Kod Masumiyeti ve Operasyonel İflas: AFX Trade'de 24 Milyon

DeFi sektörü, yine akıllı sözleşme kodlarındaki bir açıktan değil, geleneksel siber güvenliğin en zayıf halkası olan operasyonel ihmallerden dolayı sarsıldı; Arbitrum tabanlı sürekli işlem borsası AFX Trade, protokolün köprüsünü yöneten doğrulayıcı anahtarların ele geçirilmesi sonucu 24.15 milyon dolar değerindeki varlığın tamamını kaybetti.

Akıllı Sözleşme İhaneti Değil, Operasyonel Zafiyet

Olayın detayları, blokzincir güvenliğindeki paradoksu gözler önüne seriyor. Saldırgan, sistemin karmaşık kodlarını kırmak yerine, soğuk depolama veya donanım cüzdanlarında saklanması gereken özel doğrulayıcı anahtarlarına (private validator signing keys) erişim sağladı.

■Akıllı sözleşme, imzayı doğruladı ve işlemi yerine getirdi; kod kusursuz çalıştı.

■sorun, bu imzaları oluşturan off-chain (zincir dışı) özel anahtarların güvenliğinin sağlanamamasıydı.

■Saldırgan, köprünün onay süreci olan üçte iki çoğunluk kuralını sağlayarak 24.150.000 USDC'yi kendi cüzdanına transfer etti.

Arbitrum Ekosisteminde Kanayan Yara: Zincir Üstü Veriler

Offchain Labs kurucu ortağı Steven Goldfeder, Arbitrum'un yerel köprüsünün saldırıya uğramadığını ve işlemin üçüncü taraf bir protokolden kaynaklandığını belirtse de, bu durum yatırımcı güvenliği açısından ciddi bir soru işareti oluşturuyor. Saldırgan, çaldığı fonları Ethereum ağına köprüledi ve burada 12.467 ETH karşılığında değiştirdi.

■Güvenlik firması Blockaid, saldırının zincir üstü mantığı atlamadığını, doğrulayıcı imzalarının yetkili bir çıkış olarak tanımlandığını doğruladı.

■AFX Trade, saldırı anine kadar kullanıcı çekişiyle birlikte kilitli değerini (TVL) maksimum seviyeye yaklaştırmıştı.

■Protokolün kasasındaki neredeyse tüm likidite, vault en dolu olduğu anda boşaltıldı.

DeFi Güvenliğinde "Off-Chain" Paradoksu

Bu olay, Nisan ayında Drift Protocol'ün yaşadığı 285 milyon dolarlık kaybı anımsatıyor; saldırganlar kodu değil, aylar süren çabalarla ayrıcalıklı erişim sağladılar. Kripto güvenliği için korkunç bir dönem olan ikinci çeyrek, Arbitrum tabanlı protokoller için özellikle yıkıcı geçti.

■Bir hafta önce RWA platformu Ostium, bir kahin (oracle) açığından 18 milyon dolar kaybetmişti.

■Bu yıl yaşanan büyük saldırıların çoğu, akıllı sözleşme açıkları yerine zincir dışı bileşenleri hedef aldı.

■Piyasalar, bu tür operasyonel başarısızlıkların kurumsal benimsenme önündeki en büyük engel olduğunu kanıtlıyor.

Bu olay, regülasyon dünyasında sıkça tartışılan "custody" (muhafaza) ve "key management" (anahtar yönetimi) konusunun ne kadar kritik olduğunu bir kez daha gözler önüne seriyor. MiCA ve SEC çerçeveleri sadece kodun değil, operasyonel süreçlerin de denetlenmesini zorunlu kılıyor; zira 24 milyon dolarlık bu vurgun, kodun kusursuz çalıştığı bir ortamda, eski usul kurumsal güvenlik ihmallerinin bedeli çok ağır olabiliyor. Kripto fonlarının uyum süreçlerinde, teknik denetimlerin yanında operasyonel güvenlik denetimleri de artık "olmazsa olmaz" bir standart haline gelmeli.