कीमत में हेरफेर करने वाले हमले क्रिप्टो लेंडिंग प्रोटोकॉल पर 32 2026 में September 2 तक हिट हुए, लगभग 2025 का तीन गुना। खेल कभी नहीं बदलता: एक अप्रचलित टोकन को पंप करें, वास्तविक संपत्ति के खिलाफ उधार लें, दूर चले जाएं।
विस्तारित विचारधारा
- 2 अक्टूबर 2026 तक, क्रिप्टो लेंडिंग प्रोटोकॉल पर की मैन्युपुलेशन अटैक 32 तक पहुंच गए, जो 2025 में कुल 12 थे, ब्लॉकचेन इंटेलिजेंस फर्म TRM Labs के अनुसार।
- यह खेल कभी नहीं बदलता: एक टोकन को पंप करें जिस पर कोई ट्रेड नहीं करता, उस पर वास्तविक संपत्ति को ऋण के रूप में लें, और चले जाएं, प्रोटोकॉल को बेकार की कोलैटरल छोड़कर।
- DeFi ऋण कुल मिलाकर लगभग 50 अरब डॉलर के टोटल वैल्यू लॉक्ड तक बढ़ गया है, लेकिन इसकी कोलैटरल मानक पैसे के साथ नहीं बढ़े हैं।
- Tectonic ने लगभग 70 मिलियन डॉलर खो दिए, और Cronos चेन ने नुकसान को उलटने के लिए खुद को पीछे की ओर रीवुंड किया, यह एक शांत स्वीकृति थी कि 'कोड ही कानून है' हमेशा से समझौता करने योग्य था।
- असली समाधान बोरिंग, केंद्रीकृत जोखिम प्रबंधन है, बिल्कुल वही चीज जिसे DeFi के शुद्धवादी बनने से मना करते हैं।
DeFi का ऋण व्यवसाय 2008 जैसी स्थिति से गुजर रहा है, और लगभग कोई भी इसे नाम नहीं दे रहा है। 2026 के पहले आठ महीनों में, हमलावरों ने क्रिप्टो ऋण प्रोटोकॉल के खिलाफ 32 मूल्य हेरफेर हमले किए, जो रिकॉर्ड पर किसी भी पूर्ण वर्ष से अधिक हैं और 2025 में दर्ज 12 हमलों से लगभग तीन गुना हैं। चाल शर्मनाक रूप से सरल है: एक ऐसे सिक्के की कीमत बढ़ाएं जो बहुत कम ट्रेड होता है, उसके खिलाफ वास्तविक धन उधार लें, और फिर गायब हो जाएं।
50 अरब डॉलर के बाजार को एक पुरानी चाल से क्यों तोड़ा जा रहा है?
क्योंकि उद्योग ने जोखिम नियंत्रणों को स्केल किए बिना पैसे को स्केल किया। पिछले दो वर्षों में, क्रिप्टो लेंडिंग में लॉक किया गया कुल मूल्य लगभग 56 प्रतिशत बढ़कर लगभग 50 बिलियन डॉलर हो गया, 570 से अधिक प्रोटोकॉल में फैला हुआ है, जिसमें बकाया ऋण लगभग 2.9 बिलियन डॉलर हैं। यह वृद्धि सुरक्षित संपार्श्विक से नहीं आई। यह अधिक संपार्श्विक की सूचीबद्धी से आई, और हर नया लॉन्ग-टेल टोकन एक नया हमला सतह है।
TRM Labs अब कीमत के दुरुपयोग को सभी क्रिप्टो हैक्स का लगभग आठ में से एक मानती है, जो 2022 में सोलह में से एक था। हमला करने का तरीका बढ़ रहा है, जबकि उद्योग की परिपक्वता नहीं बढ़ी है।
हमला कैसे काम करता है, सरल भाषा में
एक हमलावर कम तरलता वाले टोकन को चुनता है, एक ऐसा टोकन जिसका वास्तविक बाजार मूल्य होता है लेकिन केवल कुछ ही ट्रेड्स उसे सपोर्ट करते हैं। वह उस मूल्य को बढ़ाता है, या जब संभव हो तो प्रोटोकॉल को मूल्य रिपोर्ट करने वाले ऑरैकल को मैनिपुलेट करता है। फिर वह उस बढ़ाए गए टोकन को कॉलैटरल के रूप में जमा करता है और उसके विरुद्ध स्टेबलकॉइन्स या इथर उधार लेता है। जैसे ही मूल्य वास्तविकता की ओर वापस गिरता है, कॉलैटरल का मूल्य लोन का एक छोटा हिस्सा रह जाता है। प्रोटोकॉल ऐसे बैग को संभालने पर मजबूर हो जाता है जिसे वह बेच नहीं सकता, और ऋण खराब हो जाता है।
यह कोई बग नहीं है। यह एक व्यापार मॉडल है जो एक बुनियादी सवाल पूछने में विफल रहा है, जिसे बैंकों ने बहुत पहले सीख लिया था: क्या यह सहारा वास्तव में उसी मूल्य का है जो प्राइस फ़ीड बता रहा है?
जब लेंडिंग टूट जाती है, तो कौन जीतता है और कौन हारता है?
सबसे स्पष्ट हारने वाले वे लोग हैं जिन्होंने प्रभावित पूल में पैसा जमा किया था। जब कोई प्रोटोकॉल खराब ऋण पर हानि का सामना करता है, तो उन हानियों को डिपॉजिटर के बीच बांटा जाता है, न कि हमलावर द्वारा अवशोषित किया जाता है। सितंबर 2026 में, Cronos चेन पर सबसे बड़ा लेंडिंग प्रोटोकॉल Tectonic ने अपने TONIC टोकन के हेरफेर के कारण लगभग 70 मिलियन डॉलर की हानि झेली। Cronos ने चेन को रोक दिया और हमले से पहले की स्थिति को पुनर्स्थापित किया, जिससे लीडर को पीछे की ओर घुमा दिया गया।
यह रोलबैक कहानी के अंदर छिपी कहानी है। एक विकेंद्रीकृत ब्लॉकचेन, 70 मिलियन डॉलर की चोरी का सामना करते हुए, सबसे अधिक केंद्रीकृत चीज की: यह 'अंडू' दबाव। यह काम किया, और हमलावर ने अंततः केवल लगभग 6 मिलियन डॉलर ही निकाला। लेकिन इसने रिकॉर्ड पर भी साबित किया कि फाइनलिटी और अम्यूटेबिलिटी मार्केटिंग शब्द हैं, भौतिक नियम नहीं। जब संख्या काफी बड़ी हो जाती है, तो कुंजियों वाले किसी व्यक्ति के पास रास्ता निकल आता है।
विजेता वे सुरक्षा फर्म और जोखिम विशेषज्ञ हैं जो इस प्रकार के हमले का सटीक ऑडिट, निगरानी और एट्रिब्यूशन करने के लिए भुगतान प्राप्त करते हैं। वास्तव में संरक्षित कॉलैटरल पैरामीटर वाले प्रोटोकॉल, जो कुल लॉक्ड वैल्यू का पीछा करने के लिए नवीनतम मेम टोकन को सूचीबद्ध करने से इनकार करते हैं, धीरे-धीरे विश्वास को केंद्रित करते हैं। Tectonic जैसी हर हेडलाइन जमा राशि को सावधानी बरतने वालों की ओर मोड़ती है।
क्या हमने यह फिल्म पहले नहीं देखी है?
हाँ, दो बार। 2020 में, फ्लैश लोन अटैक किसी को भी एक ही लेनदेन के लिए असीमित धनराशि उधार लेने और कीमतों को तुरंत प्रभावित करने की अनुमति देते थे। उद्योग का जवाब बेहतर ऑरैकल्स थे: टाइम-वेटेड एवरेज प्राइसेज और डिसेंट्रलाइज्ड फीड्स, जिनसे तुरंत हेरफेर करना मुश्किल हो गया। यह कुछ समय के लिए काम किया।
अब हमला एक धीमी, सूक्ष्म रूप में बदल गया है। फ्लैश-बोरोइंग के बजाय, हमलावर केवल इतना चुनते हैं कि सहारा इतना अतरल हो कि सही कीमत भी काल्पनिक हो जाए। यह 2008 के वित्तीय संकट का क्रिप्टो पुनरावृत्ति है, जहाँ बैंकों ने उन घरों के सहारे ऋण दिए जिनकी कीमत किसी ने सत्यापित नहीं की थी और ऋणी ने प्रभावी रूप से शर्तें तय की थीं। 2008 के बाद बैंकों द्वारा सीखी गई कठोर और बोरिंग सीख यह थी: सहारे की गुणवत्ता, सहारे की मात्रा से अधिक महत्वपूर्ण है। DeFi ने इसे सीखने से मना कर दिया है, क्योंकि तरल, सत्यापित सहारे की आवश्यकता उस कुल-वैल्यू-लॉकड विकास को धीमा कर देगी, जिस पर सभी प्रतिस्पर्धा करते हैं।
नाम बदलते रहते हैं लेकिन घाव एक ही है। Moonwell को एक मैन्युपुलेटेड ऑरकल से लगभग 8.7 मिलियन डॉलर का नुकसान हुआ। Notional Finance को 1.7 मिलियन डॉलर का नुकसान हुआ जब एक हमलावर ने न्यूमेरिक ओवरफ्लो का उपयोग करके एक नकारात्मक दायित्व को शून्य के रूप में पढ़वाया। Injective को एक निष्क्रिय ऑरकल के माध्यम से 4.9 मिलियन डॉलर का नुकसान हुआ जो अभी भी पंजीकृत था। Sui पर, Full Sail प्रोटोकॉल पूरी तरह से बंद हो गया जब एक हमलावर ने ऑरकल को नियंत्रित करके बाजार मूल्य के एक सौवें हिस्से तक कीमतें धकेल दीं, नकली कीमत पर जमा किया, फिर उसे बहाल किया और जो उन्होंने डाला उससे अधिक निकासी की। वही हड्डी ढांचा, अलग खोल।
अगले तीन वर्षों में यह किस दिशा में जाएगा?
सहारा मानक औपचारिक होंगे, क्योंकि वैकल्पिक विकल्प विलुप्ति है। ऑन-चेन जोखिम पैरामीटर, न्यूनतम तरलता सीमाएँ, लॉन्ग-टेल संपत्तियों पर उधार सीमाएँ और सर्किट ब्रेकर को मानक बनने की उम्मीद है, जो मार्केटिंग वादे के बजाय कोड द्वारा लागू होंगे। बुरे ऋण नीलामी, जहाँ प्रोटोकॉल विषैले सहारे को किसी भी बोली लगाने वाले को बेचते हैं, नियमित कार्यवाही बन जाएंगी, आपातकालीन स्थिति नहीं।
कठिन सवाल शासन का है। Cronos ने एक पूर्व-उदाहरण स्थापित किया है कि एक चेन चोरी को रद्द करने के लिए खुद को पीछे की ओर घुमा सकती है। यह शक्ति उपयोग में नहीं आएगी। तीन वर्षों के भीतर, अधिक चेन औपचारिक आपातकालीन तंत्र विकसित करेंगी, और यह लड़ाई कि कौन रीवेंड कुंजी रखता है, क्रिप्टो में एक प्रमुख शासन संघर्ष बन जाएगी। विकेंद्रीकृत और सुरक्षित के बीच अंतर बढ़ रहा है, और अधिकांश प्रोटोकॉल सुरक्षित विकल्प चुनेंगे।
ट्रेडर का दृष्टिकोण
इनमें से कोई भी मूल्य का अनुमान नहीं है, बल्कि यह एक फ़िल्टर है। जब आप एक लेंडिंग प्रोटोकॉल का मूल्यांकन करते हैं, तो कुल लॉक्ड वैल्यू (TVL) के विकास को देखना बंद करें और देखें कि यह किस प्रकार के कॉलैटरल को स्वीकार करता है। विदेशी, कम-तरलता वाले कॉलैटरल की एक लंबी सूची कोई विशेषता नहीं है; यह एक चेतावनी का संकेत है। संरक्षित कॉलैटरल व्हाइटलिस्ट, प्रकट किए गए जोखिम पैरामीटर, और गर्म टोकन का पीछा करने से मना करने का रिकॉर्ड ही वास्तविक सुरक्षात्मक खाई (moat) है।
किसी भी व्यक्ति के लिए जो छोटी-मार्केट कैप वाली संपत्ति को धारण कर रहा है, पाठ अधिक स्पष्ट है: आपका टोकन केवल एक निवेश नहीं है, यह एक संभावित हथियार है। पतली तरलता ही वह गुण है जो इस प्रकार के हमलावरों के लिए संपत्ति को आकर्षक बनाती है। वही गुण जो एक टोकन को एक दिन में 10x बढ़ने देता है, वही गुण किसी को नकली कीमत के खिलाफ वास्तविक धन उधार लेने की अनुमति देता है। यदि वह चीज जिसे आप धारण कर रहे हैं, कुछ हजार डॉलर के वॉल्यूम से हिल सकती है, तो समझें कि इसे एक लेंडिंग पूल के खिलाफ हथियार के रूप में भी इस्तेमाल किया जा सकता है, और इसका प्रभाव आम जमाकर्ताओं पर पड़ता है, न कि हमलावर पर।
यह DeFi का वह असहज सच है जिसे वह स्वीकार नहीं करना चाहता: कीमत के हेरफेर के हमलों का समाधान कोई और स्मार्ट-कॉन्ट्रैक्ट ऑडिट नहीं है। ऑडिट कोड में बग की जांच करते हैं। ये हमले ऐसे कोड का उपयोग करते हैं जो बिल्कुल वैसे ही काम करता है जैसा लिखा गया है। असली समाधान केंद्रीकृत जोखिम प्रबंधन है: कॉलैटरल व्हाइटलिस्ट, न्यूनतम तरलता, उधार सीमाएं, मानव-द्वारा-अतिरिक्त सर्किट ब्रेकर। यह बैंकिंग की बोरिंग मशीनरी है, और यह वह एकमात्र चीज है जिसके निर्माण के लिए उद्योग की आदर्शवादी सोच उसे रोकती है।
तो यहाँ एक सवाल है जिस पर विचार करने लायक है: अगर एक ब्लॉकचेन 70 मिलियन डॉलर की गलती को रद्द करने के लिए खुद को पीछे की ओर ले जा सकता है, तो निरंतरता (immutability) का वास्तव में क्या अर्थ था, और जब अगली बड़ी एक्सप्लॉइट होती है, तो आप किस पर भरोसा करते हैं कि कौन सी गलतियाँ रद्द की जाएँगी?
FAQ: DeFi में कीमत के हेरफेर के हमले क्या हैं?
वे ऐसे हमले हैं जहाँ कोई कम लिक्विडिटी वाला टोकन की कीमत बढ़ाता है, सीधे या उस ऑरेकल को छेड़छाड़ करके जो इसकी कीमत बताता है, उस टोकन को लेंडिंग प्रोटोकॉल में संपार्श्विक के रूप में जमा करता है, उसके खिलाफ वास्तविक संपत्ति उधार लेता है, और फिर कीमत को गिरने देता है। प्रोटोकॉल ऐसा संपार्श्विक रखे रहता है जिसका मूल्य ऋण से बहुत कम होता है, जिससे जमा करने वालों पर बुरा कर्ज़ बनता है। TRM Labs ने 2026 में 2 सितंबर तक ऐसे 32 हमलों की गिनती की, जबकि 2025 में कुल 12 ऐसे हमले थे।
FAQ: Tectonic हैक के बाद Cronos चेन ने स्वयं को रीवेंड क्यों किया?
टेक्टॉनिक, क्रोनोस का सबसे बड़ा लेंडिंग प्रोटोकॉल, सितंबर 2026 में अपने TONIC टोकन के हेरफेर के कारण लगभग 70 million dollars खो दिया। बजाय हमलावर को फंड रखने देने के, क्रोनोस वैलिडेटर्स ने चेन को रोक दिया और हमले से पहले की स्थिति को बहाल कर दिया, जिससे हमलावर की लूट लगभग 6 million dollars तक सीमित रह गई। यह एक स्पष्ट प्रदर्शन था कि एक विकेंद्रीकृत चेन तब अनडू करेगी जब पर्याप्त पैसा दांव पर लगे।
FAQ: लेंडिंग प्रोटोकॉल प्राइस मैनिपुलेशन अटैक को कैसे रोक सकते हैं?
मुख्य रूप से अधिक कोड ऑडिट के साथ नहीं, क्योंकि ये हमारे डिज़ाइन के अनुसार काम करने वाले कोड का उपयोग करते हैं। प्रभावी नियंत्रण वे बोरिंग, बैंक-जैसे नियंत्रण हैं: केवल गहरी, सत्यापनीय तरलता वाले सहयोगी स्वीकार करें; लॉन्ग-टेल संपत्तियों के खिलाफ कितना उधार लिया जा सकता है, उस पर सीमा लगाएं; मजबूत, टैम्पर-प्रतिरोधी ऑरेकल का उपयोग करें; और सर्किट ब्रेकर बनाएं जो असामान्य मूल्य परिवर्तन के दौरान उधार लेना रोक दें। ये वे जोखिम नियंत्रण हैं जिन्हें उद्योग ने इस कारण से प्रतिरोध किया है क्योंकि ये टोटल-वैल्यू-लॉक्ड (TVL) वृद्धि को धीमा करते हैं।
FAQ: इसका छोटे-बाजार क्रिप्टो संपत्ति रखने वाले व्यक्ति के लिए क्या अर्थ है?
पतली तरलता दोनों तरफ काम करती है। वही गुण एक टोकन को तेजी से बढ़ने देता है, वह इसे ऋण हमले में हेरफेर का शिकार बनाने के लिए आकर्षक भी बनाता है। यदि एक टोकन की कीमत कुछ हजार डॉलर के वॉल्यूम से बदली जा सकती है, तो इसे बढ़ाई गई कीमत के खिलाफ वास्तविक संपत्तियों के लिए उधार लिया जा सकता है, और परिणामी हानियां प्रभावित पूल में साधारण जमाकर्ताओं पर आती हैं, हमलावर पर नहीं। तरलता की गहराई एक मूल्य संकेत के रूप में जितनी ही जोखिम संकेत है।