Aave ve Kelp, Arbitrum ağında saldırgana ait olan rsETH tokenlarını 12 Mayıs’ta yakarak, teknik kurtarma planının ilk aşamasını tamamladı. Bu gelişme, 18 Nisan’da gerçekleşen ve LayerZero köprüsündeki güvenlik açığını kullanan saldırının yarattığı zararın giderilmesi açısından kritik bir dönemeç olarak öne çıktı.
Saldırı Nasıl Gerçekleşti?
Nisan ayında yaşanan saldırıda, Kelp’in Unichain ile Ethereum arasındaki LayerZero destekli köprüsünde bulunan bir güvenlik açığı tespit edildi. Bu açık sayesinde saldırgan, toplamda 116.500 adet karşılıksız rsETH üretti ve bu tokenları Ethereum’a taşıdı. Protokolün resmi raporuna göre, köprünün 1’e 1 doğrulayıcı modeli nedeniyle tek bir onayla zincirler arası transferlerin gerçekleşmesi mümkündü. Saldırgan, rsETH’nin kaynak zincirde yakıldığına dair sahte bir mesaj oluşturarak, Ethereum’da gerçek karşılığı olmayan yeni rsETH tokenları elde etti.
Elde edilen bu rsETH’ler, Aave V3 platformunda teminat olarak gösterilip, saldırgana 190 milyon ila 236 milyon dolar değerinde WETH ve wstETH borçlanma imkanı sağladı. Bu şekilde, protokolden toplam 292 milyon dolarlık bir sızıntı gerçekleşti ve sistemde karşılıksız rsETH’ler dolaşıma girdi.
Kurtarma Planı ve Koalisyonun Rolü
Saldırı sonrası, DeFi United isminde geniş katılımlı bir koalisyon harekete geçti. Bu yapı, kullanıcı zararlarını sosyalizasyon yolu ile dağıtmadan, rsETH’lerin tekrar teminatlandırılmasını hedefledi. Lido (2.500 stETH), EtherFi (5.000 ETH), LayerZero (10.000 ETH), Golem (1.000 ETH), Ethena, Mantle ve Aave’nin kurucusu Stani Kulechov (5.000 ETH) gibi önemli katkı sağlayıcılar sayesinde toplamda 327 milyon doların üzerinde ETH taahhüdü toplandı.
Kurtarma aşamalarından biri de, saldırganın Aave üzerindeki dondurulan fonlarının tasfiyesi oldu. Protokolün DAO yapısında gerçekleştirilen oylamada, 190 milyon adet ARB tokenı ile yüzde 90 oranında destek alınarak bu adım onaylandı. Ayrıca, ABD’de görev yapan Bölge Yargıcı Margaret Garnett’in 9 Mayıs’ta verdiği karar ile yaklaşık 30.765 ETH (yaklaşık 71 milyon dolar) Arbitrum Güvenlik Konseyi tarafından Aave’nin kontrolündeki cüzdana transfer edildi.
İleriye Dönük Adımlar ve Piyasa Etkisi
12 Mayıs’ta yakma işlemiyle dolaşımdaki karşılıksız rsETH’lerin tamamı sistemden çıkarıldı. Önümüzdeki iki hafta boyunca, toplamda 117.132 rsETH’nin Aave Recovery Guardian ve Kelp Recovery Safe havuzlarından ana ağdaki LayerZero OFT adaptörüne kademeli olarak aktarılması planlanıyor.
Stani Kulechov, köprüdeki rsETH kilit kasasının tekrar doldurulmasının son adım olduğunu ve önümüzdeki 24 saat içinde rsETH’den ETH’ye çekim işlemlerinin başlayacağını belirterek, piyasanın yeniden dengelenmesinin beklediğini aktardı.
Saldırı sonrası yaklaşık 10 milyar dolarlık çıkış gözlemlense de, Aave’nin toplam kilitli varlık değeri şimdilerde 15 milyar doların üzerinde seyrediyor. Ayrıca, WETH kredilerinde %93, USDT’de %92 ve USDC’de %91 kullanım oranları, çekim baskısının sona erdiğine işaret ediyor.
Bu kurtarma süreci, merkeziyetsiz finans dünyasındaki benzer olaylardan ayrışıyor. Ronin Bridge saldırısı dış finansman ile telafi edilirken, Euler Finance örneğinde saldırgan fonları geri iade etmişti. Oysa Aave ve Kelp, saldırganın teminatlarını izole ederek zincir üstünde likide etti ve koalisyonun sağladığı destekle rezervleri yeniden inşa etti.
Öte yandan, ABD federal mahkemesinin müdahalesi ve fon aktarımında yasal onay sürecinden geçilmesi, bu olayın türünün ilk örneklerinden biri olmasına neden oldu.
