OpenZeppelin के को-फाउंडर Manuel Aráoz का कहना है कि अब वह हर डीसेंट्रलाइज्ड फाइनेंस (DeFi) प्रोटोकॉल को असुरक्षित मानते हैं। इसके लिए वे AI कोड-एक्सप्लॉइटेशन एजेंट्स में हो रही तेज़ प्रगति को ज़िम्मेदार मानते हैं।
उन्होंने खासतौर पर Aave, MakerDAO और Compound को हाइलाइट किया, ये तीन ऐसे ब्लू-चिप प्रोटोकॉल हैं जिनकी सिक्योरिटी में उनकी कंपनी 2015 से मदद कर रही है।
Aráoz ने सिक्योरिटी असिमेट्री को समझाया
OpenZeppelin के एग्जीक्यूटिव का कहना है कि कोडिंग एजेंट्स अब स्मार्ट कॉन्ट्रैक्ट्स में बग ढूंढने में इंसानों से आगे निकल गए हैं।
“अब मैं DeFi को पूरी तरह असुरक्षित मानता हूँ। कोडिंग एजेंट्स कमज़ोरियों को ढूंढने में सुपरह्यूमन बन चुके हैं और स्मार्ट कॉन्ट्रैक्ट सिक्योरिटी बहुत असिमेट्रिक है: डिफेंडर्स को हर बग को फिक्स करना पड़ता है, जबकि अटैकर्स को फंड चुराने के लिए सिर्फ एक एक्सप्लॉइट चाहिए,” उन्होंने एक पोस्ट में लिखा।
उनका कहना है कि यह असंतुलन इसलिए बड़ा है क्योंकि डिफेंडर्स को हर खामी को दूर करना होता है, जबकि हमलावरों को सिर्फ एक मौका चाहिए।
हमारे साथ X पर जुड़ें ताकि आपको न्यूज़ सबसे पहले मिले
उनकी यह चेतावनी ऐसे समय आई है जब नए बेंचमार्क दिखा रहे हैं कि एडवांस्ड मॉडल्स ब्लॉकचेन की कमियों को खुद से ढूंढ सकते हैं और उनका एक्सप्लॉइट कर सकते हैं। यह ट्रेंड BeInCrypto 2026 में लगातार ट्रैक कर रहा है।
इस साल की शुरुआत में a16z के सैंडबॉक्स एक्सपेरिमेंट ने दिखाया कि एक एजेंट टेस्टिंग एनवायरनमेंट से निकलकर लाइव API key तक पहुंच गया।
इंडस्ट्री में तुरंत विरोध होने लगा
Aave Chan Initiative के फाउंडर Marc Zeller ने इस पोस्ट को “moronic” बताया। उनका कहना है कि पिछले साल के DeFi लॉसेस में से 10% से भी कम कोडबेस की खामियों के कारण हुए, जबकि ज़्यादातर नुकसान पैरामीटर मिसकंफिगरेशन और कमज़ोर ऑपरेशनल सिक्योरिटी की वजह से हुए।
इन्वेस्टर Jacob Franek ने कहा कि अगर Aráoz का थ्योरी सही होता तो हाई-TVL प्रोटोकॉल्स अब तक पूरी तरह खाली हो जाते।
उन्होंने यह भी कहा कि टाइमलॉक्स और सर्किट ब्रेकर्स जैसे नॉन-कोड समाधान अभी भी काफी असरदार हैं, और यही AI टूल्स आगे चलकर डिफेंसिव फॉर्मल वेरिफिकेशन को पावर देंगे, जब नई कोड रिलीज़ होगी।
“यह एक अस्थायी समस्या है। Mythos या इसके बाद जो भी आएगा, वह एक्सप्लॉइट ढूंढने के मामले में शायद ‘सबसे बेहतर’ होगा, इसलिए जो लोग नए कॉन्ट्रैक्ट्स लिख रहे हैं, वे इन्हीं मॉडल्स का इस्तेमाल कर सकते हैं ताकि वे कोड रिलीज़ करते वक्त औपचारिक रूप से वैरिफाई कर पाएं और संभावित सभी अटैक सरफेस (कम से कम ऐप से जुड़ी इनहेरेंट समस्याएँ, बाहरी फेल्योर जैसे कि collateral गिरना या oracle एक्सप्लॉइट को छोड़कर) को एलिमिनेट कर सकें,” Franek ने जोड़ा।
OpenZeppelin ने Aráoz की एग्जिट एडवाइस को समर्थन नहीं दिया है।
इस फर्म ने मई की शुरुआत में एक लेयर्ड DeFi रिस्क फ्रेमवर्क पब्लिश किया था और हाल ही में एक कंटिन्यूस AI-असिस्टेड ऑडिट सब्सक्रिप्शन लॉन्च किया है, जो एक बार की रिव्यू प्रक्रिया को और मजबूती देता है।
