২০২৬ সালে Kelp DAO rsETH এক্সপ্লয়েটের কারণ কী ছিল?

এই এক্সপ্লয়েটটি ঘটেছিল LayerZero DVN-এর ভুল কনফিগারেশনের কারণে, বিশেষত Kelp DAO-এর ক্রস-চেইন ব্রিজে ১-এর-মধ্যে-১ ভেরিফায়ার থ্রেশহোল্ডের কারণে। যখন সেই একমাত্র ভেরিফায়ারের সাইনিং কী আপোস হয়ে যায়, আক্রমণকারীরা যেকোনো ক্রস-চেইন বার্তা জাল করতে সক্ষম হয়, যা তাদের কোনো জামানত ছাড়াই rsETH মিন্ট করতে এবং প্রোটোকল থেকে $২৯২ মিলিয়ন ড্রেন করতে দেয়।

Kelp DAO হ্যাক কেন Aave-এ $১৩ বিলিয়ন TVL পতন ঘটিয়েছিল?

rsETH Aave-এর বিভিন্ন ডেপ্লয়মেন্টে জামানত হিসেবে ব্যবহৃত হত। যখন rsETH ডিপেগ হয়ে যায় এবং সরবরাহের পরিসংখ্যান অনির্ভরযোগ্য হয়ে পড়ে, তখন লিকুইডেশন বট এবং ঝুঁকি-সচেতন ব্যবহারকারীরা দলবদ্ধভাবে জামানত উইথড্র করতে শুরু করে। গৌণ আতঙ্ক, অর্থাৎ সাধারণ রিস্টেকিং ঝুঁকির আশঙ্কায় অসম্পর্কিত পজিশন ত্যাগকারী ব্যবহারকারীরা, ৭২ ঘণ্টায় মোট বহির্প্রবাহ প্রায় $১৩ বিলিয়নে পৌঁছে দেয়।

LayerZero DVN কী এবং এর কনফিগারেশন কেন গুরুত্বপূর্ণ?

একটি DVN (Decentralized Verifier Network) হলো একটি অফ-চেইন সত্তা যা LayerZero-এর প্রোটোকলে ক্রস-চেইন বার্তা যাচাই করে। অ্যাপ্লিকেশনগুলো তাদের নিজস্ব DVN সেট এবং ভেরিফিকেশন থ্রেশহোল্ড কনফিগার করে। কম থ্রেশহোল্ড, বিশেষত ১-এর-মধ্যে-১, মানে একটি আপোসকৃত ভেরিফায়ার বার্তা জাল করতে পারে এবং ব্রিজটি কেবল তার সবচেয়ে দুর্বল ও একমাত্র ভেরিফায়ারের মতোই নিরাপদ হয়ে ওঠে।

DeFi

LayerZero DVN ভুল কনফিগারেশন: Kelp DAO কীভাবে $292M হারাল

By Anurag Verma•April 22, 2026

LayerZero DVN ভুল কনফিগারেশন: কীভাবে Kelp DAO ২৯২ মিলিয়ন ডলার হারাল

Kelp DAO এক্সপ্লয়েট কোনো ভাঙা স্মার্ট কন্ট্র্যাক্ট থেকে আসেনি। কোনো রিএন্ট্রান্সি ছিল না, কোনো অর্যাকল ম্যানিপুলেশন ছিল না, কোনো ফ্ল্যাশ লোন আর্বিট্রেজ ছিল না। যা ঘটেছিল তা ছিল আরও সরল এবং আরও বিব্রতকর: একটি একক LayerZero DVN (Decentralized Verifier Network) ১-এর-মধ্যে-১ থ্রেশহোল্ডে সেট করা ছিল, অর্থাৎ একটি মাত্র আপোষকৃত ভেরিফায়ার যেকোনো ক্রস-চেইন মেসেজ তৈরি করতে পারত। যখন সেই ভেরিফায়ারটি দখল হয়ে গেল, আক্রমণকারীরা গন্তব্য চেইনে কোনো সম্পদের বিপরীতে rsETH মিন্ট করল। কয়েক ঘণ্টার মধ্যে, CoinDesk-এর ব্রেকিং রিপোর্ট অনুযায়ী, ২৯২ মিলিয়ন ডলার চলে গেছে, rsETH সরবরাহ ১৮% কমে গেছে, এবং রিস্টেকিং সংক্রমণ Aave ও সংযুক্ত প্রোটোকলগুলো জুড়ে ১৩ বিলিয়ন ডলারের TVL প্রস্থান ঘটিয়েছে।

এটি কোনো পরিশীলিত হ্যাক ছিল না। এটি ছিল একটি অরক্ষিত সামনের দরজা, যা প্রোটোকল আর্কিটেক্টরা খোলা রেখে গিয়েছিলেন কারণ LayerZero তাদের সেটা করার সুযোগ দিয়েছিল।

LayerZero rsETH হ্যাক হল এর সর্বোৎকৃষ্ট কেস স্টাডি যেখানে দেখা যায় কী ঘটে যখন মডুলারিটি কোনো প্রয়োগকৃত সর্বনিম্ন সুরক্ষা ছাড়াই চালু হয়। কনফিগারেশন নমনীয়তা একটি বৈধ ইঞ্জিনিয়ারিং মূল্যবোধ, যতক্ষণ না এটি নিজেই আক্রমণের পৃষ্ঠ হয়ে ওঠে।

LayerZero-এর মডুলার সিকিউরিটি আসলে কী বোঝায়

LayerZero-এর ক্রস-চেইন মেসেজিং মডেল DVN-কে কেন্দ্র করে গড়ে উঠেছে: এগুলো অফ-চেইন সত্তা যা চেইনগুলোর মধ্য দিয়ে যাওয়া মেসেজ যাচাই করে এবং প্রত্যয়িত করে। প্রোটোকলটি প্রতিটি অ্যাপ্লিকেশনকে তার নিজস্ব সিকিউরিটি স্ট্যাক কনফিগার করার সুযোগ দেয়, নিজের ভেরিফায়ার বেছে নিন, থ্রেশহোল্ড নির্ধারণ করুন, এক্সিকিউটর পছন্দ করুন। এটি সত্যিকারের কার্যকর। বিভিন্ন অ্যাপ্লিকেশনের ঝুঁকির মাত্রা ভিন্ন, এবং একটি সার্বজনীন সিকিউরিটি মডেল তার নিজস্ব অনমনীয়তা তৈরি করে।

সমস্যাটা হলো LayerZero কোনো ন্যূনতম সীমা আরোপ করে না। একটি প্রোটোকল ১-এর-মধ্যে-১ DVN কনফিগারেশন দিয়ে ডিপ্লয় করতে পারে, যেখানে একটিমাত্র ভেরিফায়ার থাকে এবং সেটি আপোষের শিকার হলে সম্পূর্ণ মেসেজ জালিয়াতি সম্ভব, অথচ প্রোটোকল কোনো আপত্তি ছাড়াই তা প্রক্রিয়া করবে। LayerZero-র ডকুমেন্টেশন কমপক্ষে দুটি স্বাধীন DVN ব্যবহারের পরামর্শ দেয়। এটি বাধ্যতামূলক নয়।

সুপারিশ আর বাধ্যবাধকতার মধ্যে এই ফাঁকটাই Kelp DAO-র পতনের কারণ হয়েছে।

যে ১-এর-মধ্যে-১ ভেরিফায়ার কনফিগারেশন $২৯২ মিলিয়ন মুছে দিল

Kelp DAO-র rsETH ছিল একটি লিকুইড রিস্টেকিং টোকেন, যা EigenLayer পজিশনের উপর নির্মিত এবং LayerZero-র মাধ্যমে চেইন পেরিয়ে ব্রিজ করা হয়েছিল। এক্সপ্লয়েটের সময় ব্রিজ কনফিগারেশনে একটিমাত্র DVN ব্যবহার করা হয়েছিল, ১-এর-মধ্যে-১ ভেরিফিকেশন থ্রেশহোল্ড সহ। নয়-অঙ্কের TVL ধারণকারী কোনো প্রোটোকলের নিরাপত্তা পর্যালোচনায় এই ধরনের সেটআপ কখনই পাস হওয়া উচিত নয়।

আক্রমণকারী সেই DVN-এর সাইনিং কী আপোষ করার সাথে সাথে যেকোনো ক্রস-চেইন বার্তা পাঠানোর একচ্ছত্র ক্ষমতা পেয়ে যায়, যা Kelp DAO-র কনট্র্যাক্টগুলি বৈধ হিসেবে গ্রহণ করবে। তারা এটি ব্যবহার করে ডেস্টিনেশন চেইন কনট্র্যাক্টকে নির্দেশ দেয় সোর্স চেইনে কোনো সংশ্লিষ্ট কোলেটারাল লক ছাড়াই rsETH মিন্ট করতে। মিন্ট-টু-ব্যাকিং অনুপাত তাৎক্ষণিকভাবে ভেঙে পড়ে। আর্বিট্রেজাররা এবং আতঙ্কিত বিক্রেতারা একই সাথে বাজার থেকে বেরিয়ে যেতে শুরু করে।

সবচেয়ে খারাপ মুহূর্তে rsETH প্রায় ২২% ডিপেগ করে। Chainalysis-এর অন-চেইন বিশ্লেষণ বিস্তারিত জানাচ্ছে যে, বিশৃঙ্খলার মধ্যে মোট rsETH সাপ্লাইয়ের প্রায় ১৮% হয় জালিয়াতিমূলকভাবে মিন্ট করা হয়েছিল অথবা জোরপূর্বক রিডিম করা হয়েছিল। হোল্ডারদের জন্য এটি কোনো বিমূর্ত শতাংশ নয়, এটি বাস্তবে ধ্বংস হওয়া $২৯২ মিলিয়নের সম্পদ।

কীভাবে ৭২ ঘণ্টারও কম সময়ে Aave থেকে $১৩ বিলিয়ন বেরিয়ে গেল

রিস্টেকিং কনটেজিয়ন বাস্তব, এবং Kelp DAO এক্সপ্লয়েট ঠিক কতটা দ্রুত তা ছড়িয়ে পড়তে পারে সেটি স্পষ্টভাবে প্রদর্শন করেছে। rsETH একাধিক DeFi মানি মার্কেটে কোলেটারাল হিসেবে ব্যবহৃত হতো, যার মধ্যে Aave-এর এক্সপোজার ছিল সবচেয়ে বেশি। যখন rsETH-এর প্রাইস ফিড এবং অন-চেইন সাপ্লাই উভয়ই অস্বাভাবিক আচরণ শুরু করে, Aave-এর লিকুইডেশন বটগুলি এবং ঝুঁকি-সচেতন ব্যবহারকারীরা কোলেটারাল তুলতে শুরু করে।

এপ্রিল ২০২৬-এ Aave-এর TVL পতনের কারণ শুধু Kelp DAO একা ছিল না, বাজার ইতিমধ্যেই অস্থির ছিল, তবে rsETH পরিস্থিতি ছিল সেই ট্রিগার। CoinDesk-এর বাজার কভারেজ অনুযায়ী, ৭২ ঘণ্টার মধ্যে Aave-এর বিভিন্ন ডিপ্লয়মেন্ট থেকে প্রায় ১৩ বিলিয়ন ডলার TVL বেরিয়ে গেছে। এর কিছু অংশ ছিল সরাসরি rsETH কোলাটেরাল উইথড্রয়াল। বেশিরভাগটাই ছিল গৌণ আতঙ্ক: সম্পূর্ণ সম্পর্কহীন পজিশনে থাকা ব্যবহারকারীরা ভাবলেন, যদি একটি রিস্টেকিং টোকেন এভাবে ব্যর্থ হতে পারে, তাহলে তারাও বরং সরে দাঁড়ানোই ভালো।

এই মাল্টিপ্লায়ার প্রভাবটাই DVN মিসকনফিগারেশনকে শুধু একটি প্রোটোকলের সমস্যা নয়, বরং একটি পদ্ধতিগত DeFi ঝুঁকিতে পরিণত করে। ক্ষতি যেখান থেকে শুরু হয়েছে, সেই বাক্সেই সীমাবদ্ধ থাকে না।

কনফিগারেশন এখন প্রাথমিক আক্রমণের ক্ষেত্র

DeFi-এর প্রাথমিক ইতিহাসের বেশিরভাগ সময় নিরাপত্তার আলোচনা স্মার্ট কন্ট্র্যাক্ট কোডকে কেন্দ্র করে আবর্তিত হতো। অডিট, ফর্মাল ভেরিফিকেশন, বাগ বাউন্টি, সবই শোষণের আগে লজিক এরর খুঁজে বের করার লক্ষ্যে পরিচালিত হতো। এটা এখনও প্রয়োজনীয়। তবে এটুকু আর যথেষ্ট নয়।

আক্রমণের ক্ষেত্র বদলে গেছে। স্টেবলকয়েন ব্রিজ কীভাবে ব্যর্থ হয় সে বিষয়ে আমি যেমন লিখেছি, ইনফ্রাস্ট্রাকচার স্তর, মেসেজিং প্রোটোকল, অরাকেল কনফিগারেশন, ভ্যালিডেটর সেট, এখন তার উপরে থাকা অ্যাপ্লিকেশন কোডের মতোই ঝুঁকি বহন করে। একটি নিখুঁতভাবে অডিট করা স্মার্ট কন্ট্র্যাক্ট অর্থহীন হয়ে যায় যদি সে যে ক্রস-চেইন বার্তাটি বিশ্বাস করে তা একটিমাত্র পক্ষের পক্ষে জাল করা সম্ভব হয়।

Kelp DAO-এর শোষণ একই শিক্ষার DVN মিসকনফিগারেশন সংস্করণ। তিনটি ভেক্টর এখন ক্রস-চেইন DeFi ঝুঁকিতে আধিপত্য বিস্তার করছে:

ভেরিফিকেশন থ্রেশহোল্ড আক্রমণ, ১-এর-মধ্যে-১ বা নিম্ন-থ্রেশহোল্ড DVN কনফিগারেশন যা একক ব্যর্থতার বিন্দুতে পরিণত হয়
এক্সিকিউটর ম্যানিপুলেশন, আক্রমণকারীরা যারা গন্তব্য চেইনে বার্তা সম্পাদনের ক্রম নিয়ন্ত্রণ করে
কনফিগারেশন ড্রিফট, প্রাথমিক ডিপ্লয়মেন্ট যা পর্যাপ্ত নিরাপত্তা নিয়ে শুরু হয়েছিল কিন্তু খরচ বা লেটেন্সি কমাতে নীরবে ডাউনগ্রেড করা হয়েছিল

এর কোনোটাই স্মার্ট কন্ট্র্যাক্ট অডিটে ধরা পড়ে না। তবু এর যেকোনোটি একটি প্রোটোকলকে সম্পূর্ণ নিঃস্ব করে দিতে পারে।

'মডুলার সিকিউরিটি' বলতে আসলে কী বোঝানো উচিত

LayerZero-এর মডেলটি নীতিগতভাবে ভুল নয়। বাধ্যতামূলক মনোকালচার সিকিউরিটি স্ট্যাকেরও নিজস্ব ব্যর্থতার ধরন আছে। সবাই যদি একই দুটি DVN ব্যবহার করে এবং একটি আপোষিত হয়, তাহলে ক্ষতির পরিসর হবে বিশাল। নমনীয়তার প্রকৃত মূল্য আছে।

কিন্তু কোনো ন্যূনতম সীমা ছাড়া নমনীয়তা সিকিউরিটি নয়, এটা দায় স্থানান্তর। CoinDesk যেমন Kelp DAO বনাম LayerZero দোষারোপের বিবাদ নিয়ে রিপোর্ট করেছে, LayerZero প্রোটোকলগুলিকে নিজেদের বিপর্যয়ের দিকে কনফিগার করতে দেয় এবং তারপর সেই ডকুমেন্টেশনের দিকে আঙুল তোলে যেখানে বলা হয়েছিল এটা করা উচিত নয়। এটা কোনো সিকিউরিটি মডেল নয়, এটা একটি পরিষেবার শর্তমাত্র।

শিল্পের আসলে যা দরকার:

প্রোটোকল-প্রয়োগকৃত ন্যূনতম মান: কোনো প্রোডাকশন ডিপ্লয়মেন্ট ২টির কম স্বাধীন DVN এবং ১-এর বেশি থ্রেশহোল্ড ছাড়া চালু হতে পারবে না। এটি ডিপ্লয়মেন্ট কন্ট্র্যাক্টে একটি কঠিন বাধ্যবাধকতা হওয়া উচিত, README-তে একটি সুপারিশ নয়।
অন-চেইন কনফিগারেশন স্বচ্ছতা: DVN কনফিগগুলি অফ-চেইন ডেটা উৎসের প্রয়োজন ছাড়াই যেকোনো রিস্ক ড্যাশবোর্ড দ্বারা পাঠযোগ্য হওয়া উচিত। Aave-এর রিস্ক টিমকে Kelp DAO-কে জিজ্ঞেস করতে হবে না তাদের LayerZero কনফিগ কেমন দেখতে।
ক্রমাগত কনফিগ মনিটরিং: সিকিউরিটি শুধু ডিপ্লয়ের সময়কার পরীক্ষা নয়। কনফিগারেশন লঞ্চের পরেও পরিবর্তন হতে পারে। যেকোনো প্রোটোকল যা ব্রিজড সম্পদকে জামানত হিসেবে গ্রহণ করে, তার আপস্ট্রিম কনফিগ পরিবর্তনে রিয়েল-টাইম সতর্কতার প্রয়োজন।
কনফিগ গেটসহ কোল্যাটারাল হোয়াইটলিস্টিং: Aave যদি rsETH-কে জামানত হিসেবে গ্রহণ করতে যায়, তাহলে লিস্টিং গভর্ন্যান্সে একটি ন্যূনতম সিকিউরিটি কনফিগ প্রয়োজনীয়তা অন্তর্ভুক্ত থাকা উচিত এবং সেই কনফিগ থ্রেশহোল্ডের নিচে পড়লে স্বয়ংক্রিয় ডিলিস্টিং হওয়া উচিত।

২০২৫ সালে যেসব DeFi প্রোটোকল টিকে গেছে তাদের বেশিরভাগ এটা করতে পেরেছে কারণ তারা অপারেশনাল নিরাপত্তাকে কোড নিরাপত্তার মতোই কঠোরভাবে গণ্য করেছে। এই শিক্ষাটি এখন রেস্টেক করা সম্পদ সংক্রান্ত যেকোনো কিছুর জন্য ন্যূনতম শর্ত হয়ে দাঁড়িয়েছে।

রেস্টেকিং স্ট্যাক ব্যর্থ হওয়ার জন্য "অনেক বড়" নয়

DeFi মানি মার্কেট ডিজাইনে একটি নীরব ধারণা প্রচলিত আছে যে যথেষ্ট তরল ও ব্যাপকভাবে ব্যবহৃত জামানত সম্পদ স্বাভাবিকভাবেই নিরাপদ, কারণ ইকোসিস্টেমের এত কিছু বাজিতে থাকে যে সেগুলোকে ব্যর্থ হতে দেওয়া সম্ভব নয়। কিন্তু ব্রিজড রেস্টেকিং টোকেনের ক্ষেত্রে এই ধারণা টেকে না।

মানি মার্কেটগুলোতে rsETH-এর ব্যাপক গ্রহণযোগ্যতা Kelp DAO এক্সপ্লয়েটের বিস্ফোরণ পরিধি কমায়নি, বরং বাড়িয়েছে। ব্রিজ সিকিউরিটি স্ট্যাক অডিট না করে যে প্রতিটি অতিরিক্ত প্রোটোকল rsETH-কে জামানত হিসেবে গ্রহণ করেছে, সে আসলে মূল্যহীন ঝুঁকি আমদানি করেছে। Aave থেকে $১৩ বিলিয়ন TVL বের হয়ে যাওয়া হলো বাজারের সেই ঝুঁকিকে পরবর্তী সময়ে মূল্যায়ন করার প্রকাশ।

রেস্টেকিং ন্যারেটিভ দ্রুত এগিয়েছে, EigenLayer, Symbiotic, Karak সবাই ২০২৫ সাল জুড়ে আক্রমণাত্মকভাবে TVL বাড়িয়েছে। কিন্তু সেই পজিশনগুলোর ভিত্তিতে থাকা ব্রিজ ও মেসেজিং ইনফ্রাস্ট্রাকচার নিরাপত্তার পরিপক্কতায় সেই গতির সাথে তাল মেলাতে পারেনি। এই ব্যবধান বন্ধ হওয়ার আগে এই ঘটনার মতো আরও ঘটনা তৈরি হবে।

LayerZero সম্ভবত এখন কনফিগারেশন মিনিমাম চালু করবে। প্রোটোকলগুলো তাদের নিরাপত্তা চেকলিস্টে DVN অডিট যোগ করবে। ঝুঁকি ড্যাশবোর্ডগুলো অরাকল প্যারামিটারের পাশাপাশি ব্রিজ কনফিগারেশনও সামনে আনবে। এগুলো সবই সঠিক পদক্ষেপ, এবং সবই প্রতিক্রিয়াশীল। প্রশ্নটা হলো, পরবর্তী $২৯২ মিলিয়ন হারিয়ে যেতে হবে কিনা, তারপরেই কি তার পরেরটি সুরক্ষিত হবে।