DeFi ekosistemi hafta sonu yaşanan büyük bir siber saldırıyla sarsıldı. Köprü protokolü Kelp DAO, 116.500 rsETH’nin ele geçirilmesiyle toplam 292 milyon dolarlık kayba uğradı. Bu olay, yılın şimdiye kadarki en büyük merkeziyetsiz finans saldırısı olarak kayıtlara geçti. Kelp DAO, farklı blokzincirler arasında varlık transferini sağlayan bir köprü protokolü olarak özellikle Ethereum tabanlı projelerde etkin rol oynuyor ve önde gelen LayerZero altyapısını kullanıyor.
Saldırı nasıl gerçekleşti?
Olayın 18 Nisan’da meydana geldiği bildirildi. LayerZero tarafından yapılan teknik açıklamaya göre, saldırganlar LayerZero Labs’in merkeziyetsiz doğrulama ağında (DVN) kullanılan RPC düğümlerinin listesini ele geçirdi. Bu düğümlerden ikisini zehirleyerek bir hizmet engelleme saldırısı düzenlendi ve sahte bir çapraz zincir mesajı, sistem tarafından gerçek olarak kabul edildi. Sonuç olarak ağ, yetkisiz bir işlemi imzalayarak 116.500 rsETH tokeninin kaybına yol açtı. Bu teknik zafiyetin, DVN’de çoklu doğrulama mekanizması yerine tekil bir yapı kullanılmasıyla doğrudan ilişkili olduğu belirtildi.
“LayerZero ve diğer dış taraflar, DVN çeşitlendirmesiyle ilgili en iyi uygulamaları Kelp DAO ekibine daha önce iletti. Ancak tüm bu uyarılara rağmen Kelp DAO, 1/1 DVN yapılandırmasına devam etti.”
Kritik yapılandırma tartışması
LayerZero hazırladığı raporda, Kelp DAO’nun yalnızca tek bir doğrulayıcıya bağlı DVN yapılandırmasının sistemde zafiyet yarattığını vurguladı. Raporda, bağımsız denetimi devre dışı bırakan bu yöntemin, saldırıya açık tek bir zayıf nokta oluşturduğu savunuldu. Kelp DAO ise iddialara yanıt olarak; kullanılan yapılandırmanın LayerZero’nun belgelerinde varsayılan olarak yer aldığını ve bu tercihin, protokolle yaptıkları iletişimde uygun görülerek onaylandığını ifade etti.
Kelp DAO ayrıca, ocak ayından bu yana LayerZero altyapısını kullanarak faaliyette olduklarını ve ekipler arasında sürekli iletişim kurduklarını açıkladı. Şirketten yapılan açıklamada, kapsamlı bir inceleme yürütülerek suçluların cüzdanlarının kara listeye alındığı ve ilgili akıllı sözleşmelerin askıya alındığı, sürecin kontrol altına alınmasında bu erken müdahalenin önemli rol oynadığı belirtildi. Protokolün yeniden başlatılması için yaşananların dikkatle değerlendirildiği aktarıldı.
Aave protokolüne sıçrayan riskler
Kelp DAO saldırısının kripto ekosisteminde zincirleme bir etkiye neden olduğu görülüyor. Saldırgan, ele geçirdiği rsETH’lerin önemli bir bölümünü Aave V3 protokolüne yatırarak teminat olarak kullandı ve karşılığında 82.650 WETH ile 821 wstETH borçlandı. Bu durum, Aave’de kötü borç oluşma ihtimalini güçlendirdi.
Aave’nin hazırladığı son rapora göre, saldırgan Aave’ye toplam 89.567 rsETH (yaklaşık 221 milyon dolar) teminat gösterip büyük hacimli borçlanmaya gitti. Protokol yönetimi, Kelp DAO’nun zararların kullanıcılar arasında nasıl dağıtılacağı ve geri kazanımıyla ilgili net bir plan açıklamamasından dolayı iki olası senaryo üzerinde durdu.
Birinci senaryoda, zararın tüm zincirlere orantılı yansıtılması halinde, rsETH arzında yüzde 15,12’lik değer kaybı ve Aave üzerinde yaklaşık 123,7 milyon dolarlık kötü borç oluşması öngörülüyor. Burada Ethereum ana ağında 91,8 milyon dolarlık en büyük kayıp yaşanabilirken, rezervlerin görece derinliği nedeniyle oransal açık düşük kalıyor. Mantle gibi daha düşük rezervli platformlarda ise oransal kayıp yüzde 9,54’e kadar çıkabiliyor.
İkinci senaryoda ise sadece L2 zincirlerindeki rsETH’nin zarar görmesi ve Ethereum ana ağındaki varlıkların tamamen teminatlandırılmış kalması durumda, L2 varlıklarına yüzde 73,54’lük ciddi bir kesinti uygulanacak ve bu da 230,1 milyon dolarlık kötü borca yol açacak. Bu tabloda, Aave’nin “WETH Umbrella” adlı 54 milyon dolarlık sigorta fonu yalnızca birinci senaryoda devreye girebiliyor.
Hangi senaryonun gerçekleşeceği ise büyük ölçüde Kelp DAO’nun muhasebe ve LRTOracle oran güncellemelerine bağlı olacak. Aave yönetimi ise, kasasında 181 milyon dolar değerinde varlık bulunduğunu ve olası kötü borçlara karşı topluluk üyelerinden ilave destek taahhütleri aldığını açıkladı.
USDT
AAPL