Merkeziyetsiz borç verme platformu Ajna Protocol, yaklaşık 775.000 dolarlık kayıpla sonuçlanan kritik bir güvenlik ihlali yaşadı. Saldırı, Ethereum üzerinde gerçekleşti ve syrupUSDC, wstETH, rETH, cbETH, WBTC, WETH/USDC ve sDAI dahil olmak üzere birden fazla likidite havuzunu etkiledi. Toplam kaybın yaklaşık 173.700 dolarlık kısmı yalnızca syrupUSDC havuzunda meydana geldi. Bu durum, saldırganın farklı varlık sınıflarında sermayeyi sistematik olarak çektiğini gösteriyor.
Geleneksel borç verme protokollerinin teminat fiyatlaması için Chainlink gibi harici hizmetlere başvurmasına karşın, Ajna herhangi bir harici fiyat oracle’ı veya yönetişim mekanizması kullanmadan çalışıyor. Protokolün teknik dokümanında, harici fiyat akışlarına ihtiyaç duymayan ve borç verenlerin sabit “kova”larda oran belirlediği bir peer-to-pool borç verme sistemi tanımlanıyor. Bu yaklaşım, üçüncü taraf fiyat verilerinden kaynaklanan saldırı risklerini ortadan kaldırmayı hedefliyordu.
Ancak saldırı, bu mimarinin yeni zafiyetler yarattığını ortaya koydu. Saldırgan, temel kodu hack’lemedi; bunun yerine, protokolün iç hesaplamalarını manipüle ederek akıllı sözleşmenin hatalı tasfiye verilerini kabul etmesini sağladı. Güvenlik firması MixBytes, oracle’ların kaldırılmasının bir saldırı yüzeyini azalttığını, ancak protokolün iç mantığına olan bağımlılığı artırdığını ve bunun da manipülasyona açık olduğunu belirtti.
Kanıtlar, saldırganın flashloan, bucketTake, removeCollateral ve AuctionSettle işlemlerini kullanarak teminatı minimum miktarda quote token ödeyerek çektiğini gösteriyor. Bağımsız araştırmacılar, saldırının iki olası senaryosunu öne sürüyor: Saldırganın düşük fiyatlı bir açık artırmayı boşalttığı “hasat teorisi” veya açık artırma fiyatını aynı işlemde havuz muhasebesiyle kontrol ettiği “kurulum teorisi”.
Oracle’sız Tasarım Neden Başarısız Oldu?
Ajna’nın kendi kendine fiyatlama mekanizması, tasfiye tetikleyicilerini belirlemek için harici veri akışları yerine En Düşük Kullanılan Fiyat (LUP) değerine dayanıyor. Saldırgan, bu içsel yapıyı manipüle ederek fiyatları bozdu ve değeri çekti. Bu durum, daha önce Moonwell gibi protokollerde görülen saldırı kalıplarını andırıyor. Saldırgan, sistemi yanlış verileri onaylamaya ikna ederek protokolün temel tasarım felsefesini bir saldırı vektörüne dönüştürdü.
Kamuya açık veriler, saldırı kontratlarının 28 Ağustos 2026 saat 15:16 UTC’de dağıtıldığını ve ilk çekimin 16:19 UTC’de cbETH havuzunda gerçekleştiğini gösteriyor. Bu olay, kendi kendini doğrulayan hesaplamaların karmaşıklığını ve harici doğrulama olmadan iç muhasebe bütünlüğüne güvenmenin risklerini öne çıkarıyor.
Protokol Neden Açığı Kapatamadı?
Ajna V2, yönetişimi olmayan ve değiştirilemeyen bir protokol olduğu için canlı kod güncellemesi mümkün değil. Ekip, kullanıcıların tüm fonlarını çekerek protokolle etkileşimi durdurmalarını istemekten başka bir müdahale aracı bulamadı. Güvenlik firması Defimon, saldırıyı başlamadan bir saatten fazla önce tespit ettiğini ancak bildirimin yanıtsız kaldığını açıkladı.
Olay anında Ajna V2’nin toplam kilitli değeri (TVL) yaklaşık 206.000 dolardı; bu da kaybın protokolün tüm sermaye tabanını aştığı anlamına geliyor. Güncel veriler, TVL’nin yaklaşık 450.000 dolara yükseldiğini ancak aktif kredi miktarının belirgin şekilde azaldığını gösteriyor. Bu da kullanıcı güveni ve sermayede ciddi bir daralmaya işaret ediyor.
Daha Geniş DeFi Güvenliği Bağlamı
Bu olay, merkeziyetsiz finans ekosisteminde güvenlik zorluklarının sürdüğünü gösteriyor. TRM Labs, 2026’nın ilk yarısında 207 protokol saldırısı yaşandığını ve ortalama kaybın 219.000 dolar olduğunu raporladı. Ajna örneği, kayıpların çoğunlukla karmaşık borç verme mantığı varsayımlarından kaynaklandığını, büyük borsa saldırılarından ziyade protokol içi zafiyetlerin öne çıktığını ortaya koyuyor.
Ajna, harici oracle’ları ortadan kaldırarak başka bir zafiyet türü yarattı. Kendi kendini doğrulayan hesaplamalarda ortaya çıkan bu risk, fiyat akışlarından iç muhasebe bütünlüğüne kaydı.
Saldırı, DeFi ekosistemi için önemli bir uyarı niteliği taşıyor. Oracle kullanımını ortadan kaldırmak gibi mimari varsayımlar, tasfiye ve borç muhasebesi mantığında yeni zafiyetler doğurabiliyor. Yatırımcıların, merkeziyetsizliği geleneksel güvenlik katmanlarının önüne koyan protokollerin güvenlik modellerini dikkatle değerlendirmesi gerekiyor.
Ajna’nın geçmiş denetimlerinde tespit edilen tasfiye hesaplamaları ve kova durumu muhasebesiyle ilgili hatalar, tasarımın karmaşıklığını bir kez daha gözler önüne seriyor. Bu sorunlar giderilmiş olarak işaretlense de, harici denetim olmadan çalışan protokollerde iç mantık riskinin kalıcı olduğunu gösteriyor.
Genel tabloya bakıldığında, akıllı sözleşme zafiyetleri 2026’nın ilk yarısında 100’ün üzerinde olaya yol açtı. Ajna örneği, geleneksel saldırı vektörleri ortadan kaldırılsa bile, karmaşık merkeziyetsiz finans borç verme mantığına gömülü varsayımlardan ciddi kayıplar doğabileceğini gösteriyor.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
