Verus Ethereum Bridge کا استحصال: وہی $11.58M کی خامی
18 مئی 2026 کو کسی نے Verus-Ethereum برج کو 1.158 کروڑ ڈالر میں خالی کر دیا۔ CoinDesk کی رپورٹ کے مطابق، یہ سال کا آٹھواں برج ہیک تھا۔ Verus Ethereum برج کے اس استحصال میں کوئی انوکھا نیا حملہ شامل نہیں تھا۔ یہ وہی ناکامی تھی جسے ہم 2021 سے برجوں کو تباہ کرتے دیکھ رہے ہیں: معاہدے نے ایک چین پر فنڈز جاری کیے بغیر یہ درست طریقے سے تصدیق کیے کہ دوسری چین پر اصل میں کیا ہوا۔
کمزور فنکشن کا اس بار ایک نام تھا۔ checkCCEValues۔ یہ وہی روٹین تھی جو Ethereum کی طرف مِنٹ یا جاری کرنے سے پہلے یہ تصدیق کرنے والی تھی کہ کراس چین ایکسپورٹ کی قدریں حقیقت سے مطابقت رکھتی ہیں۔ اس نے اپنا کام نہیں کیا، اور حملہ آور چلتا بنا۔
میں نے چار سال ریگولیٹڈ ماحول میں برج سے ملتی جلتی انفراسٹرکچر بنانے میں گزارے ہیں، اور مایوس کن بات یہ ہے کہ یہ سب کتنا قابلِ پیش بینی ہو چکا ہے۔ ہم ایک ہی زخم کا نام بدلتے رہتے ہیں۔
Verus Ethereum برج کا استحصال سورس ویلیڈیشن کی ناکامی تھی
برانڈنگ ہٹا دیں تو ہر برج ایک ہی کام کرتا ہے۔ یہ چین A پر ایک واقعہ دیکھتا ہے (جمع، لاک، ایکسپورٹ) اور چین B پر ایک متعلقہ عمل پیدا کرتا ہے (مِنٹ، ان لاک، ریلیز)۔ پوری سیکیورٹی ماڈل ایک ہی سوال پر ٹکی ہے: کیا چین B واقعی وہ مانتا ہے جو چین A نے اسے بتایا، اور کیا اس نے تصدیق کی؟
جب سورس سائیڈ کی مقداروں کی جانچ کرنے والی ویلیڈیشن غلط ہو، تو جواب "نہیں" بن جاتا ہے۔ حملہ آور دعوی کی گئی ایکسپورٹ ویلیو کو جعلی بناتا یا بڑھا چڑھا کر پیش کرتا ہے، منزل کا معاہدہ اس پر بھروسہ کرتا ہے، اور ایسے ٹوکن جن کی کوئی پشت پناہی نہیں تھی مِنٹ یا آزاد ہو جاتے ہیں۔ The Block نے رپورٹ کیا کہ نقصان تقریباً 1.158 کروڑ ڈالر رہا، جو کراس چین ایکسپورٹ چیک میں اسی طرح کے اکاؤنٹنگ خلا کے ذریعے نکالا گیا۔
یہ ایک برج میں سورس اماؤنٹ ویلیڈیشن ہے، اور یہ پورے نظام کا سب سے بوجھ اٹھانے والا فنکشن ہے۔ ایک موازنے میں غلطی کریں اور برج مفت پیسے چھاپنے کی مشین بن جاتا ہے۔
checkCCEValues ایک پرانی خامی کا نیا نام ہے
checkCCEValues کی خامی ان بگز سے ساختی طور پر یکساں ہے جو پہلے سے اس صنعت کو اربوں کا نقصان پہنچا چکے ہیں۔ نام بدلتے رہتے ہیں۔ طریقہ کار نہیں بدلتا۔
- Wormhole، 2022: سگنیچر تصدیق میں خلا کی وجہ سے ایک حملہ آور نے 120,000 wrapped ETH ٹکسال کیے جو کبھی جمع نہیں ہوئے تھے۔
- Nomad، 2022: merkle root کی خراب initialization کا مطلب تھا کہ ہر پیغام درست ثابت ہو جاتا تھا، اور بھیڑ نے copy-paste کر کے برج کو تباہ کر دیا۔
- Multichain، 2023: چابیاں اور اعتماد کے مفروضات جنہیں باہر سے کوئی بھی درحقیقت تصدیق نہیں کر سکتا تھا۔
ان میں سے ہر ایک کی بنیاد میں یہی بات تھی کہ منزل کی چین نے ماخذ واقعے کے ٹھوس ثبوت کے بغیر قدر جاری کی۔ checkCCEValues اسی لفظ کا 2026 والا ہجہ ہے۔
میرا خیال ہے کہ یہ صنعت انہیں انفرادی انجینئرنگ غلطیاں سمجھتی رہتی ہے جبکہ یہ ایک قسمی ناکامی ہے۔ آپ کسی قسم کو ایک فنکشن کو زیادہ سختی سے آڈٹ کر کے ٹھیک نہیں کر سکتے۔
Tornado Cash نے حملہ آور کو فنڈ کیا، جو آپ کو ارادے کے بارے میں بتاتا ہے
استحصال سے پہلے حملہ آور کے والیٹ کو Tornado Cash کے ذریعے فنڈ کیا گیا تھا۔ یہ تفصیل انتساب کے لیے کم اہم ہے بہ نسبت اس کے کہ یہ تیاری کے بارے میں کیا کہتی ہے۔ یہ کوئی whitehat نہیں تھا جو کسی contract کو جانچ رہا تھا اور نتیجے سے حیران ہو گیا۔ Tornado Cash سے فنڈ کیے گئے حملہ آور کا نمونہ کسی ایسے شخص کی علامت ہے جس نے دنوں پہلے آپریشنل cover ترتیب دیا تھا اور توقع تھی کہ رقوم کو باہر نکلتے وقت لانڈرنگ کی ضرورت ہوگی۔
یہی وہ حصہ ہے جسے دفاع کار کم آنکتے ہیں۔ جب تک استحصالی ٹرانزیکشن آتی ہے، باہر نکلنے کا راستہ پہلے سے بنا ہوا ہوتا ہے۔ بعد از وقوع سراغ رسانی سرکاری وکلاء کی مدد کرتی ہے، لیکن اس پروٹوکول کے لیے تقریباً کچھ نہیں کرتی جس نے ابھی آٹھ ہندسوں کا نقصان اٹھایا۔
برج سیکیورٹی کی ناکامیاں اب ماہانہ ٹیکس بن چکی ہیں
پیچھے ہٹ کر دیکھیں تو Verus ہیک ایک معمول کی بات ہے، کوئی استثنیٰ نہیں۔ Bitcoin.com کی طرف سے نقل کردہ PeckShield ڈیٹا کے مطابق، صرف مئی 2026 میں کرپٹو برج استحصالات تقریباً 328 ملین ڈالر تک جمع ہوئے۔ سال کے پانچ ماہ سے کم میں آٹھ برج واقعات۔
مارکیٹ نے اسے خاموشی سے کراس-چین کاروبار کی لاگت کے طور پر قبول کر لیا ہے۔ یہ غلط سبق ہے۔ ماہانہ نو ہندسوں کا بار بار آنے والا نقصان اتار چڑھاؤ نہیں، یہ ایک ساختی خامی ہے جس کا سامنا کرنے سے ڈیزائن کی دنیا گریز کرتی رہتی ہے۔
حقیقی رقم منتقل کرنے والوں کے لیے یہ نتیجہ بے سکونی دینے والا ہے: زیادہ تر بریجز ریاضی کا لبادہ اوڑھے ہوئے ٹرسٹ کے مفروضے ہیں۔ میں اس سے پہلے How Stablecoin Bridges Actually Fail میں دلیل دے چکا ہوں کہ سب سے محفوظ بریج اکثر وہی ہوتی ہے جو یہ تسلیم کر لے کہ وہ اصل میں کتنا کم تصدیق کرتی ہے۔
واقعی قابل دفاع بریج چیک کیسا دکھتا ہے
اگر آپ بریج بنا رہے ہیں یا اس کا آڈٹ کر رہے ہیں، تو سورس امانت کی توثیق وہ جگہ ہے جہاں آپ کو اپنی زیادہ تر احتیاط صرف کرنی چاہیے۔ چند باتیں جنہیں میں ناگزیر سمجھتا ہوں:
- ڈیسٹینیشن کانٹریکٹ کو سورس ایونٹ کا کریپٹوگرافک ثبوت تصدیق کرنا ہوگا، کسی ریلائر کی زبانی بات نہیں۔ جہاں تاخیر کا بجٹ اجازت دے وہاں ملٹی سگ اٹیسٹیشنز کے مقابلے میں لائٹ-کلائنٹ یا zk پروفس۔
- مقدار کی جانچ ہر راستے پر مکمل ہونی چاہیے۔
checkCCEValuesقسم کا بگ عام طور پر اس شاخ میں چھپا ہوتا ہے جسے کچھ ان پٹ چھوڑ دیتے ہیں۔ موازنے کو فز کریں، اندازے سے نہ دیکھیں۔ - ہر اثاثے پر ریٹ لمٹس اور سرکٹ بریکرز، تاکہ جعلی قدر ایک ہی ٹرانزیکشن میں پورا ریزرو خالی نہ کر سکے۔ ایک ایسی حد جو فی گھنٹہ TVL کے 5% پر خود بخود روک دے، 2026 کے زیادہ تر واقعات کو کم کر دیتی۔
- آزادانہ انویریئنٹ مانیٹرنگ جو حقیقی وقت میں کل منٹڈ بمقابلہ کل لاکڈ دیکھے اور تضاد پر رک جائے۔
ان میں سے کوئی بھی نئی بات نہیں۔ انہیں پکڑنے کا آڈٹ اسٹیک موجود ہے، جس میں میں the audit-stack piece میں گہرائی سے گیا تھا۔ مسئلہ یہ ہے کہ بریجز توثیق کو مصنوع کی بجائے آخری سوچ کے طور پر شپ کرتی رہتی ہیں۔
2026 کا اگلا بریج ہیک پہلے سے لکھا جا رہا ہے۔ اس کا فنکشن نام الگ ہوگا اور بنیادی سبب وہی ہوگا، اور ہم پھر حیران ہوں گے۔ ہمیں نہیں ہونا چاہیے۔