इन पुराने कॉन्ट्रैक्ट्स के पास अभी भी कुछ बेहद संवेदनशील 'मालिकाना विशेषाधिकार' (Owner-Privilege) वाली फंक्शनलिटी थी, जिसने इन्हें कमज़ोर बना दिया। सुरक्षा फर्म SlowMist ने इस हमले को 'ओनरशिप ओवरराइड अटैक' करार दिया, जिसमें हमलावर ने कॉन्ट्रैक्ट पर अपने नियंत्रण का फायदा उठाकर निकासी शुल्क लगभग शून्य कर दिया, अनलॉक टाइम को 1970 का दिखाने के लिए पीछे की तारीख डाल दी, और एक खास तौर पर बनाए गए ड्रेनर कॉन्ट्रैक्ट की मदद से लॉक LP टोकन्स को खुलेआम निकाल लिया ।

लंबी अवधि की योजना: 269 दिन की तैयारी

यह हैक आम मौकापरस्त हैक्स से इसलिए अलग है, क्योंकि इसके पीछे एक बेहद लंबी और सोची-समझी योजना के सबूत हैं। ऑन-चेन डेटा से पता चला है कि हमलावर ने असली चोरी से लगभग नौ महीने पहले ही इसकी नींव रख दी थी।

• अगस्त 2025: अहम लीगेसी लॉकर कॉन्ट्रैक्ट का मालिकाना हक चुपचाप एक ऐसे पते (एड्रेस) पर ट्रांसफर कर दिया गया, जो अब हैकर के नियंत्रण में है ।
• 28-29 मई, 2026: लगभग 269 दिन बाद, असली चोरी को अंजाम दिया गया ।

यह पहले से की गई तैयारी इस बात का सबूत है कि यह हमला एक सोची-समझी साज़िश थी, न कि मौके का फायदा। PeckShield और SlowMist जैसी ऑन-चेन विश्लेषक और सुरक्षा कंपनियों का कहना है कि हमले की दक्षता इस ओर इशारा करती है कि हमलावर को DxSale के खास और पुराने पड़ चुके कॉन्ट्रैक्ट आर्किटेक्चर की गहरी जानकारी थी, जो संभवतः अंदरूनी स्तर पर ही मिल सकती थी ।

अनदेखी की गई चेतावनियों का इतिहास

2026 का यह हमला पहली बार नहीं था जब खतरे की घंटी बजी। जून 2025 में, ब्लॉकचेन सुरक्षा फर्म Decurity ने BNB चेन पर DxSale के एक दूसरे स्मार्ट कॉन्ट्रैक्ट में एक गंभीर बग का खुलासा किया था, जो उस समय यूजर्स के कम से कम 5.2 मिलियन डॉलर के फंड को खतरे में डाल रहा था। एक ऐसी कमज़ोरी ढूंढने और जिम्मेदारी से उसकी रिपोर्ट करने के बदले, जिससे करोड़ों का नुकसान हो सकता था, Decurity को महज 500 डॉलर (लगभग 42,000 रुपए) का बाउंटी ऑफर किया गया — यह रकम इतनी कम थी कि इसने पूरे उद्योग में सुर्खियां बटोरीं और कड़ी आलोचना हुई ।

हालांकि उस खास बग को बाद में पैच कर दिया गया, लेकिन इस घटना ने सुरक्षा ढांचे को नज़रअंदाज़ करने की एक गहरी जड़ें जमा चुकी प्रवृत्ति को उजागर किया, जो एक साल बाद लीगेसी लॉकर्स की इस कहीं अधिक भयानक हैक के रूप में सामने आई।

लूट को साफ करने की प्रक्रिया: बिखराव और गुमराह करना

LP टोकन पर कब्ज़ा जमाने के बाद, हैकर ने चुराए गए फंड का रास्ता गुमराह करने के लिए बेहद तेज़ी से काम किया। मुख्य हमलावर एड्रेस 0xC4574DDEF299e7E563971e200433e592EeaaFA69 ने पैसों को साफ करने के लिए कई कदम उठाए ।

1. टोकन स्वैप: चुराए गए LP टोकन्स को तुरंत BNB, यानी BNB चेन की मूल मुद्रा में बदल दिया गया, ताकि ऑन-चेन ट्रेसिंग को मुश्किल बनाया जा सके ।
2. जमाव और बंटवारा: मुख्य एड्रेस से लगभग 2,958 BNB, जिनकी उस समय कीमत करीब 1.87 मिलियन डॉलर थी, को पहले दो बिचौलिया वॉलेट्स में ट्रांसफर किया गया ।
3. वितरण: उन वॉलेट्स से फिर पैसे को कई डिपॉजिट एड्रेसेस में फैला दिया गया। यह एक आम तकनीक है जिससे पैसों के निशान को कई टुकड़ों में बांटकर रिकवरी के प्रयासों को और उलझाया जाता है । शुरुआती रिपोर्टों में AnySwap जैसी क्रॉस-चेन सेवाओं के इस्तेमाल का भी जिक्र हुआ था ।

बड़ी तस्वीर: 2026 में DeFi का खौफनाक दौर

DxSale की यह घटना कोई अकेला मामला नहीं है, बल्कि यह 2026 में क्रिप्टो अपराध की एक विनाशकारी लहर का हिस्सा है। यह साल ऑन-चेन सुरक्षा के लिहाज़ से अब तक के सबसे खराब वर्षों में से एक बनने की राह पर है।

• पहली तिमाही का धोखा: 2026 की पहली तिमाही में डिसेंट्रलाइज्ड फाइनेंस (DeFi) प्रोटोकॉल्स ने 34 अलग-अलग हैक्स में लगभग 168-169 मिलियन डॉलर (लगभग 1,400 करोड़ रुपए) गंवाए। यह 2025 की पहली तिमाही के 1.58 बिलियन डॉलर के चौंकाने वाले नुकसान से 89% की बड़ी गिरावट थी — हालांकि पिछले साल के आंकड़े 1.4 बिलियन डॉलर के Bybit हैक के कारण बहुत बढ़े हुए थे — फिर भी सुरक्षा विशेषज्ञों ने चेतावनी दी कि खतरा अभी टला नहीं है ।
• रिकॉर्ड-तोड़ अप्रैल: ये चेतावनियां सच साबित हुईं। अप्रैल 2026 क्रिप्टो इतिहास का सबसे ज्यादा हैक वाला महीना बन गया, जब अकेले DeFi प्रोटोकॉल से 606 मिलियन डॉलर से अधिक की चोरी हुई। इसके चलते मात्र 48 घंटों के भीतर ही DeFi इकोसिस्टम की टोटल वैल्यू लॉक्ड (TVL) में 13 बिलियन डॉलर की भारी गिरावट आ गई ।
• बढ़ता सालाना नुकसान: मई 2026 के अंत तक, क्रिप्टो हैक और संबंधित घटनाओं में कुल नुकसान 185 मामलों में 1.1 बिलियन डॉलर के पार पहुंच गया। इसमें से करीब 816.9 मिलियन डॉलर का नुकसान अकेले DeFi और क्रॉस-चेन ब्रिज हैक्स से हुआ ।
• राज्य-प्रायोजित खतरा: इस नुकसान का एक बड़ा हिस्सा उत्तर कोरियाई हैकिंग समूहों को जिम्मेदार ठहराया जाता है, जो अप्रैल 2026 तक हुए क्रिप्टो हैक नुकसान के 76% के लिए जिम्मेदार थे। उन्होंने महज कुछ बड़े हमलों में लगभग 577 मिलियन डॉलर की चोरी की ।

DxSale हैक, भले ही साल की सबसे बड़ी सेंध न हो, लेकिन यह एक बढ़ते खतरे का एक पाठ्यपुस्तक जैसा उदाहरण है। जैसे-जैसे DeFi का दायरा बढ़ता है, पुराने, बिना ऑडिट किए और बिना रखरखाव वाले 'ज़ॉम्बी कॉन्ट्रैक्ट्स' का कब्रिस्तान भी बढ़ता जाता है। इन कॉन्ट्रैक्ट्स के पास एडमिन चाबियां होती हैं, जो यदि हैक हो जाएं या, जैसा कि इस मामले में हुआ, चुपके से ट्रांसफर कर दी जाएं, तो हमलावरों को अंदर बंद किसी भी फंड का सीधा-सादा रास्ता मिल जाता है। यह घटना एक महत्वपूर्ण सबक है कि 'लॉक्ड लिक्विडिटी' उतनी ही सुरक्षित है, जितना कि उसे लॉक करने वाला कोड और उसकी चाबियां।

इन पुराने कॉन्ट्रैक्ट्स के पास अभी भी कुछ बेहद संवेदनशील 'मालिकाना विशेषाधिकार' (Owner-Privilege) वाली फंक्शनलिटी थी, जिसने इन्हें कमज़ोर बना दिया। सुरक्षा फर्म SlowMist ने इस हमले को 'ओनरशिप ओवरराइड अटैक' करार दिया, जिसमें हमलावर ने कॉन्ट्रैक्ट पर अपने नियंत्रण का फायदा उठाकर निकासी शुल्क लगभग शून्य कर दिया, अनलॉक टाइम को 1970 का दिखाने के लिए पीछे की तारीख डाल दी, और एक खास तौर पर बनाए गए ड्रेनर कॉन्ट्रैक्ट की मदद से लॉक LP टोकन्स को खुलेआम निकाल लिया ।

लंबी अवधि की योजना: 269 दिन की तैयारी

यह हैक आम मौकापरस्त हैक्स से इसलिए अलग है, क्योंकि इसके पीछे एक बेहद लंबी और सोची-समझी योजना के सबूत हैं। ऑन-चेन डेटा से पता चला है कि हमलावर ने असली चोरी से लगभग नौ महीने पहले ही इसकी नींव रख दी थी।

• अगस्त 2025: अहम लीगेसी लॉकर कॉन्ट्रैक्ट का मालिकाना हक चुपचाप एक ऐसे पते (एड्रेस) पर ट्रांसफर कर दिया गया, जो अब हैकर के नियंत्रण में है ।
• 28-29 मई, 2026: लगभग 269 दिन बाद, असली चोरी को अंजाम दिया गया ।

यह पहले से की गई तैयारी इस बात का सबूत है कि यह हमला एक सोची-समझी साज़िश थी, न कि मौके का फायदा। PeckShield और SlowMist जैसी ऑन-चेन विश्लेषक और सुरक्षा कंपनियों का कहना है कि हमले की दक्षता इस ओर इशारा करती है कि हमलावर को DxSale के खास और पुराने पड़ चुके कॉन्ट्रैक्ट आर्किटेक्चर की गहरी जानकारी थी, जो संभवतः अंदरूनी स्तर पर ही मिल सकती थी ।

अनदेखी की गई चेतावनियों का इतिहास

2026 का यह हमला पहली बार नहीं था जब खतरे की घंटी बजी। जून 2025 में, ब्लॉकचेन सुरक्षा फर्म Decurity ने BNB चेन पर DxSale के एक दूसरे स्मार्ट कॉन्ट्रैक्ट में एक गंभीर बग का खुलासा किया था, जो उस समय यूजर्स के कम से कम 5.2 मिलियन डॉलर के फंड को खतरे में डाल रहा था। एक ऐसी कमज़ोरी ढूंढने और जिम्मेदारी से उसकी रिपोर्ट करने के बदले, जिससे करोड़ों का नुकसान हो सकता था, Decurity को महज 500 डॉलर (लगभग 42,000 रुपए) का बाउंटी ऑफर किया गया — यह रकम इतनी कम थी कि इसने पूरे उद्योग में सुर्खियां बटोरीं और कड़ी आलोचना हुई ।

हालांकि उस खास बग को बाद में पैच कर दिया गया, लेकिन इस घटना ने सुरक्षा ढांचे को नज़रअंदाज़ करने की एक गहरी जड़ें जमा चुकी प्रवृत्ति को उजागर किया, जो एक साल बाद लीगेसी लॉकर्स की इस कहीं अधिक भयानक हैक के रूप में सामने आई।

लूट को साफ करने की प्रक्रिया: बिखराव और गुमराह करना

LP टोकन पर कब्ज़ा जमाने के बाद, हैकर ने चुराए गए फंड का रास्ता गुमराह करने के लिए बेहद तेज़ी से काम किया। मुख्य हमलावर एड्रेस 0xC4574DDEF299e7E563971e200433e592EeaaFA69 ने पैसों को साफ करने के लिए कई कदम उठाए ।

1. टोकन स्वैप: चुराए गए LP टोकन्स को तुरंत BNB, यानी BNB चेन की मूल मुद्रा में बदल दिया गया, ताकि ऑन-चेन ट्रेसिंग को मुश्किल बनाया जा सके ।
2. जमाव और बंटवारा: मुख्य एड्रेस से लगभग 2,958 BNB, जिनकी उस समय कीमत करीब 1.87 मिलियन डॉलर थी, को पहले दो बिचौलिया वॉलेट्स में ट्रांसफर किया गया ।
3. वितरण: उन वॉलेट्स से फिर पैसे को कई डिपॉजिट एड्रेसेस में फैला दिया गया। यह एक आम तकनीक है जिससे पैसों के निशान को कई टुकड़ों में बांटकर रिकवरी के प्रयासों को और उलझाया जाता है । शुरुआती रिपोर्टों में AnySwap जैसी क्रॉस-चेन सेवाओं के इस्तेमाल का भी जिक्र हुआ था ।

बड़ी तस्वीर: 2026 में DeFi का खौफनाक दौर

DxSale की यह घटना कोई अकेला मामला नहीं है, बल्कि यह 2026 में क्रिप्टो अपराध की एक विनाशकारी लहर का हिस्सा है। यह साल ऑन-चेन सुरक्षा के लिहाज़ से अब तक के सबसे खराब वर्षों में से एक बनने की राह पर है।

• पहली तिमाही का धोखा: 2026 की पहली तिमाही में डिसेंट्रलाइज्ड फाइनेंस (DeFi) प्रोटोकॉल्स ने 34 अलग-अलग हैक्स में लगभग 168-169 मिलियन डॉलर (लगभग 1,400 करोड़ रुपए) गंवाए। यह 2025 की पहली तिमाही के 1.58 बिलियन डॉलर के चौंकाने वाले नुकसान से 89% की बड़ी गिरावट थी — हालांकि पिछले साल के आंकड़े 1.4 बिलियन डॉलर के Bybit हैक के कारण बहुत बढ़े हुए थे — फिर भी सुरक्षा विशेषज्ञों ने चेतावनी दी कि खतरा अभी टला नहीं है ।
• रिकॉर्ड-तोड़ अप्रैल: ये चेतावनियां सच साबित हुईं। अप्रैल 2026 क्रिप्टो इतिहास का सबसे ज्यादा हैक वाला महीना बन गया, जब अकेले DeFi प्रोटोकॉल से 606 मिलियन डॉलर से अधिक की चोरी हुई। इसके चलते मात्र 48 घंटों के भीतर ही DeFi इकोसिस्टम की टोटल वैल्यू लॉक्ड (TVL) में 13 बिलियन डॉलर की भारी गिरावट आ गई ।
• बढ़ता सालाना नुकसान: मई 2026 के अंत तक, क्रिप्टो हैक और संबंधित घटनाओं में कुल नुकसान 185 मामलों में 1.1 बिलियन डॉलर के पार पहुंच गया। इसमें से करीब 816.9 मिलियन डॉलर का नुकसान अकेले DeFi और क्रॉस-चेन ब्रिज हैक्स से हुआ ।
• राज्य-प्रायोजित खतरा: इस नुकसान का एक बड़ा हिस्सा उत्तर कोरियाई हैकिंग समूहों को जिम्मेदार ठहराया जाता है, जो अप्रैल 2026 तक हुए क्रिप्टो हैक नुकसान के 76% के लिए जिम्मेदार थे। उन्होंने महज कुछ बड़े हमलों में लगभग 577 मिलियन डॉलर की चोरी की ।

DxSale हैक, भले ही साल की सबसे बड़ी सेंध न हो, लेकिन यह एक बढ़ते खतरे का एक पाठ्यपुस्तक जैसा उदाहरण है। जैसे-जैसे DeFi का दायरा बढ़ता है, पुराने, बिना ऑडिट किए और बिना रखरखाव वाले 'ज़ॉम्बी कॉन्ट्रैक्ट्स' का कब्रिस्तान भी बढ़ता जाता है। इन कॉन्ट्रैक्ट्स के पास एडमिन चाबियां होती हैं, जो यदि हैक हो जाएं या, जैसा कि इस मामले में हुआ, चुपके से ट्रांसफर कर दी जाएं, तो हमलावरों को अंदर बंद किसी भी फंड का सीधा-सादा रास्ता मिल जाता है। यह घटना एक महत्वपूर्ण सबक है कि 'लॉक्ड लिक्विडिटी' उतनी ही सुरक्षित है, जितना कि उसे लॉक करने वाला कोड और उसकी चाबियां।