OpenZeppelin کے CEO کا کہنا: DeFi غیر محفوظ ہے، آڈٹ ماڈل ختم ہو گیا
Manuel Aráoz، جو OpenZeppelin کے شریک بانی ہیں، نے گزشتہ ہفتے ایک سامعین کو بتایا کہ DeFi اب محفوظ نہیں رہا کیونکہ AI سمارٹ کنٹریکٹ کی خامیاں تلاش کرنے میں انسانی صلاحیت سے آگے نکل گئی ہے۔ انہوں نے جو فرم قائم کی وہ وہ سیکیورٹی لائبریریاں لکھتی ہے جنہیں Ethereum کا ایک بڑا حصہ بطور ڈیفالٹ درآمد کرتا ہے۔ جب OpenZeppelin کے CEO DeFi کو غیر محفوظ قرار دیتے ہیں تو آڈٹ ماڈل پر بحث ختم ہو جاتی ہے۔
میں نے LCX میں چار سال آڈٹ رپورٹیں آتے دیکھی ہیں۔ اچھی رپورٹیں گہری، محدود دائرے کی، اور اپنے اطلاق کے بارے میں ایماندار ہوتی ہیں۔ لیکن وہ وقت کے ساتھ منجمد بھی ہو جاتی ہیں۔ جس پروٹوکول کا آڈٹ منگل کو کیا گیا وہ وہی پروٹوکول نہیں رہتا جو جمعے کو چل رہا ہوتا ہے، جب گورننس کوئی کنفیگریشن تبدیلی بھیج دیتی ہے، کوئی dependency کا ورژن بدل جاتا ہے، یا کوئی نیا oracle جوڑ دیا جاتا ہے۔ Aráoz کا نکتہ، جسے CoinDesk نے رپورٹ کیا، یہ ہے کہ اس عدم توازن کے حملہ آور پہلو کو ابھی ایک گنا اضافہ مل گیا ہے۔
اس دوران، گزشتہ بارہ مہینوں میں DeFi پروٹوکولز سے 1.1 ارب ڈالر سے زیادہ نکال لیے گئے ہیں۔ یہ تعداد خامی تلاش کرنے کا مسئلہ نہیں ہے۔ یہ نظام کے ڈیزائن کا مسئلہ ہے۔
OpenZeppelin کے CEO کا DeFi کو غیر محفوظ قرار دینا کیوں اہم ہے
Aráoz کوئی باہری شخص نہیں جو صنعت پر بلا وجہ تنقید کر رہا ہو۔ انہوں نے خود یہ معیار بنانے میں مدد کی ہے۔
ERC-20، ERC-721، اور AccessControl کے وہ نمونے جو تقریباً ہر سنجیدہ پروٹوکول استعمال کرتا ہے، OpenZeppelin کی لائبریریوں سے آتے ہیں۔ جب وہ بانی کہتا ہے کہ سیکیورٹی ماڈل ٹوٹ چکا ہے تو اس میں وہ وزن ہوتا ہے جو، مثلاً، Twitter کی کسی بے نام پوسٹ میں نہیں ہوتا۔ Manuel Aráoz کا AI ہیکنگ میں انسانی صلاحیت سے آگے نکلنے کا بیانیہ اس لیے اثرانداز ہوا کیونکہ یہ بات کہنے والے شخص نے خود پرانے ماڈل کی قیمت چکائی ہے۔
ان کے اعتراف سے جو کچھ حقیقتاً تسلیم ہوتا ہے اس کی ایک مختصر فہرست:
- نقطہ وقت کے آڈٹ اس رفتار سے ہم آہنگ نہیں رہ سکتے جس سے AI ایجنٹ نئے حملے کے راستے تلاش کرتے ہیں۔
- حملہ آور کی جانب سے اقتصادی ترغیبات اب انسانی آڈیٹرز کی تعداد کے ساتھ نہیں بلکہ ماڈل کی صلاحیت کے ساتھ بڑھتی ہیں۔
- یہاں تک کہ اعلیٰ ترین فرموں کی جانب سے آڈٹ شدہ کوڈ بیسز نے 2025 اور 2026 میں قابلِ استحصال بگز شپ کیے ہیں۔
DeFi آڈٹ ماڈل 2030 نہیں، 2026 میں متروک
آڈٹ-بطور-پی ڈی ایف ماڈل پہلے سے دباؤ میں تھا۔ AI نے بس اس دباؤ کو عیاں کر دیا۔
روایتی Solidity آڈٹ ایک سے چار ہفتوں کے انسانی جائزے، ایک رپورٹ اور مقررہ فیس کے ریٹینر پر مشتمل ہوتا ہے۔ اس کا نتیجہ ایک سنیپ شاٹ ہوتا ہے۔ حملہ آور کے پاس اب ایک انتھک ایجنٹ ہے جو کافی کے وقفے کے بغیر فز کر سکتا ہے، مین نیٹ کی حالت دوبارہ چلا سکتا ہے، اور ہزاروں گزشتہ استحصالات کے خلاف پیٹرن میچ کر سکتا ہے۔ یہی وہ عدم توازن ہے جس کی طرف Aráoz اشارہ کرتے ہیں جب وہ کہتے ہیں کہ AI جارحانہ سیکیورٹی میں انسانوں سے بڑھ کر ہوتا جا رہا ہے۔
ایک حالیہ ٹھوس مثال: LayerZero DVN غلط ترتیب جس کی وجہ سے Kelp DAO کو 292 ملین ڈالر کا نقصان ہوا کوئی Solidity بگ نہیں تھا۔ یہ آڈٹ شدہ حالت اور چلتی ہوئی حالت کے درمیان کنفیگریشن کا بہاؤ تھا۔ جمعے کی سہ پہر جب آپریشنز ٹیم کوئی تبدیلی پش کرے تو کوئی بھی پی ڈی ایف آڈٹ اسے نہیں پکڑ سکتا۔
میرے خیال میں اسے سب سے سادہ طریقے سے یوں کہا جا سکتا ہے: آڈٹ آپ کو بتاتا ہے کہ جائزے کے دن کوڈ غالباً محفوظ تھا۔ یہ نہیں بتاتا کہ نظام ابھی محفوظ ہے۔
AI سمارٹ کنٹریکٹ ولنریبیلٹی اسکینر دراصل کیا بدلتا ہے
دفاعی جانب بھی حرکت ہو رہی ہے، بس حملہ آور جانب کے مقابلے میں سست۔ یہی خلا پوری مشکل کی جڑ ہے۔
پروڈکشن میں جو کارآمد نمونہ میں دیکھ رہا ہوں وہ "آڈیٹر کی جگہ لینے" سے کم اور "ہر پروٹوکول کو مسلسل مخالف دینے" سے زیادہ ملتا جلتا ہے:
- AI ایجنٹ جو صرف تعیناتی کے وقت نہیں بلکہ ہر گورننس ایکشن کے بعد تعینات شدہ بائٹ کوڈ کو دوبارہ فز کرتے ہیں۔
- انویریئنٹ مانیٹر جو زندہ حالت کو دیکھتے ہیں اور جب ریاضی بہکتی ہے تو سرکٹ بریکر متحرک کرتے ہیں، نہ کہ جب کوئی انسان Discord پر دیکھے۔
- بگ باؤنٹی پلیٹ فارم جو خودمختار ایجنٹوں سے جڑے ہوئے ہیں جو 24/7 نتائج جمع اور چھانٹ کرتے ہیں۔
Forta, Spearbit کی Cantina، اور OpenZeppelin کا اپنا Defender کچھ سالوں سے اسی سمت میں آگے بڑھ رہے ہیں۔ Aráoz جو تبدیلی کی طرف اشارہ کر رہے ہیں وہ یہ ہے کہ یہ اب پریمیم سطح نہیں رہی۔ یہ بنیادی معیار بن چکا ہے۔
DeFi پروٹوکولز کے لیے مسلسل سیکیورٹی، سالانہ جانچ نہیں
جو مثال مجھے بار بار یاد آتی ہے وہ طبی دنیا سے ہے۔ لسٹنگ سے پہلے کا آڈٹ ایک طبی معائنہ ہے۔ مسلسل سیکیورٹی ایک دل کی نگرانی کا آلہ ہے۔
منظم مالیات میں، آڈیٹر سال میں ایک بار دستخط کرتا ہے، لیکن SIEM، WAF، اور تجارتی نگرانی کا نظام ہر سیکنڈ چلتا رہتا ہے۔ DeFi نے سال میں ایک بار والا حصہ اپنا لیا اور لائیو نگرانی والا حصہ چھوڑ دیا، پھر حیران ہوا جب ایک ارب ڈالر سے زیادہ دروازے سے باہر چلے گئے۔ کلاؤڈ سیکیورٹی کے بیس سالوں کا سبق یہ ہے کہ پہلے ڈالر کے بعد خرچ ہونے والا ہر ڈالر آڈٹ کو نگرانی کے آگے بے اثر کر دیتا ہے۔
چند ٹھوس تبدیلیاں جن پر میں داؤ لگاؤں گا:
- آڈٹ فرمیں SLAs کے ساتھ مسلسل نگرانی فراہم کرنے والوں کے طور پر خود کو نئی شکل دیں گی، نہ کہ رپورٹ پہنچانے والی دکانوں کے طور پر۔
- بیمہ کنندگان پروٹوکولز کی قیمت لگاتے وقت آخری PDF کی بجائے ان کی لائیو سیکیورٹی ٹیلی میٹری کو معیار بنائیں گے۔
- گورننس فریم ورک جو ایک مقررہ حد سے اوپر کسی بھی پیرامیٹر تبدیلی پر دوبارہ آڈٹ کو لازمی قرار دیں گے۔
یہ کچھ انوکھا نہیں ہے۔ Web2 نے اسے ایک دہائی پہلے سمجھ لیا تھا۔ DeFi کے پاس بس اس کا مشکل ترین ورژن ہے کیونکہ کوڈ ہی بینک والٹ ہے۔
پروٹوکولز کو اس سہ ماہی میں اصل میں کیا کرنا چاہیے
اگر آپ کوئی DeFi پروٹوکول چلاتے ہیں اور یہ پڑھ رہے ہیں، تو گھر کا کام بالکل واضح ہے:
- آڈٹ PDF کو سیکیورٹی کا واحد ثبوت سمجھنا بند کریں۔ اسے ایک پائپ لائن میں سے ایک ان پٹ سمجھیں۔
- جن invariants کی آپ کو فکر ہے ان سے مانیٹر جوڑیں: ضمانتی تناسب، oracle انحرافات، ایڈمن رول تبدیلیاں، برج آمد/روانگی تناسب۔
- ایک kill switch قائم کریں جسے آپ نے واقعی آزمایا ہو۔ جو pause فنکشن کبھی کسی مشق میں چلایا نہ گیا ہو وہ محض سجاوٹ ہے۔
- اپنے تعینات کردہ contracts کے خلاف AI سے چلنے والی fuzzing باقاعدہ شیڈول پر چلاتے رہیں۔ صرف ایک بار نہیں۔ ہمیشہ کے لیے۔
جو فرمیں خود کو ڈھال لیں گی، وہ Datadog جیسی دکھیں گی، نہ کہ Big Four آڈیٹر جیسی۔ جو نہیں ڈھالیں گی، وہ اگلی 20 کروڑ ڈالر کی سرخی بنیں گی۔
Aráoz کے تبصرے کا گہرا مطلب یہ ہے کہ سیکیورٹی انڈسٹری نے آخرکار وہ بات کھل کر کہہ دی جو پہلے صرف سرگوشیوں میں ہوتی تھی: دو سال سے حملہ آور کا ہتھیار خانہ، دفاع کار کے ہتھیار خانے سے زیادہ تیزی سے ترقی کر رہا ہے، اور اب یہ خلا اتنا وسیع ہو چکا ہے کہ دفاعی ڈھانچہ تعمیر کرنے والے خود اسے تسلیم کر رہے ہیں۔