2026 की DeFi ब्रिज हैक लहर: $328 मिलियन की चोरी ने उजागर की क्रॉस‑चेन सिस्टम की कमजोरियाँ

क्रिप्टो दुनिया में 2026 की शुरुआत DeFi सुरक्षा के लिए एक चेतावनी बनकर आई। फरवरी से लेकर मध्य‑मई 2026 तक कम से कम आठ बड़े क्रॉस‑चेन ब्रिज हैक हुए, जिनमें हमलावरों ने लगभग $328.6 मिलियन की डिजिटल संपत्ति चुरा ली। इस नुकसान का अधिकांश हिस्सा एक ही घटना से जुड़ा था—18 अप्रैल को KelpDAO के LayerZero‑आधारित rsETH ब्रिज पर हुआ करीब $292 मिलियन का हमला।

इन सभी हमलों के तकनीकी तरीके अलग‑अलग थे, लेकिन उन्होंने एक ही मूल समस्या उजागर की: क्रॉस‑चेन ब्रिज अक्सर बड़ी मात्रा में संपत्ति लॉक करते हैं, लेकिन उनकी सुरक्षा व्यवस्था अपेक्षाकृत कमजोर और जटिल होती है।

सबसे बड़ा हमला: KelpDAO–LayerZero ब्रिज

18 अप्रैल 2026 को DeFi का सबसे बड़ा हैक हुआ, जब हमलावरों ने KelpDAO के क्रॉस‑चेन ब्रिज से लगभग 116,500 rsETH (करीब $292 मिलियन) निकाल लिए।

जांच में पता चला कि यह हमला सीधे स्मार्ट‑कॉन्ट्रैक्ट बग पर नहीं था। इसके बजाय, हमलावरों ने ब्रिज की वेरिफिकेशन आर्किटेक्चर और सपोर्टिंग इंफ्रास्ट्रक्चर को निशाना बनाया।

मुख्य कारण:

• सिंगल‑वेरिफायर सेटअप: KelpDAO ने 1‑of‑1 Decentralized Verifier Network (DVN) का उपयोग किया था, यानी केवल एक वेरिफायर क्रॉस‑चेन संदेश को मंजूरी दे सकता था।
• RPC इंफ्रास्ट्रक्चर से छेड़छाड़: हमलावरों ने वेरिफायर द्वारा इस्तेमाल किए जाने वाले RPC नोड्स में घुसपैठ कर डेटा को प्रभावित किया।
• फर्जी क्रॉस‑चेन मैसेज: इस छेड़छाड़ के कारण सिस्टम को ऐसा संदेश मिला जैसे किसी दूसरी चेन पर टोकन "बर्न" हुए हों, जिससे Ethereum कॉन्ट्रैक्ट ने रिज़र्व से फंड जारी कर दिए।

जांचकर्ताओं के अनुसार शुरुआती संकेत उत्तर कोरिया के Lazarus Group (TraderTraitor क्लस्टर) की ओर इशारा करते हैं, हालांकि यह अभी अंतिम कानूनी पुष्टि नहीं है।

THORChain हमला

15 मई 2026 को क्रॉस‑चेन लिक्विडिटी प्रोटोकॉल THORChain पर हमला हुआ जिसमें लगभग $10.8 मिलियन का नुकसान हुआ।

यह हमला संभवतः प्रोटोकॉल के GG20 threshold‑signature सिस्टम से जुड़ा था—एक क्रिप्टोग्राफिक व्यवस्था जिसमें कई नोड मिलकर ट्रांजैक्शन साइन करते हैं, बिना पूरा प्राइवेट की साझा किए।

घटना विश्लेषण के अनुसार:

• एक दुर्भावनापूर्ण नोड ने कई साइनिंग राउंड के दौरान क्रिप्टोग्राफिक डेटा के छोटे‑छोटे हिस्से इकट्ठा किए
• बाद में उन हिस्सों से Asgard vault की प्राइवेट की पुनर्निर्मित कर ली
• इसके बाद हमलावर ने अनधिकृत ट्रांजैक्शन साइन करके फंड निकाल लिए

यह घटना दिखाती है कि यदि सिग्नेचर सिस्टम से पर्याप्त की‑फ्रैगमेंट लीक हो जाएँ, तो ब्रिज की पूरी सुरक्षा खतरे में पड़ सकती है।

Verus–Ethereum ब्रिज हैक

18 मई 2026 को एक और क्रॉस‑चेन ब्रिज—Verus‑Ethereum ब्रिज—से लगभग $11.58 मिलियन की संपत्ति निकाल ली गई।

हमलावर ने निम्न संपत्तियाँ निकालीं:

• 103.6 tBTC
• 1,625 ETH
• लगभग 147,000 USDC

बाद में इन सभी को ETH में बदल दिया गया।

जांच में सामने आया कि समस्या वैलिडेशन लॉजिक की एक बड़ी खामी थी:

• ब्रिज के दोनों हिस्से ट्रांजैक्शन की जांच कर रहे थे
• लेकिन किसी भी पक्ष ने यह सत्यापित नहीं किया कि सोर्स चेन पर भेजी गई राशि वास्तव में उतनी ही है जितनी दूसरी चेन पर जारी हो रही है

इस गैप का फायदा उठाकर हमलावर ने ऐसा मैसेज भेजा जो तकनीकी रूप से वैध दिखता था, लेकिन असल में लगभग शून्य मूल्य के ट्रांसफर पर आधारित था। इसके बावजूद कॉन्ट्रैक्ट ने रिज़र्व से फंड जारी कर दिए।

क्रॉस‑चेन ब्रिज बार‑बार क्यों हैक हो रहे हैं

2026 की घटनाएँ एक पुरानी चेतावनी को दोहराती हैं: DeFi में सबसे जोखिम भरा इंफ्रास्ट्रक्चर अक्सर क्रॉस‑चेन ब्रिज होते हैं।

इनमें कुछ संरचनात्मक कमजोरियाँ बार‑बार सामने आती हैं।

1. बहुत छोटा वेरिफायर सेट

कई ब्रिज कुछ ही वैलिडेटर या वेरिफायर पर निर्भर होते हैं। यदि इनमें से एक भी समझौता कर लिया जाए—जैसा KelpDAO मामले में हुआ—तो हमलावर फर्जी ट्रांसफर को वैध दिखा सकते हैं।

2. प्राइवेट‑की और सिग्नेचर सिस्टम का जोखिम

कई ब्रिज मल्टी‑सिग या threshold‑signature मॉडल का उपयोग करते हैं। यदि हमलावर पर्याप्त की‑फ्रैगमेंट हासिल कर लें या साइनिंग नोड्स को नियंत्रित कर लें, तो वे असली दिखने वाले लेकिन दुर्भावनापूर्ण ट्रांजैक्शन बना सकते हैं। THORChain हमले में यही आशंका सामने आई।

3. अधूरी मैसेज वेरिफिकेशन

ब्रिज को यह साबित करना होता है कि एक चेन पर कोई घटना सच में हुई है, तभी दूसरी चेन पर फंड जारी होना चाहिए। यदि किसी भी स्तर पर वैलिडेशन अधूरा हो—जैसे Verus ब्रिज में—तो फर्जी प्रूफ पास हो सकते हैं।

4. ऑफ‑चेन इंफ्रास्ट्रक्चर पर निर्भरता

क्रॉस‑चेन सिस्टम केवल स्मार्ट कॉन्ट्रैक्ट पर निर्भर नहीं होते। वे RPC नोड्स, रिलेयर्स, मॉनिटरिंग टूल्स और ऑपरेशनल सर्वर पर भी निर्भर करते हैं। इन सिस्टम्स से छेड़छाड़ करने पर वेरिफिकेशन नेटवर्क को गलत डेटा मिल सकता है—जैसा KelpDAO हमले में देखा गया।

DeFi के लिए इसका क्या मतलब है

ब्रिज हैक केवल पैसे की चोरी नहीं हैं—वे DeFi के मूल वादे को चुनौती देते हैं: अलग‑अलग ब्लॉकचेन के बीच सुरक्षित और आसान संपत्ति ट्रांसफर।

जब कोई ब्रिज टूटता है, तो इसके प्रभाव कई जगह फैलते हैं:

• रैप्ड टोकन अपनी बैकिंग खो सकते हैं
• लेंडिंग प्रोटोकॉल में गिरवी रखी संपत्ति का मूल्य गिर सकता है
• क्रॉस‑चेन ट्रेडिंग और लिक्विडिटी मार्ग टूट सकते हैं

क्योंकि ब्रिज अक्सर कस्टोडियल हब की तरह काम करते हैं और बड़ी मात्रा में टोकन लॉक रखते हैं, इसलिए एक ही हमले का असर कई ब्लॉकचेन और DeFi प्रोटोकॉल तक फैल सकता है।

2026 की घटनाएँ दिखाती हैं कि समस्या केवल अलग‑अलग बग नहीं, बल्कि पूरे ब्रिज आर्किटेक्चर में मौजूद संरचनात्मक जोखिम है। जब तक क्रॉस‑चेन सिस्टम अधिक विकेंद्रीकृत वेरिफायर, मजबूत क्रिप्टोग्राफिक प्रूफ और सुरक्षित ऑपरेशनल इंफ्रास्ट्रक्चर नहीं अपनाते, तब तक वे हमलावरों के लिए सबसे आकर्षक लक्ष्य बने रहेंगे।