस्वीर: ब्रिज वह लोड-बेयरिंग दीवार हैं
ज़ूम आउट करें और इन सभी हमलों में एक ही प्राइमिटिव साझा है: मंट फंक्शन। एक ब्रिज चेन X पर वास्तविक संपत्ति A को लॉक करके और चेन Y पर एक रसीद को मंट करके काम करता है। वह रसीद ब्रिज का वादा है। मंट को तोड़ें — या उस तर्क को तोड़ें जो तय करता है कि कब मंटिंग की अनुमति है — और आप जमा किए बिना ही वादा बना सकते हैं। यह कोई नई विचार नहीं है। यह वही आर्थिक अचर है जिसे बैंक सॉल्वेंसी रिस्क कहते हैं। अंतर यह है कि एक बैंक के पास पूंजी, बीमा और नियामक होते हैं। एक ब्रिज के पास एक स्मार्ट कॉन्ट्रैक्ट और एक उम्मीद होती है।
यह मायने रखता है क्योंकि मल्टीचैन क्रिप्टो की कही गई भविष्य है, और ब्रिज इसका लोड-बियरिंग वॉल हैं। चेन अबस्ट्रैक्शन, रेस्टेकिंग, सैकड़ों नए L2s और L3s — वे सब यह मानते हैं कि संपत्तियां स्वतंत्र रूप से चेन के बीच हिल-डुल सकती हैं। यह गति ब्रिजों पर चलती है। और सुरक्षा पर दबाव कम नहीं हो रहा है: Chainalysis (https://www.chainalysis.com) के अनुमान के अनुसार उत्तर कोरिया से जुड़े समूहों ने 2026 में अकेले $1 billion से अधिक चुराए हैं, जबकि सितंबर में Bitget हैक को $387.5 million तक बढ़ाया गया है। पेशेवर हैकर अंदाजा नहीं लगा रहे हैं। उन्होंने बिल्कुल इन mint-and-drain bugs को ढूंढने का औद्योगिकीकरण कर लिया है।
कौन जीतता है और कौन हारता है?
हारने वालों को नाम देना आसान है। Initia पर ब्रिज किए गए संपत्ति रखने वाले ईमानदार उपयोगकर्ताओं ने नकली और वास्तविक शेष राशि के बीच के अंतर को झेला। स्वयं परियोजनाओं ने रातों-रात महीनों की विश्वसनीयता को जला दिया। और "ऑडिटेड = सुरक्षित" की कथा को और एक बड़ा झटका लगा।
विजेता कम स्पष्ट हैं। वे आर्किटेक्चर जो ब्रिजिंग की मांग नहीं करते — नेटिव आउटसांस, इंटेंट-आधारित सेटलमेंट, सिंगल-सेटलमेंट-लेयर रोलअप् — बस एक मुफ्त सेल्स पिच मिली है। सुरक्षा कंपनियों और बीमाकर्ताओं को एक बड़ा मंडेट मिला है। और हमलावरों ने, दस दिनों में तीसरी बार, यह साबित कर दिया कि यह क्रिप्टो में सबसे सस्ता हाई-यिल्ड एक्सप्लॉइट है।
दूसरे-क्रम का प्रभाव शांत लेकिन बड़ा है: "चेन एबस्ट्रैक्शन" की कहानी — यह विचार कि उपयोगकर्ताओं को यह नहीं पता होना चाहिए कि वे किस चेन पर हैं — अब एक छिपी हुई जिम्मेदारी लेता है। हर लेयर जो उपयोगकर्ता से एक ब्रिज को छिपाती है, वह ब्रिज की सॉल्वेंसी जोखिम को भी छिपाती है। एबस्ट्रैक्शन एक UX जीत है और जोखिम प्रबंधन का राक्षस है।
क्या ऐसा पहले भी हुआ है?
हाँ, और 2022 वह साल था जब ब्रिजों को सlaughterhouse में भेजा गया: Ronin ($625 million), Wormhole ($325 million), Nomad ($190 million). Chainalysis ने लंबे समय से ब्रिजों को सबसे अधिक मूल्य वाले हमले के लक्ष्य के रूप में रैंक किया है, और 2021–2024 के दौरान कुल ब्रिज नुकसान $2.5 billion से अधिक था। अब अंतर यह है कि हमले कहाँ होते हैं। Ronin एक validator सामाजिक इंजीनियरिंग का मामला था। Wormhole और Nomad स्मार्ट-कॉन्ट्रैक्ट लॉजिक बग थे। Initia में वर्चुअल मशीन में ही बग था, और Cysic और Autheo ब्रिज मीडिलवेयर में बग थे। उद्योग ने स्टैक के ऊपरी स्तरों को पैच कर दिया — इसलिए हमलावरों ने बस नीचे की ओर बढ़ा दिया, जहाँ कोड नया, अधिक जटिल और कम जाँचा गया है।
अगले तीन वर्षों में यह कहाँ जाएगा?
तीन भविष्यवाणियाँ। पहली, "इंफिनिमिंट" — बिना समर्थन वाले टोकन बनाना और रिज़र्व खाली करना — डिफ़ॉल्ट ब्रिज हमला बन जाएगा, क्योंकि इसमें किसी कुंजी के दुरुपयोग की आवश्यकता नहीं होती और यह ब्रिज के पास जितना भी है उसके साथ स्केल होता है। दूसरी, ब्रिजों को उनके वास्तविक कार्य के अनुसार वित्तीय मध्यस्थों की तरह माना जाएगा: रिज़र्व प्रमाणन, देनदारी क्षमता का प्रमाण, और बीमा के आदेशों को मार्केटिंग के सजावटी हिस्से से हटाकर अनिवार्य माना जाएगा, संभवतः नियामकों द्वारा इसे लागू किया जाएगा। तीसरी, जीतने वाली आर्किटेक्चर ब्रिजिंग को छोड़ देंगे। प्रत्येक चेन पर नेटिव स्टेबलकॉइन जारी करना, इंटेंट-आधारित सेटलमेंट जहाँ सॉल्वर्स एक यूज़र के ऑर्डर को बिना बीच में किसी मिंटिंग ब्रिज के भरने के लिए प्रतिस्पर्धा करेंगे, और रोलअप् जो एक बेस सेटलमेंट लेयर साझा करेंगे, धीरे-धीरे ब्रिज के काम को निगल लेंगे। ब्रिजिंग मरेगी नहीं। लेकिन यह डिफ़ॉल्ट इंफ्रास्ट्रक्चर से हटकर विशेष, कॉलैटरलाइज्ड प्लंबिंग के रूप में कम हो जाएगी।
ट्रेडर का दृष्टिकोण
यह किसी भी टोकन की कीमत कहाँ जाएगी, इस बारे में नहीं है। यह आपके पैसे कहाँ हैं, इस बारे में है। "ब्रिज कॉन्ट्रैक्ट के अंदर मौजूद संपत्तियों" को एक अलग जोखिम श्रेणी के रूप में मानें — प्रोटोकॉल से अलग। जहाँ तरलता की अनुमति हो, तो वrapped और ब्रिज किए गए संस्करणों के बजाय नेटिव या सीधे जारी की गई संपत्तियों को प्राथमिकता दें, क्योंकि वrapped टोकन उस ब्रिज की सॉल्वेंसी को विरासत में लेता है जिसने इसे मिंट किया था। ऐसे प्रोजेक्ट्स पर नज़र रखें जो रियल-टाइम रिज़र्व प्रूफ़ पोस्ट करते हैं या तीसरे पक्ष के बीमा का समर्थन करते हैं; वे ही ब्रिज को एक स्मार्ट कॉन्ट्रैक्ट के बजाय बैंक की तरह मानते हैं। और ऑथियो द्वारा एक यादृच्छिक वॉलेट को "उपहार" देने का उल्लेख करें: यह एक अट्रिब्यूशन अटैक है, जो कानून प्रवर्तन को धीमा करने और प्लेजिबल डेनेबिलिटी बनाने के लिए डिज़ाइन किया गया है। इसी तरह के और हमलों की उम्मीद करें।
बिल आ गया
अगला नौ-अंकों का क्रिप्टो हैक शायद निजी कुंजी की गलती या फ्लैश-लोन ऑरेकल हेरफेर नहीं होगा। यह किसी द्वारा ब्रिज के मिंट फंक्शन के जरिए एक अरब डॉलर के IOUs बनाने और रिजर्व खाली होने से पहले भाग जाने का मामला होगा। असहज सच यह है कि पांच सालों से "ऑडिट, ऑडिट, ऑडिट" की बातें हो रही हैं, लेकिन छेद बंद नहीं हुआ — क्योंकि छेद कोड में नहीं है। यह अवधारणा में है। हमने यह मानकर कि एक मिंटिंग मशीन को पर्याप्त टेस्ट कवरेज से सुरक्षित किया जा सकता है, एक पूरी मल्टीचेन अर्थव्यवस्था बना दी थी। अक्टूबर 2026 वह समय था जब बिल आया। केवल सवाल यह है कि क्या उद्योग अगला बिल आने से पहले इस बिल को पढ़ता है।
FAQ
"इन्फिनिमिंट" ब्रिज एक्सप्लॉइट क्या है? यह एक हमला है जहां कोई एक चेन पर बिना किसी बैकिंग वाले असीमित टोकन मिनट करता है और उन्हें वास्तविक संपत्ति के रूप में ब्रिज करके बाहर निकालता है। यह शब्द ऑन-चेन विश्लेषक स्पीक द्वारा इनिशिया हैक के वर्णन से आया है: हमलाकार ने "बिना किसी बैकिंग के इनिशिया पर ब्रिज करने योग्य टोकन बनाए और उन्हें वापस ब्रिज करके बाहर निकाल दिया, जिससे ब्रिज कॉन्ट्रैक्ट से धन निकाल लिया गया।"
क्रॉस-चेन ब्रिज बार-बार क्यों हैक होते हैं? जब कोई संपत्ति लॉक होती है तो एक ब्रिज को हमेशा एक रसीद टोकन मिनट करना होता है। यदि कोई हमलाकार उस लॉजिक को तोड़ देता है जो उस मिनट की रक्षा करता है, तो वे जमा के बिना रसीदें बना सकते हैं और वास्तविक कोलैटरल को रिडीम कर सकते हैं। यह केवल एक सुरक्षा बग नहीं, बल्कि एक सॉल्वेंसी विफलता है — और यह ब्रिज के काम करने के तरीके में निहित है।
क्या ऑडिट ब्रिज हैक्स को रोकते हैं? नहीं, यह विश्वसनीय रूप से नहीं। ऑथियो का अक्टूबर 2026 के एक्सप्लॉइट से पहले हॉल्बॉर्न, सर्टिक्यू, और अवेलार लैब्स द्वारा ऑडिट किया गया था, और फिर भी इसकी संपत्ति खाली कर दी गई। ऑडिट समीक्षित कोड में ज्ञात बग पैटर्न को पकड़ते हैं; वे संरचनात्मक रूप से अस्थिर मॉडल को ठीक नहीं करते हैं या वर्चुअल मशीन के कैशिंग लेयर में बग को नहीं पकड़ते।
क्या मेरी ब्रिज की गई संपत्तियां सुरक्षित हैं? कोई भी टोकन जो ब्रिज के पार गया है, उसमें उस ब्रिज की सॉल्वेंसी जोखिम होती है। नेटिव संपत्तियों में यह नहीं होती है। जहाँ संभव हो, वrapped या ब्रिज किए गए संस्करणों के बजाय नेटिव या सीधे जारी की गई संपत्तियों को प्राथमिकता दें, और उन परियोजनाओं को प्राथमिकता दें जो रियल-टाइम रेजर्व प्रूफ प्रकाशित करते हैं।
इसकी वास्तविक समाधान क्या है? नेटिव आउटपुट, इंटेंट-आधारित सेटलमेंट, और कॉलैटरलाइज्ड या इंश्योर्ड ब्रिज — साथ ही ब्रिज ऑपरेटरों को फाइनेंशियल इंटरमीडियरी के रूप में देखना, जो रेजर्व एटेस्टेशन के अधीन हैं। दीर्घकालिक समाधान बेहतर ब्रिज नहीं, बल्कि कम चीजों को ब्रिज करना है।