क्रिप्टो अधिक बार, कम नहीं, हैक हो रहा है। लिक्विड नेटवर्क ड्रेन वास्तविक समस्या दिखाता है: $1.5 million को $5 billion की संपत्तियों की सुरक्षा के लिए खर्च किया गया।
# क्रिप्टो बार-बार हैक क्यों होता है — $1.5M से $5 बिलियन की सुरक्षा
मुख्य निष्कर्ष
- क्रिप्टो को अधिक बार हैक किया जा रहा है, कम नहीं: लगभग $1.4 बिलियन 250 हमलों में 2026 में चोरी हुए, जबकि $2.7 बिलियन 146 में 2025 में — औसत लूट छोटी, लेकिन आवृत्ति बहुत अधिक।
- [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) हैक ने नीचे छिपे खराब प्रोत्साहन को उजागर किया: $1.5 मिलियन का सुरक्षा बजट $5 बिलियन की संपत्ति की रक्षा कर रहा था — 0.03% खर्च।
- स्वयं-घोषित "व्हाइट हैट" ने 3,400 BTC वापस किए और 598.5 BTC (~$47 मिलियन) को स्वयं-नियुक्त इनाम के रूप में रखा — लगभग पूरे सुरक्षा बजट का 30 गुना।
- समझौता की गई कुंजियाँ और सामाजिक इंजीनियरिंग — स्मार्ट-कॉन्ट्रैक्ट बग नहीं — ने कोड एक्सप्लॉइट्स को पीछे छोड़ दिया, जो इस वर्ष डॉलर मूल्य के हिसाब से DeFi नुकसान का प्रमुख कारण बन गए।
- टिकाऊ सबक: सुरक्षा जोखिम अब एक प्रथम-स्तरीय, मूल्य निर्धारित इनपुट है, और जीवित रहने वाले वे प्रोटोकॉल होंगे जो सुरक्षा को एक कोर प्रोडक्ट की तरह वित्तपोषित करेंगे, न कि एक बाद में सोची गई चीज़ के रूप में।
6 सितंबर 2026 को, किसी ने लगभग 4,000 बिटकॉइन — लगभग $320 मिलियन — ले जाया, जो फेडरेशन वॉलेट से जो लिक्विड, ब्लॉकस्ट्रीम का बिटकॉइन साइडचेन का समर्थन करता है। यह एक चोरी की गई कुंजी नहीं थी। 11-ऑफ़-15 मल्टीसिग बरकरार रहा, और peg-out अधिकृत कुंजियों को कभी नहीं छुआ गया। एक अजनबी ने Elements में एक दोष पाया, जो ओपन-सोर्स कोडबेस है जिस पर लिक्विड चलता है, L-BTC बनाया जो कोई वास्तविक बिटकॉइन द्वारा समर्थित नहीं था, और इसे सामान्य ग्राहक की तरह सामने के दरवाज़े से रिडीम कर दिया। reserves 4,200 BTC से घटकर 197 BTC हो गए, लगभग 23 मिनट में।
फिर अजीब हिस्सा आया। हमलावर भागा नहीं। उन्होंने एक बिटकॉइन लेनदेन में "we are whitehats. contact us on chain" लिखा और सार्वजनिक रूप से $320 मिलियन की वापसी के लिए बातचीत शुरू की, एक OP_RETURN संदेश एक समय में। एक दिन बाद उन्होंने 3,400 BTC वापस किए — लूट का 85% — और 598.5 BTC रखे, लगभग $47 मिलियन, एक स्व-नियुक्त इनाम के रूप में।
यह वह संख्या है जो हर संस्थापक, ट्रेडर, और LP को चौकन्ना कर देनी चाहिए: 9 सितंबर को, हमलावर ने दुनिया को बताया कि Blockstream ने केवल $1.5 मिलियन आवंटित किए थे $5 बिलियन की संपत्ति को सुरक्षित करने के लिए। "आपका कर्तव्य त्याग स्पष्ट है," उन्होंने लिखा, बाकी को रखने की धमकी देते हुए जब तक कि Blockstream 10% इनाम का भुगतान न करे।
वह अनुपात 2026 में क्रिप्टो सुरक्षा की पूरी कहानी है। तकनीकी विफलता नहीं। एक प्रोत्साहन विफलता। यदि आप समझना चाहते हैं कि क्रिप्टो बार-बार हैक क्यों होता है, तो स्मार्ट-कॉन्ट्रैक्ट पोस्ट-मॉर्टम पढ़ना बंद करें और बजट स्प्रेडशीट पढ़ना शुरू करें।
## हमला सतह कोड से लोगों की ओर क्यों चली गई?
दशक भर से, उद्योग ने सुरक्षा को कोड-समीक्षा समस्या के रूप में माना: अधिक ऑडिटर, अधिक औपचारिक सत्यापन, और री-एंट्रेंसी और ओवरफ्लो के लिए अधिक बग बाउंटियाँ। हमलावरों ने बस स्टैक में ऊपर की ओर हलचल मचाई। 2026 में, डोलर मूल्य के आधार पर, डीफाई नुकसानों का प्रमुख कारण स्मार्ट-कंट्रैक्ट एक्सप्लॉइट्स की तुलना में कम्प्रोमाइज़्ड-की हमले बन गए — क्योंकि अब असुरक्षित मूल्य वहीं स्थित है।
साल की सबसे बड़ी एकल चोरी पर नज़र डालें। अप्रैल में, [ड्रिफ्ट प्रोटोकॉल](https://drift.trade), सोलाना का सबसे बड़ा परपेचुअल्स एक्सचेंज, लगभग $285 मिलियन खो बैठा। यह कोई बग नहीं था। यह उत्तर कोरियाई खुफिया विभाग की छह महीने की एक ऑपरेशन थी (जिसे UNC4736, या AppleJeus के रूप में ट्रैक किया गया)। ऑपरेटिव्स ने एक क्वांटिटेटिव ट्रेडिंग फर्म का रूप धारण किया, कई देशों में सम्मेलनों में योगदानकर्ताओं से व्यक्तिगत रूप से मिले, और विश्वसनीयता बनाने के लिए $1 मिलियन से अधिक की अपनी पूंजी जमा की। फिर उन्होंने दो योगदानकर्ताओं को लक्षित किया — एक को एक दुर्भावनापूर्ण कोड रिपॉज़िटरी के माध्यम से, और दूसरे को एक नकली TestFlight वॉलेट ऐप के माध्यम से, जिसने VSCode और Cursor में मौन-कोड-एग्ज़ीक्यूशन की कमज़ोरी का फायदा उठाया। ड्रिफ्ट के अनुबंधों की समीक्षा 2022 में ट्रेल ऑफ बिट्स द्वारा की गई थी। साफ़ ऑडिट, और 2-of-5 मल्टीसिग के माध्यम से, जिसमें शून्य टाइमलॉक था, बारह मिनटों में खाली कर दिया गया।
वही पैटर्न, अलग दिन: KelpDAO को लगभग $292 मिलियन का नुकसान हुआ जब एक हमलावर ने इसके एकल विश्वसनीय सत्यापक को गलत डेटा दिया। Tectonic को पतला कॉलैटरल और एक पंप-एंड-डंप ऑरैकल के कारण लगभग $75 मिलियन का नुकसान हुआ। Coldcard को फर्मवेयर रैंडम-नंबर बग के कारण $115–130 मिलियन का नुकसान हुआ। इनमें से कोई भी चतुराई भरा ज़ीरो-डे नहीं था। ये विश्वास के एकल बिंदु थे, जिनकी रक्षा-में-गहराई (defense-in-depth) से वंचितता थी।
आवृत्ति ही संकेत है। $1.4 billion across 250 attacks in 2026, versus $2.7 billion across 146 in 2025. कम डॉलर, कहीं अधिक घटनाएं — औसत डकैती छोटी, तेज और तेजी से स्वचालित होती जा रही है। Bridges and cross-chain infrastructure अब 26 attacks (कुल का 10% से अधिक) के लिए जिम्मेदार हैं, versus just 3 in 2025. यह चोरी का पेशेवरकरण है: पारिस्थितिकी तंत्र के कम वित्तपोषित किनारों पर खेती करने वाले अर्ध-स्वचालित हमलावरों की एक लंबी पूंछ।
## जब एक "white hat" $47 मिलियन रखता है तो कौन जीतता है?
Ledger CTO Charles Guillemet ने Liquid एपिसोड को "more like extortion than white-hat hacking." कहा। वह विधि के बारे में सही हैं — पहले ड्रेन करें, बाद में बातचीत करें यह जबरन वसूली है, जिम्मेदार प्रकटीकरण नहीं। लेकिन असहज हिस्सा संख्या है। एक कमजोरी जो $320 मिलियन को 23 मिनट में निकाल सकती है, वह किसी भी गंभीर बाउंटी मानक के अनुसार मिलियनों के लायक है। यह केवल इसलिए एक कांड जैसा पढ़ता है क्योंकि Blockstream ने जोखिम की कीमत कभी नहीं लगाई। हमलावर ने उनके लिए कीमत तय कर दी — और, उल्टा, बाजार चुपचाप सहमत हो रहा है।
जीतने वाले नाम करने में आसान हैं। सुरक्षा शोधकर्ताओं ने वर्षों तक वास्तविक बounties के लिए विनती की थी, और अब उन्हें कल्पना की जा सकने वाली सबसे मजबूत भर्ती प्रस्ताव मिला है: यह जीवित प्रमाण कि बड़ी खोज करने के लाभ अत्यधिक हैं। ऑडिटर्स, बीमा कंपनियां और निगरानी कंपनियां जीतती हैं — उनके सेवाओं की मांग में तेजी से वृद्धि होने वाली है। हमलावर, स्पष्ट रूप से, जीतते हैं।
हारने वाले: L-BTC धारक, जिनके निधियाँ नेटवर्क रुके रहते हुए जमी हुई थीं, एक साइडचेन पर भरोसा करते हुए जिसके संचालकों ने इसकी सुरक्षा के लिए जोखिम में मूल्य का 0.03% खर्च किया। और Blockstream की प्रतिष्ठा सबसे गहरा घाव उठाती है — यह कोई छोटी स्टार्टअप नहीं थी, यह इस क्षेत्र में सबसे Bitcoin-गंभीर कंपनी है, और फिर भी उसने सुरक्षा को क्रमशः कम फंड किया।
## क्या यह पहले हुआ था — या यह नया है?
हैकर्स द्वारा चुराए गए धन को वापस करने का एक लंबा इतिहास रहा है: 2021 में पॉली नेटवर्क ($610 मिलियन, सब वापस), 2023 में यूलर ($197 मिलियन, ज्यादातर वापस)। लेकिन वे चोर थे जो पकड़े गए और उन्होंने पुनर्स्थापन चुना। लिक्विड के बारे में अलग बात यह है: हमलावर ने चोरी का पता चलने से पहले ही खुद को व्हाइट हैट घोषित कर दिया, फिर वापस किए गए धन का उपयोग सार्वजनिक रियायत निकालने के लिए लाभ के रूप में किया।
यह एक नई श्रेणी है — इसे डिस्क्लोजर फॉर्म वाला रैंसमवेयर कहें। और यह केवल इसलिए काम करता है क्योंकि एक गहरी, पुरानी समस्या है: क्रिप्टो के सुरक्षा बजट जोखिम में मूल्य के सापेक्ष घोर गलत तरीके से आवंटित हैं। लिक्विड घटना केवल पहली बार है जब एक हमलावर ने सार्वजनिक रूप से किसी प्रोजेक्ट के सुरक्षा बजट को अपराध के तर्क के रूप में हथियार बनाया। यह एक विकृत तरीके से परिपक्वता का संकेत है — हमलावर अब कई संस्थापकों की तुलना में क्रिप्टो के अर्थशास्त्र को बेहतर समझते हैं।
## अगले तीन वर्षों में यह कहाँ जा रहा है?
तीन भविष्यवाणियाँ, उनमें से कोई भी कीमतों के बारे में नहीं। पहला, सुरक्षा खर्च पेशेवर बनेगा या प्रोटोकॉल की खेती की जाएगी। $1.5-मिलियन-से-$5-बिलियन का अनुपात अस्वीकार्य है और अब सार्वजनिक है; गंभीर प्रोजेक्ट्स से अपेक्षा करें कि वे TVL के सिंगल-डिजिट बेसिस पॉइंट्स को सुरक्षा के लिए आवंटित करने पर सहमत हों, न्यूनतम, और बाकी को पूरी तरह से साफ होने की अपेक्षा करें।
दूसरा, "बंदूक वाला व्हाइट हैट" परिदृश्य की एक मान्यता प्राप्त — भले ही बदसूरत — विशेषता बन जाएगा। चाहे नियामक इसे जबरन वसूली कहें या अदालतें इसे चोरी कहें, प्रोत्साहन तय हैं: एक अजनबी ने एक महत्वपूर्ण बग ढूंढा और उसे पीड़ित के पूरे सुरक्षा बजट का 30 गुना भुगतान किया। यह फिर से होगा, क्योंकि बाजार पुरस्कार को वित्त पोषित करता रहता है।
तीसरा, बीमा और सत्यापन खाई बन जाएंगे। 2026-2027 की छंटनी से बचने वाले प्रोटोकॉल वे नहीं होंगे जिनके पास सबसे चतुर अनुबंध हैं; वे होंगे जिनके पास वास्तविक सुरक्षा टीमें, वास्तविक बाउंटी, टाइमलॉक और कवर हैं। DeFi उबाऊ होने वाला है — और उबाऊ वही है जिसका संस्थान इंतजार कर रहे हैं।
## ट्रेडर्स के लिए इसका क्या मतलब है?
सुरक्षा जोखिम को प्रथम-क्रम, मूल्य-निर्धारण योग्य इनपुट के रूप में लें — ठीक उसी तरह जैसे आप तरलता या नियामक जोखिम को लेते हैं, न कि एक फुटनोट के रूप में। "हैक डिस्काउंट" वास्तविक और संचयी है: टेक्टोनिक का TVL इसके शोषण के बाद $121.7 मिलियन से गिरकर लगभग $3 मिलियन हो गया। जब कोई प्रोटोकॉल हैक होता है, तो तरलता वापस नहीं आती। विषमता क्रूर है — आपको सिंगल-वेरिफायर ब्रिज या अनऑडिटेड लेंडिंग मार्केट में पूंजी पार्क करने के टेल जोखिम के लिए मुआवजा नहीं दिया जा रहा है।
एकाग्रता छिपा हुआ सहसंबंध है। L-BTC, फेडरेटेड साइडचेन, और सिंगल-वेरिफायर ब्रिज "बिटकॉइन" या "ETH" एक्सपोजर जैसे दिखते हैं, लेकिन वे एक सॉफ्टवेयर और काउंटरपार्टी जोखिम रखते हैं जो बेस एसेट में नहीं होता। बेस चेन हैक नहीं हुई थी; रैपर था। यदि आपका थीसिस है "मुझे बिटकॉइन एक्सपोजर चाहिए," तो रैप्ड या साइडचेन संस्करण को रखना चुपचाप वह जोखिम जोड़ता है जिसके लिए आपको भुगतान नहीं किया जा रहा है।
और पिक्स-एंड-शॉवेल्स अवलोकन: वह आवर्ती विषय जो हर हैक चक्र के माध्यम से संयोजित होता है, वह एक टोकन नहीं है — यह सुरक्षा स्टैक है। ऑडिटर, बीमाकर्ता, निगरानी फर्म, और वे प्रोटोकॉल जो सुरक्षा को ठीक से वित्त पोषित करते हैं, वही हैं जहां टिकाऊ मूल्य जमा होता है। कोई सिफारिश नहीं; बस एक नोट कि उद्योग का वास्तव में दुर्लभ संसाधन अब कहां स्थित है: विश्वास।
## बिल हमेशा चुकाना पड़ता है
Blockstream शायद L-BTC धारकों को पूरी तरह से पुनःस्थापित करेगा — Adam Back ने कहा कि peg 1:1 कवर किया जाएगा। अंत में, पैसा अधिकांशतः वापस आएगा। लेकिन यह सबक अन‑प्रिंट नहीं होगा: एक उद्योग जिसने मार्केटिंग और टोकन लॉन्च के लिए अरबों जुटाए, $1.5 million खर्च करके $5 billion की सुरक्षा की — और एक अजनबी को टेक्स्ट एडिटर के साथ इसे गणित दिखाना पड़ा, बंदूक की नज़र में, 30x बजट के लिए।
अगली बार जब कोई पूछे कि क्रिप्टो बार-बार हैक क्यों होता है, तो उन्हें पोस्ट-मॉर्टम न दिखाएं। उन्हें स्प्रेडशीट दिखाएं।
## अक्सर पूछे जाने वाले प्रश्न
2026 में क्रिप्टो बार-बार हैक क्यों होता है?
हानियों का प्रमुख कारण स्मार्ट-कंट्रैट बगों से बदलकर संकटग्रस्त कुंजियों, एकल सत्यापकों और सामाजिक इंजीनियरिंग की ओर खिसक गया है। हमलावरों ने मानव और बुनियादी ढांचे की परतों तक ऊपर चढ़कर हमला किया, क्योंकि वही वह जगह है जहाँ मूल्य असुरक्षित रूप से मौजूद है।
क्या Liquid Network का "व्हाइट हैट" एक वास्तविक व्हाइट हैट था?
विवादित। हमलावर ने 85% धन लौटाया, लेकिन लगभग $47 मिलियन रख लिया और 10% बोनस के बिना इसे रखने की धमकी दी — जिसे Ledger के CTO Charles Guillemet और अन्य लोगों ने "व्हाइट-हैट हैकिंग से अधिक ब्लैकमेल" कहा।
Blockstream ने सुरक्षा पर कितना खर्च किया?
हमलावर ने खुलासा किया कि Blockstream ने लगभग $1.5 मिलियन आवंटित किए Liquid पर लगभग $5 बिलियन की संपत्ति सुरक्षित करने के लिए — लगभग 0.03%।
क्या Liquid हैक ने Bitcoin को ही प्रभावित किया?
नहीं। बिटकॉइन की बेस लेयर अछूती रही। बग एलिमेंट्स में था, जो लिक्विड साइडचेन को पावर करने वाला सॉफ्टवेयर है, और पेग के आसपास के फेडरेटेड इंफ्रास्ट्रक्चर में। कोई मल्टीसिग कुंजी समझौता नहीं की गई थी।
DeFi उपयोगकर्ताओं के लिए एकमात्र सबसे महत्वपूर्ण सबक क्या है?
सुरक्षा अब एक मूल्य-निर्धारण योग्य, प्रथम-क्रम का जोखिम है। सिंगल-वेरिफायर ब्रिज, फेडरेटेड साइडचेन, या अनऑडिटेड प्रोटोकॉल में धन केंद्रित करना टेल रिस्क जोड़ता है जिसकी आपको भरपाई नहीं की जाती — और हैक किए गए प्रोटोकॉल शायद ही कभी अपनी लिक्विडिटी पुनर्प्राप्त करते हैं।