साल की सबसे बड़ी क्रिप्टो डकैती
18 अप्रैल, 2026 को हमलावरों ने Ethereum नेटवर्क पर बने विकेंद्रीकृत वित्त प्रोटोकॉल KelpDAO से लगभग 29 करोड़ डॉलर मूल्य की क्रिप्टोकरेंसी चुरा ली। यह इस साल की सबसे बड़ी डिजिटल परिसंपत्ति चोरी है। हमले की चपेट में आए क्रॉस-चेन इंफ्रास्ट्रक्चर प्रदाता LayerZero Labs ने शुरुआती तकनीकी संकेतों का हवाला देते हुए इसका श्रेय उत्तर कोरिया के Lazarus Group की विशेष इकाई TraderTraitor को दिया। कंपनी के मुताबिक, संकेत एक बेहद परिष्कृत, राज्य-प्रायोजित अभियान की ओर इशारा करते हैं। यह चोरी उसी खतरा पैदा करने वाले समूह द्वारा Drift Protocol से कथित तौर पर 28.5 करोड़ डॉलर चुराए जाने के कुछ ही हफ्तों बाद हुई है। इससे अप्रैल में उत्तर कोरियाई हैकरों की कुल चोरी 57.5 करोड़ डॉलर से अधिक हो गई है।
विषय-सूची
हमले का निशाना rsETH था। यह KelpDAO द्वारा जारी एक लिक्विड रीस्टेकिंग टोकन है, जो स्टेक किए गए Ethereum का प्रतिनिधित्व करता है और रिटर्न कमाते हुए भी अन्य विकेंद्रीकृत ऐप्लिकेशन में इस्तेमाल किया जा सकता है। क्रॉस-चेन सत्यापन प्रक्रिया की कमजोरियों का फायदा उठाकर चोरों ने 116,500 rsETH टोकन निकाल लिए, जिनकी कीमत लगभग 29.3 करोड़ डॉलर थी। इसके बाद उन्होंने रकम के कुछ हिस्सों को Tornado Cash के जरिए छिपाया। यह क्रिप्टोकरेंसी मिक्सिंग सेवा लेनदेन का पता छिपाने के लिए बनाई गई है। संयुक्त राष्ट्र के एक पैनल का पहले अनुमान रहा है कि उत्तर कोरिया ने 2017 से अब तक 3 अरब डॉलर से अधिक की क्रिप्टोकरेंसी चुराई है। इन अवैध कमाई का इस्तेमाल उसके परमाणु हथियार विकास कार्यक्रम को वित्त देने में किया जाता है।
यह घटना महज एक अलग-थलग आपराधिक वारदात नहीं है। सुरक्षा विश्लेषकों के अनुसार, यह विकेंद्रीकृत वित्त तंत्र के खिलाफ प्योंगयांग के तेज होते अभियान का संकेत है। इससे क्रॉस-चेन ब्रिज और सत्यापन प्रणालियों के काम करने के तरीके में बुनियादी कमजोरियां उजागर हुई हैं। इस चोरी से क्रिप्टोकरेंसी उद्योग में खलबली मच गई। कर्ज देने वाली दिग्गज कंपनी Aave ने बाजारों को फ्रीज कर दिया और प्रभावित प्रोटोकॉल से अरबों डॉलर की निकासी हुई।
क्रॉस-चेन हैक कैसे किया गया
KelpDAO एक लिक्विड रीस्टेकिंग प्रोटोकॉल है, जिसमें उपयोगकर्ता Ethereum जमा करते हैं और बदले में rsETH टोकन पाते हैं। ये डेरिवेटिव टोकन मूल स्टेक की गई परिसंपत्तियों का प्रतिनिधित्व करते हैं और Ethereum के रीस्टेकिंग इंफ्रास्ट्रक्चर EigenLayer के जरिए पुरस्कार कमाते रहते हैं। LayerZero जैसी इंटरऑपरेबिलिटी परतों के माध्यम से rsETH को अलग-अलग ब्लॉकचेन नेटवर्क पर भेजा जा सकता है। इससे लचीलापन बढ़ता है, लेकिन हमले की संभावित गुंजाइश भी बढ़ती है। इसी क्रॉस-चेन सुविधा के जरिए इस साल का सबसे बड़ा क्रिप्टो हैक किया गया।
हमलावरों ने Decentralized Verifier Network यानी DVN को निशाना बनाया। यह अलग-अलग ब्लॉकचेन के बीच संदेशों की पुष्टि करता है। KelpDAO के स्मार्ट कॉन्ट्रैक्ट कोड की खामी का फायदा उठाने के बजाय हैकरों ने सत्यापन प्रक्रिया को सहारा देने वाले इंफ्रास्ट्रक्चर में हेरफेर किया। उन्होंने खास Remote Procedure Call (RPC) नोड्स से छेड़छाड़ की। ये नोड ऐप्लिकेशन को ब्लॉकचेन डेटा पढ़ने देने वाले संचार बिंदु होते हैं। इसके बाद उन्होंने सत्यापन परत में झूठा डेटा डाल दिया।
हमले को तेज करने के लिए खतरा पैदा करने वाले समूह ने वैध RPC नोड्स पर एक साथ वितरित सेवा-अस्वीकार (DDoS) हमले किए। इस हमले से भरोसेमंद डेटा स्रोतों की उपलब्धता घट गई और सिस्टम को उन प्रभावित नोड्स पर निर्भर होना पड़ा जो गलत जानकारी दे रहे थे। संक्षेप में, हमलावरों ने सत्यापन प्रक्रिया को दूषित कर दिया। इससे धोखाधड़ी वाले क्रॉस-चेन संदेश वैध मान लिए गए, जबकि संबंधित लेनदेन वास्तव में ब्लॉकचेन पर हुए ही नहीं थे।
इस धोखे को एक गंभीर कमजोरी ने संभव बनाया। KelpDAO ने अपने क्रॉस-चेन संचालन के लिए एकल-DVN कॉन्फिगरेशन का इस्तेमाल किया था। यानी संदेशों की वैधता की जांच सिर्फ एक सत्यापक करता था, कई स्वतंत्र सत्यापकों की सहमति जरूरी नहीं थी। LayerZero के मुताबिक, इस व्यवस्था ने विफलता का एकल बिंदु बना दिया, जिससे जाली संदेश बिना अतिरिक्त जांच के स्वीकार हो गया। हमलावरों ने DVN को संदेश भेजने के लिए खास तौर पर तैयार किया गया पेलोड इस्तेमाल किया, जिसमें न्यूनतम चेतावनियां थीं। इससे rsETH टोकन को उनके नियंत्रण वाले वॉलेट में अनधिकृत रूप से भेजना संभव हुआ।
LayerZero और KelpDAO ने एक-दूसरे पर लगाए आरोप
चोरी के बाद LayerZero और KelpDAO ने सुरक्षा उल्लंघन की जिम्मेदारी को लेकर सार्वजनिक विवाद किया है। LayerZero का कहना है कि यह घटना पूरी तरह KelpDAO के उस फैसले का नतीजा थी, जिसमें कई स्वतंत्र DVN लागू करने की सिफारिशों के बावजूद एकल-सत्यापक कॉन्फिगरेशन अपनाया गया। कंपनी ने कहा कि उसने पहले KelpDAO को DVN में विविधता लाने के बेहतर तरीकों के बारे में बताया था। LayerZero के मुताबिक, कई सत्यापकों की सहमति जरूरी करने वाला मजबूत कॉन्फिगरेशन इस हमले को नाकाम कर देता।
LayerZero ने RPC स्पूफिंग हमले की तकनीक समझाते हुए विस्तृत तकनीकी पोस्टमॉर्टम जारी किया और कहा कि अलग कॉन्फिगरेशन इस्तेमाल करने वाली अन्य क्रॉस-चेन परिसंपत्तियों या ऐप्लिकेशन तक इसका असर नहीं फैला है। कंपनी ने ऐसी घटनाओं को रोकने के लिए एकल-सत्यापक व्यवस्था पर चलने वाले ऐप्लिकेशन के संदेशों पर हस्ताक्षर करना बंद करने की घोषणा की। LayerZero ने इस हमले के लिए Lazarus Group के एक उपसमूह TraderTraitor को जिम्मेदार बताया, जो क्रिप्टोकरेंसी प्लेटफॉर्म को निशाना बनाने के लिए जाना जाता है।
KelpDAO ने इस दावे को खारिज करते हुए कहा कि वह जनवरी 2024 से LayerZero के इंफ्रास्ट्रक्चर पर काम कर रहा था और LayerZero की टीम के साथ उसके संवाद के खुले माध्यम थे। KelpDAO के अनुसार, Layer 2 पर विस्तार के दौरान DVN कॉन्फिगरेशन को लेकर सवाल उठे थे और उस समय डिफॉल्ट सेटिंग्स को उपयुक्त बताया गया था। प्रोटोकॉल का तर्क है कि LayerZero की डिफॉल्ट व्यवस्था ने कमजोर कॉन्फिगरेशन को बढ़ावा दिया। इससे इस धारणा पर सवाल उठता है कि सुरक्षा सेटिंग्स की पूरी जिम्मेदारी उपयोगकर्ताओं की है, जबकि उन्हें ये सेटिंग्स सामान्य विकल्पों के तौर पर पेश की गई थीं।
विफलता का एकल बिंदु बनाने वाले कॉन्फिगरेशन के कारण कोई स्वतंत्र सत्यापक नहीं था, जो जाली संदेश को पकड़कर खारिज कर सके। LayerZero और अन्य बाहरी पक्षों ने पहले KelpDAO को DVN में विविधता लाने के बेहतर तरीकों के बारे में बताया था। इन सिफारिशों के बावजूद KelpDAO ने 1/1 DVN कॉन्फिगरेशन चुना।
सुरक्षा विशेषज्ञों ने इस बहस पर टिप्पणी करते हुए कहा है कि सुरक्षा के लिए उपयोगकर्ताओं का दस्तावेज पढ़ना और हाथ से सुरक्षित विकल्प चुनना विकेंद्रीकृत प्रणालियों की बुनियादी डिजाइन खामी है। ब्लॉकचेन सुरक्षा फर्म SVRN के मुख्य परिचालन अधिकारी David Schwed ने कहा कि अगर किसी कॉन्फिगरेशन को असुरक्षित माना जाता है, तो उसे उपलब्ध विकल्प के रूप में पेश ही नहीं किया जाना चाहिए। यह Web3 जगत में विकेंद्रीकरण के आदर्शों और सुरक्षित डिफॉल्ट सेटिंग्स की व्यावहारिक जरूरत के बीच के व्यापक तनाव को दर्शाता है।
विकेंद्रीकृत वित्त पर लगातार पड़ता असर
इस चोरी का असर KelpDAO से कहीं आगे तक पहुंचा और आधुनिक विकेंद्रीकृत वित्त प्रोटोकॉल की आपसी निर्भरता उजागर हुई। कई कर्ज देने वाले प्लेटफॉर्म पर rsETH को गिरवी के तौर पर इस्तेमाल किया जाता है। इसलिए इस हैक से पैदा हुआ प्रणालीगत जोखिम कुछ ही घंटों में पूरे तंत्र में फैल गया। सबसे बड़े विकेंद्रीकृत कर्ज प्रोटोकॉल में से एक Aave में निवेशकों की परिसंपत्तियां निकालने की होड़ के बीच कुल लॉक्ड मूल्य में करीब 8 अरब डॉलर की गिरावट दर्ज की गई। आगे जोखिम रोकने के लिए प्रोटोकॉल ने Ethereum, Arbitrum, Base, Mantle और Linea पर rsETH बाजारों को फ्रीज कर दिया।
हमलावरों ने चोरी किए गए rsETH को Aave v3 में गिरवी रखकर wrapped Ether उधार लिया और करीब 19.5 करोड़ डॉलर का कर्ज बना दिया। संभावित नुकसान से बचने के लिए उपयोगकर्ताओं की निकासी की होड़ के बीच Aave v3 के कर्ज पूल पूरी तरह इस्तेमाल हो गए। इससे 5.1 अरब डॉलर से अधिक की स्टेबलकॉइन परिसंपत्तियों तक पहुंच अस्थायी रूप से रुक गई। Compound और Euler प्रोटोकॉल ने भी घटना का असर पड़ने की जानकारी दी, हालांकि उन्होंने असर फैलने से रोकने के लिए आपात कदम उठाए।
Cardano के संस्थापक Charles Hoskinson ने लाइवस्ट्रीम के दौरान इस हैक का विश्लेषण करते हुए शुरुआती चोरी और कर्ज बाजारों के जरिए बाद में फैले असर को अलग-अलग बताया। उन्होंने कहा कि नई बात ब्रिज के जाली संदेशों में नहीं, बल्कि इस तरीके में थी जिसमें हमलावर ने चोरी किए गए rsETH को गिरवी रखकर आसानी से इस्तेमाल होने वाली परिसंपत्तियां उधार लीं। इससे एक साधारण चोरी कम से कम नौ प्रोटोकॉल के बैलेंस शीट संकट में बदल गई। हमले के इस दूसरे तरीके ने दूषित गिरवी को पूरे DeFi तंत्र के खिलाफ हथियार बना दिया।
खबर पर बाजार में तीखी प्रतिक्रिया हुई। तरलता देने वालों के समर्थन वापस लेने के कारण पहले 24 घंटों में rsETH टोकन का भाव 1,600 से 2,500 डॉलर के बीच झूलता रहा। घटना के बाद 48 घंटों में पूरे DeFi का कुल लॉक्ड मूल्य लगभग 13 अरब डॉलर गिर गया। Arbitrum की Security Council ने करीब 30,766 ETH फ्रीज किए, जिनकी कीमत 7.1 करोड़ डॉलर थी। यह चोरी हुई रकम का लगभग एक चौथाई है, जबकि बाकी का अधिकांश हिस्सा हमलावरों के नियंत्रण में रहा।
Lazarus Group और राज्य-प्रायोजित चोरी
इस हमले को उत्तर कोरिया के Lazarus Group से जोड़ना राज्य-प्रायोजित क्रिप्टोकरेंसी चोरी के उस पुराने पैटर्न से मेल खाता है, जिसका मकसद अंतरराष्ट्रीय प्रतिबंधों को दरकिनार कर हथियार कार्यक्रमों के लिए धन जुटाना है। इस हमले में पहचाना गया खास उपसमूह TraderTraitor हाल के वर्षों में कई बड़ी चोरियों से जुड़ा रहा है। इनमें 2026 की शुरुआत में Bybit से 1.5 अरब डॉलर की चोरी भी शामिल है, जिसे इतिहास की सबसे बड़ी क्रिप्टो डकैती माना जाता है। संयुक्त राष्ट्र के निगरानीकर्ताओं ने दर्ज किया है कि प्योंगयांग इन अवैध कमाई को सीधे अपने परमाणु और बैलिस्टिक मिसाइल विकास कार्यक्रमों में लगाता है।
सुरक्षा शोधकर्ताओं का कहना है कि उत्तर कोरिया के साइबर अभियान एक्सचेंजों पर अवसरवादी हमलों से आगे बढ़कर विकेंद्रीकृत वित्त के बुनियादी इंफ्रास्ट्रक्चर पर लंबे समय तक चलने वाली, परिष्कृत घुसपैठ तक पहुंच गए हैं। ENS Labs के मुख्य सूचना सुरक्षा अधिकारी Alexander Urbelis ने इन घटनाओं को अलग-थलग वारदात नहीं, बल्कि लगातार चल रहे अभियानों की कड़ी बताया। उन्होंने जोर देकर कहा कि Lazarus जैसे समूह सिर्फ ज्यादा अमीर होकर नहीं लौटते, बल्कि पहले से बेहतर तरीके से लौटते हैं। वे चोरी किए गए संसाधनों से अपने औजारों का विस्तार करते, तकनीकों को बेहतर बनाते और भविष्य के अभियानों में फिर से निवेश करते हैं।
इन प्रणालियों की जांच और परीक्षण केवल अचानक हमला कर चोरी करने वाले समूह नहीं कर रहे हैं। इन पर ऐसे अनुशासित विरोधियों का दबाव है, जो इंफ्रास्ट्रक्चर, ऐप्लिकेशन और भरोसे के रिश्तों में मौजूद कमजोरियों को जोड़ना जानते हैं।
हमले के तरीके से Lazarus की निशाना बनाने की रणनीति में बदलाव दिखता है। स्मार्ट कॉन्ट्रैक्ट की कमजोरियों का फायदा उठाने या निजी कुंजियां चुराने के बजाय, समूह अब क्रॉस-चेन और रीस्टेकिंग इंफ्रास्ट्रक्चर पर ध्यान दे रहा है। यही बुनियादी परतें अलग-अलग ब्लॉकचेन नेटवर्क को जोड़ती हैं। ये तकनीकी रूप से जटिल होती हैं, इनमें अक्सर भारी मूल्य की परिसंपत्तियां होती हैं और इनकी निगरानी सतही ऐप्लिकेशन के मुकाबले कठिन होती है। ऐप्लिकेशन के तर्क के बजाय सत्यापन इंफ्रास्ट्रक्चर से छेड़छाड़ करके हमलावरों ने दिखाया कि उन्हें इस बात की गहरी समझ है कि विकेंद्रीकृत प्रणालियां जानकारी पर भरोसा कैसे करती हैं और उसका सत्यापन कैसे करती हैं।
Nine Blocks Capital Management के सह-संस्थापक Henri Arslanian ने इस हमले के लिए Lazarus को जिम्मेदार ठहराए जाने पर पूरा भरोसा जताया। उन्होंने कहा कि दुनिया में किसी अन्य समूह के पास इस तरह का हैक करने की विशेषज्ञता और ताकत नहीं है। उनके मुताबिक, KelpDAO हैक में दिखाई गई तकनीकी परिष्कृतता और परिचालन सुरक्षा सिर्फ राज्य-स्तरीय क्षमता से मेल खाती है। रकम छिपाने के लिए Tornado Cash का इस्तेमाल और इंफ्रास्ट्रक्चर से छेड़छाड़ तथा सोशल इंजीनियरिंग तत्वों वाला कई चरणों का हमला भी इस आकलन का समर्थन करते हैं।
बातचीत की कोशिशें और सुरक्षा के सबक
एक असामान्य कदम उठाते हुए अरबपति और Tron Network के संस्थापक Justin Sun ने हैकरों से सार्वजनिक रूप से चोरी की रकम लौटाने की अपील की। सोशल मीडिया पर Sun ने हमलावरों से सीधे बातचीत की पेशकश की और पूछा कि उन्हें कितनी रकम चाहिए। उन्होंने कहा कि Aave और KelpDAO, दोनों को बर्बाद करना इस रकम के लिए ठीक नहीं होगा। उनका हस्तक्षेप इस हैक से पैदा प्रणालीगत जोखिम की गंभीरता को दिखाता है। खासकर इसलिए कि Sun के स्वामित्व वाले एक्सचेंज HTX से जुड़े वॉलेट पतों ने Aave के खातों में सैकड़ों मिलियन डॉलर भेजे थे।
Kelp DAO हैकर, तुम्हें कितनी रकम चाहिए? बात करते हैं। बेशक, Kelp DAO की मदद से। इस हैक के कारण Aave और Kelp DAO, दोनों को कुर्बान करना और उन्हें डूबने देना ठीक नहीं है। तुम 30 करोड़ डॉलर भी खर्च नहीं कर पाओगे।
इस घटना ने ब्लॉकचेन सुरक्षा समुदाय में विकेंद्रीकरण और सुरक्षा के बीच संतुलन को लेकर तीखी बहस छेड़ दी है। Charles Hoskinson ने कहा कि नाकामी ऐप्लिकेशन के तर्क में नहीं, बल्कि सत्यापन प्रक्रिया में थी। उन्होंने बताया कि एक-के-बदले-एक व्यवस्था की जगह पांच में से तीन सत्यापकों की सहमति जरूरी होती, तो जालसाजी रुक जाती। यह आलोचना पूरे Ethereum तंत्र पर भी लागू होती है, जहां जटिल क्रॉस-चेन लेनदेन ऐसी निर्भरताएं बनाते हैं जो विफलता के किसी एक बिंदु के असर को बढ़ा सकती हैं।
सुरक्षा विशेषज्ञ ऐसी जीरो-ट्रस्ट संरचनाओं की पैरवी कर रहे हैं जो यह मानकर चलती हैं कि सेंधमारी हो सकती है और जटिल प्रणालियों में कड़ा सत्यापन लागू करती हैं। सुझाए गए उपायों में RPC एंडपॉइंट को मजबूत करना, कई पक्षों की सहमति की व्यवस्था लागू करना, DDoS हमलों से बचाव बेहतर करना और असामान्य गतिविधि दिखने पर लेनदेन अपने आप रोकने वाले सर्किट ब्रेकर लगाना शामिल है। KelpDAO का हैक दिखाता है कि विकेंद्रीकृत वित्त में पूरी कड़ी की मजबूती हर हिस्से पर मौजूद नियंत्रणों पर निर्भर करती है। एक कड़ी टूटने पर उसका असर तेजी से फैलता है।
DeFi की दुनिया में नए लोगों के लिए यह चोरी एक कड़ा सबक है कि विकेंद्रीकरण कोई हां या ना वाली बात नहीं, बल्कि भरोसे और सत्यापन से जुड़े कई विकल्पों का नतीजा है। उत्तर कोरिया के साइबर अभियान लगातार बदल रहे हैं और फैल रहे हैं। ऐसे में उद्योग पर यह दबाव बढ़ रहा है कि सुरक्षा सिर्फ सिफारिशों तक सीमित न रहे, बल्कि डिफॉल्ट रूप से लागू हो। सबसे सुरक्षित विकल्पों का इस्तेमाल आसान होना चाहिए, न कि वे तकनीकी दस्तावेजों में छिपे रहें।
मुख्य बातें
- उत्तर कोरिया के Lazarus Group की TraderTraitor इकाई पर 18 अप्रैल, 2026 को KelpDAO से लगभग 29 करोड़ डॉलर मूल्य के rsETH टोकन चुराने का संदेह है
- हमले में KelZero के क्रॉस-चेन इंफ्रास्ट्रक्चर की एकल-सत्यापक व्यवस्था का फायदा उठाकर जाली सत्यापन संदेश भेजे गए और रकम निकाली गई
- हमलावरों ने RPC नोड्स से छेड़छाड़ की और सिस्टम को दूषित डेटा स्रोतों पर निर्भर करने के लिए DDoS हमले किए
- इस चोरी का असर पूरे DeFi तंत्र में फैला। Aave को बाजार फ्रीज करने पड़े और कर्ज प्रोटोकॉल से 8 अरब डॉलर की निकासी हुई
- LayerZero और KelpDAO ने सार्वजनिक रूप से जिम्मेदारी को लेकर विवाद किया। LayerZero ने असुरक्षित कॉन्फिगरेशन को दोष दिया, जबकि KelpDAO ने कहा कि उसने डिफॉल्ट सेटिंग्स का पालन किया
- यह अप्रैल 2026 में उत्तर कोरिया की दूसरी बड़ी क्रिप्टो चोरी है। इससे पहले Drift Protocol से 28.5 करोड़ डॉलर चुराए गए थे
- चोरी की गई रकम में से करीब 7.1 करोड़ डॉलर Arbitrum की Security Council ने फ्रीज किए हैं, जबकि अधिकांश रकम Tornado Cash के जरिए छिपाई गई
- संयुक्त राष्ट्र के पैनलों का अनुमान है कि उत्तर कोरिया ने परमाणु हथियार विकास के लिए 2017 से अब तक 3 अरब डॉलर से अधिक की क्रिप्टोकरेंसी चुराई है
