2026 میں Kelp DAO rsETH کا استحصال کس وجہ سے ہوا؟

یہ استحصال LayerZero DVN کی غلط ترتیب کی وجہ سے ہوا، خاص طور پر Kelp DAO کے کراس چین برج پر 1-of-1 ویریفائر تھریشولڈ کی وجہ سے۔ جب اس واحد ویریفائر کی سائننگ کلید سے سمجھوتہ ہوا، تو حملہ آور کوئی بھی کراس چین پیغام جعل سازی کر سکتے تھے، جس سے انہیں ضمانت کے بغیر rsETH ٹکسال کرنے اور پروٹوکول سے $292M نکالنے کی اجازت ملی۔

Kelp DAO ہیک کی وجہ سے Aave پر $13B TVL کیوں گرا؟

rsETH کو Aave کی تعیناتیوں میں ضمانت کے طور پر استعمال کیا جاتا تھا۔ جب rsETH کا پیگ ٹوٹا اور سپلائی کے اعداد و شمار ناقابل اعتماد ہو گئے، تو لیکویڈیشن بوٹس اور خطرات سے آگاہ صارفین نے اجتماعی طور پر ضمانت واپس لینا شروع کر دی۔ ثانوی گھبراہٹ، جس میں غیر متعلق پوزیشنوں والے صارفین نے عمومی ری اسٹیکنگ کے خطرات کے خوف سے نکلنا شروع کیا، نے 72 گھنٹوں میں اخراج کو تقریباً $13B تک بڑھا دیا۔

LayerZero DVN کیا ہے اور اس کی ترتیب کیوں اہمیت رکھتی ہے؟

DVN (Decentralized Verifier Network) ایک آف چین ادارہ ہے جو LayerZero کے پروٹوکول میں کراس چین پیغامات کی تصدیق کرتا ہے۔ ایپلیکیشنز اپنے DVN سیٹ اور تصدیق کے تھریشولڈ خود ترتیب دیتی ہیں۔ کم تھریشولڈ، خاص طور پر 1-of-1، کا مطلب ہے کہ ایک سمجھوتہ شدہ ویریفائر پیغامات کی جعل سازی کر سکتا ہے، اور برج اتنا ہی محفوظ رہتا ہے جتنا اس کا واحد اور سب سے کمزور ویریفائر۔

DeFi

LayerZero DVN کی غلط ترتیب: Kelp DAO نے $292M کیسے گنوائے

By Anurag Verma•April 22, 2026

لیئرزیرو DVN کی غلط ترتیب: کیلپ DAO نے $292M کیسے گنوائے

کیلپ DAO کا استحصال کسی ٹوٹے ہوئے اسمارٹ کنٹریکٹ سے نہیں ہوا۔ نہ کوئی ری-اینٹرنسی تھی، نہ اوریکل کی چھیڑ چھاڑ، اور نہ فلیش لون آربٹریج۔ جو ہوا وہ اس سے کہیں زیادہ سادہ اور شرمناک تھا: ایک LayerZero DVN (ڈیسینٹرلائزڈ ویریفائر نیٹ ورک) کی حد 1-of-1 مقرر کی گئی تھی، یعنی ایک سمجھوتہ شدہ ویریفائر جو چاہے کراس-چین پیغام گھڑ سکتا تھا۔ جب وہ ویریفائر ہیکرز کے ہاتھ لگا، تو حملہ آوروں نے بغیر کسی پشت پناہی کے منزل چین پر rsETH منٹ کر لیا۔ چند گھنٹوں میں، CoinDesk کی بریکنگ رپورٹ کے مطابق، $292M صاف ہو گئے، rsETH کی سپلائی 18% سکڑ گئی، اور ری-اسٹیکنگ کی یہ لہر Aave اور منسلک پروٹوکولز سے $13B TVL کے اخراج کا باعث بن گئی۔

یہ کوئی پیچیدہ ہیک نہیں تھا۔ یہ ایک کھلا دروازہ تھا جو پروٹوکول کے معمار اس لیے کھلا چھوڑ گئے کیونکہ LayerZero نے انہیں اس کی اجازت دی۔

LayerZero rsETH ہیک اس بات کی مثالی کیس اسٹڈی ہے کہ جب ماڈیولریٹی بغیر کسی لازمی کم از کم معیار کے فراہم کی جائے تو کیا ہوتا ہے۔ ترتیب میں لچک ایک جائز انجینئرنگ قدر ہے، جب تک کہ وہ خود ہی حملے کی سطح نہ بن جائے۔

لیئرزیرو کی ماڈیولر سیکیورٹی کا اصل مطلب

لیئرزیرو کا کراس-چین میسجنگ ماڈل DVNs پر قائم ہے: یہ آف-چین ادارے ہیں جو چینز کے درمیان گزرنے والے پیغامات کی تصدیق اور تصدیقی دستخط کرتے ہیں۔ پروٹوکول ہر ایپلیکیشن کو اپنی سیکیورٹی اسٹیک ترتیب دینے کی اجازت دیتا ہے، اپنے ویریفائر چنیں، اپنی حد مقرر کریں، اپنا ایگزیکیوٹر منتخب کریں۔ یہ واقعی کارآمد ہے۔ مختلف ایپلیکیشنز کے خطرے کے پروفائل مختلف ہوتے ہیں، اور سب کے لیے یکساں سیکیورٹی ماڈل اپنی الگ پیچیدگیاں پیدا کرتا ہے۔

مسئلہ یہ ہے کہ LayerZero کوئی کم از کم حد نافذ نہیں کرتا۔ ایک پروٹوکول 1-of-1 DVN کنفیگریشن کے ساتھ تعینات ہو سکتا ہے، یعنی ایک واحد تصدیق کنندہ جس کے سمجھوتے کا مطلب مکمل پیغام کی جعلسازی ہے، اور پروٹوکول اسے بغیر کسی اعتراض کے قبول کر لے گا۔ LayerZero کی دستاویزات کم از کم دو آزاد DVNs استعمال کرنے کی سفارش کرتی ہیں۔ یہ اسے لازمی نہیں کرتیں۔

سفارش اور ضرورت کے درمیان اسی خلاء میں Kelp DAO گر گیا۔

وہ 1-of-1 تصدیق کنندہ کنفیگ جس نے 292 ملین ڈالر صاف کر دیے

Kelp DAO کا rsETH ایک لیکوئڈ ری اسٹیکنگ ٹوکن تھا جو EigenLayer پوزیشنز پر تعمیر کیا گیا تھا اور LayerZero کے ذریعے مختلف چینز پر بریج کیا گیا تھا۔ استحصال کے وقت، بریج کنفیگریشن ایک واحد DVN کو 1-of-1 تصدیق کی حد کے ساتھ استعمال کر رہی تھی، یہ ایسا سیٹ اپ ہے جو نو ہندسوں کی TVL رکھنے والے کسی بھی پروٹوکول کے سیکیورٹی جائزے سے کبھی نہیں گزرنا چاہیے۔

جب حملہ آور نے اس DVN کی سائننگ کی سے سمجھوتہ کیا، تو انہیں یکطرفہ طور پر کوئی بھی کراس چین پیغام بھیجنے کی صلاحیت مل گئی جسے Kelp DAO کے کنٹریکٹس درست تسلیم کرتے۔ انہوں نے اسے ڈیسٹی نیشن چین کنٹریکٹ کو ہدایت دینے کے لیے استعمال کیا کہ وہ rsETH مِنٹ کرے جبکہ سورس چین پر کوئی متعلقہ کولیٹرل لاک نہیں تھا۔ مِنٹنگ اور بیکنگ کا تناسب فوری طور پر ٹوٹ گیا۔ آربٹراجرز اور گھبراہٹ میں فروخت کرنے والوں نے بیک وقت باہر نکلنے کی راہ اختیار کی۔

rsETH بدترین مقام پر تقریباً 22 فیصد ڈی پیگ ہو گیا۔ جیسا کہ Chainalysis کا آن چین تجزیہ تفصیل سے بیان کرتا ہے، کل rsETH سپلائی کا تقریباً 18 فیصد یا تو دھوکے سے مِنٹ کیا گیا یا افراتفری میں زبردستی ریڈیم کیا گیا۔ ہولڈرز کے لیے یہ کوئی تجریدی فیصد نہیں ہے، یہ حقیقی قدر میں 292 ملین ڈالر کی تباہی ہے۔

کس طرح 72 گھنٹوں سے کم میں 13 ارب ڈالر Aave سے نکل گئے

ری اسٹیکنگ کا وبائی اثر حقیقی ہے، اور Kelp DAO کے استحصال نے بالکل واضح کر دیا کہ یہ کتنی تیزی سے پھیلتا ہے۔ rsETH کو متعدد DeFi منی مارکیٹس میں کولیٹرل کے طور پر استعمال کیا جاتا تھا اور Aave سب سے زیادہ ایکسپوژر رکھتا تھا۔ جب rsETH کی قیمت فیڈ اور آن چین سپلائی دونوں غیر معمولی انداز میں برتاؤ کرنے لگیں، تو Aave کے لیکویڈیشن بوٹس اور رسک سے باخبر صارفین کولیٹرل نکالنے لگے۔

اپریل 2026 میں Aave کے TVL میں آنے والی گراوٹ صرف Kelp DAO کی وجہ سے نہیں تھی، بازار پہلے سے ہی گھبراہٹ کی کیفیت میں تھے، لیکن rsETH کی صورتحال نے محرک کا کردار ادا کیا۔ CoinDesk کی مارکیٹ کوریج کے مطابق، 72 گھنٹوں میں Aave کے تمام deployments سے تقریباً 13 ارب ڈالر کا TVL نکل گیا۔ کچھ براہِ راست rsETH collateral کا اخراج تھا۔ زیادہ نقصان ثانوی گھبراہٹ کا نتیجہ تھا: ایسے صارفین جن کی پوزیشنز کا rsETH سے کوئی تعلق نہیں تھا، انہوں نے یہ سوچ کر کنارہ کشی اختیار کر لی کہ اگر ایک restaking ٹوکن اس طرح ناکام ہو سکتا ہے تو بہتر ہے ابھی دور رہا جائے۔

یہی وہ ضرب اثر ہے جو DVN کی غلط ترتیب کو کسی ایک پروٹوکول کا مسئلہ نہیں بلکہ پورے DeFi کے لیے نظامی خطرہ بناتا ہے۔ نقصان اس خانے میں محدود نہیں رہتا جہاں سے اس کا آغاز ہوا۔

اب ترتیب (Configuration) ہی بنیادی Attack Surface ہے

DeFi کی ابتدائی تاریخ کے بیشتر حصے میں سیکیورٹی کی بحث smart contract کوڈ کے گرد مرکوز رہی۔ Audits، formal verification، bug bounties، سب کا مقصد یہ تھا کہ logic کی خامیوں کو استحصال سے پہلے پکڑا جائے۔ یہ کام آج بھی ضروری ہے، مگر اب یہ اکیلا کافی نہیں۔

attack surface بدل چکی ہے۔ جیسا کہ میں نے stablecoin bridges کے حقیقی ناکامی کے طریقوں کے بارے میں لکھا ہے، infrastructure layer یعنی messaging protocols، oracle configurations اور validator sets، اب اتنا ہی خطرہ رکھتی ہیں جتنا ان کے اوپر چلنے والا application کوڈ۔ ایک بالکل درست audited smart contract اس وقت بے کار ہو جاتا ہے جب جس cross-chain پیغام پر وہ اعتماد کرتا ہے اسے کوئی ایک فریق جعلی بنا سکے۔

Kelp DAO کا استحصال اسی سبق کا DVN misconfiguration والا ورژن ہے۔ تین vectors اب cross-chain DeFi کے خطرات پر غالب ہیں:

Verification threshold attacks، یعنی 1-of-1 یا انتہائی کم threshold والی DVN configs جو سمٹ کر single points of failure بن جاتی ہیں
Executor manipulation، یعنی ایسے حملہ آور جو destination chain پر پیغامات کے execution کی ترتیب کو اپنے قابو میں رکھتے ہیں
Configuration drift، یعنی ایسے ابتدائی deployments جو کافی سیکیورٹی کے ساتھ شروع ہوئے مگر اخراجات یا latency کم کرنے کی خاطر خاموشی سے downgrade کر دیے گئے

یہ میں سے کوئی بھی سمارٹ کنٹریکٹ آڈٹ میں نظر نہیں آتا۔ یہ سب مل کر کسی بھی پروٹوکول کو مکمل طور پر خالی کر سکتے ہیں۔

'ماڈیولر سیکیورٹی' کا اصل مطلب کیا ہونا چاہیے

LayerZero کا ماڈل اصولاً غلط نہیں ہے۔ لازمی یکساں سیکیورٹی اسٹیکس کی اپنی خرابیاں ہیں، اگر سب ایک ہی دو DVNs استعمال کریں اور ان میں سے ایک سمجھوتہ ہو جائے تو نقصان کا دائرہ بہت وسیع ہو جاتا ہے۔ لچک میں حقیقی فائدہ ہے۔

لیکن بنیادی حد کے بغیر لچک سیکیورٹی نہیں، یہ ذمہ داری کا بوجھ دوسروں پر ڈالنا ہے۔ جیسا کہ CoinDesk کی Kelp DAO بمقابلہ LayerZero الزام تراشی کی رپورٹ میں بیان ہوا ہے، LayerZero پروٹوکولز کو خود کو تباہی کی طرف ترتیب دینے دیتا ہے اور پھر اس دستاویز کی طرف اشارہ کرتا ہے جس میں کہا گیا تھا کہ ایسا نہ کریں۔ یہ سیکیورٹی ماڈل نہیں ہے، یہ سروس کی شرائط ہیں۔

صنعت کو درحقیقت جو چاہیے:

پروٹوکول کے نافذ کردہ کم از کم معیارات: کوئی بھی پروڈکشن ڈیپلوئمنٹ 2 سے کم آزاد DVNs اور 1 سے اوپر کی حد کے ساتھ لانچ نہیں ہو سکنی چاہیے۔ یہ ڈیپلوئمنٹ کنٹریکٹ میں ایک سخت پابندی ہونی چاہیے، README میں محض ایک سفارش نہیں۔
آن چین کنفیگریشن شفافیت: DVN کنفگز کسی بھی رسک ڈیش بورڈ کے ذریعے آف چین ڈیٹا ذرائع کی ضرورت کے بغیر پڑھی جا سکنی چاہییں۔ Aave کی رسک ٹیم کو Kelp DAO سے یہ پوچھنا نہ پڑے کہ ان کی LayerZero کنفگ کیسی ہے۔
مسلسل کنفگ نگرانی: سیکیورٹی محض ڈیپلوئمنٹ کے وقت کی جانچ نہیں ہے۔ لانچ کے بعد بھی کنفیگریشن تبدیل کی جا سکتی ہے۔ جو بھی پروٹوکول پل کیے گئے اثاثوں کو ضمانت کے طور پر قبول کرے اسے اپسٹریم کنفگ تبدیلیوں پر ریئل ٹائم الرٹس کی ضرورت ہے۔
کنفگ گیٹس کے ساتھ ضمانت وائٹ لسٹنگ: اگر Aave rsETH کو ضمانت کے طور پر قبول کرنے والا ہے تو لسٹنگ گورننس میں کم از کم سیکیورٹی کنفگ کی شرط شامل ہونی چاہیے، اور اگر وہ کنفگ حد سے نیچے آ جائے تو خودکار ڈی لسٹنگ ہونی چاہیے۔

2025 میں زندہ رہنے والے DeFi پروٹوکول نے زیادہ تر ایسا کوڈ سیکیورٹی کی طرح آپریشنل سیکیورٹی کو بھی اتنی ہی سنجیدگی سے لے کر کیا۔ یہ سبق اب ہر اس چیز کے لیے بنیادی شرط بن چکا ہے جو ری اسٹیک شدہ اثاثوں سے جڑی ہو۔

ری اسٹیکنگ اسٹیک ناکامی سے بالاتر نہیں

DeFi منی مارکیٹ ڈیزائن میں ایک خاموش مفروضہ پایا جاتا ہے کہ کافی حد تک لیکوئڈ اور وسیع پیمانے پر استعمال ہونے والے کولیٹرل اثاثے فطری طور پر زیادہ محفوظ ہوتے ہیں، کیونکہ ایکوسسٹم کا بہت زیادہ داؤ لگا ہوتا ہے اور وہ انہیں ناکام ہونے نہیں دے سکتا۔ یہ مفروضہ بریجڈ ری اسٹیکنگ ٹوکنز کے معاملے میں درست نہیں ٹھہرتا۔

Kelp DAO ایکسپلوئٹ میں rsETH کے منی مارکیٹس میں وسیع پیمانے پر قبول عام نے نقصان کا دائرہ کم نہیں کیا بلکہ اسے مزید پھیلا دیا۔ ہر اضافی پروٹوکول جس نے بریج سیکیورٹی اسٹیک کا آڈٹ کیے بغیر rsETH کو کولیٹرل کے طور پر قبول کیا، وہ دراصل بغیر قیمت لگائے ہوئے خطرے کو درآمد کر رہا تھا۔ Aave سے $13 بلین TVL کا انخلا اسی خطرے کی بعد از وقوعہ قیمت گذاری ہے۔

ری اسٹیکنگ کا بیانیہ تیزی سے آگے بڑھا ہے۔ EigenLayer، Symbiotic اور Karak سب نے 2025 کے دوران TVL کو جارحانہ انداز میں بڑھایا۔ لیکن ان پوزیشنز کے نیچے کام کرنے والا بریج اور میسیجنگ انفراسٹرکچر سیکیورٹی پختگی کے اعتبار سے اس رفتار سے ہم آہنگ نہیں ہو پایا۔ یہ خلا اس طرح کے مزید واقعات پیدا کرے گا اس سے پہلے کہ اسے پُر کیا جائے۔

LayerZero ممکنہ طور پر اب کنفیگریشن کم از کم حدیں متعارف کرائے گا۔ پروٹوکول اپنی سیکیورٹی چیک لسٹ میں DVN آڈٹ شامل کریں گے۔ رسک ڈیش بورڈز اوریکل پیرامیٹرز کے ساتھ ساتھ بریج کنفیگز بھی سامنے لائیں گے۔ یہ سب درست اقدامات ہیں، اور یہ سب ردعمل پر مبنی ہیں۔ اصل سوال یہ ہے کہ کیا اگلے $292 ملین کو غائب ہونا پڑے گا تب جا کر اس کے بعد والے کو تحفظ مل پائے گا۔