31 Ağustos’ta, Balancer protokolündeki bir likidite havuzundan yaklaşık 234.000 dolar değerinde DPI, USDC, WETH ve WBTC çekildi. Saldırgan, yalnızca bir satoshi (yüz milyonda bir Bitcoin) değerinde WBTC yatırarak bu işlemi gerçekleştirdi. Güvenlik firması SlowMist’e göre, bu önemsiz miktardaki mevduat, saldırgana 4.408,8 havuz token’ı basma imkânı verdi. Saldırgan, bu token’ları havuzdaki gerçek varlıklarla takas ederek fonları çekti.
Bu tür küçük ölçekli saldırılar, DeFi ekosistemindeki daha büyük risklerin bir yansıması olarak öne çıkıyor. Söz konusu açık, Kasım ayında Balancer’dan 120 milyon doların üzerinde fonun çekilmesine yol açan ve dört ay sonra protokolü geliştiren şirketin kapanmasına neden olan hata ailesinin bir parçası. 2026’daki bu olay küçük bir meblağ ile gerçekleşse de, kullanılan mekanizma yeni değil ve DeFi’daki risklerin nerede yoğunlaştığına dair önemli ipuçları veriyor.
Bir Havuzun Satoshi Karşılığında Satın Alınması
Balancer’ın orijinal havuzları, tüm matematiksel işlemlerini 18 ondalık basamak üzerinden yürütüyor. Ancak WBTC, yani Bitcoin’in tokenlaştırılmış versiyonu, 8 ondalık basamağa sahip. Normalde bu tür bir uyumsuzluk, yuvarlama farkı olarak kalıyor ve göz ardı ediliyor. Fakat saldırgan, Spark, Aave, Morpho ve Uniswap V3 üzerinden flash loan kullanarak havuzdaki WBTC rezervini neredeyse sıfıra indirdi. Rezerv bu seviyeye düşünce, akıllı sözleşmenin “join” fonksiyonu, havuz token’ı almak için gereken yatırımı geriye dönük olarak hesapladı ve sonucu bir satoshi’ye yuvarladı. Token büyüklüğündeki yatırımları reddeden kontroller ise sözleşmenin başka bir bölümünde yer aldığı için bu yol üzerinden devreye girmedi.
Bu açık, 2020 yılında geliştirilen ve değiştirilemeyen Balancer V1 kod tabanında bulunuyor. Balancer, 2021’de V2’ye, ardından V3’e geçti; ancak V1 sözleşmeleri zincir üstünde kaldı ve içlerinde kalan fonlar korunmasız şekilde tutuldu. Balancer’ın kodu, DeFi altyapısında en çok çatallanan projelerden biri olduğu için, bu matematiksel hata başka projelerin havuzlarında da mevcut. Güvenlik araştırmacıları, yılın başında Polygon üzerinde doğrudan kopyalanan kodlarda da benzer açıkların kullanıldığını tespit etti.
Ayrıca bu hata gizli değildi. Güvenlik uzmanları, Ocak 2020’de GitHub’da açılan bir sorunun, düşük ondalık basamaklı token’ların zayıf rezervlerle buluştuğunda havuz token’larının olması gerekenden ucuza basılabileceğini açıkça tarif ettiğini belirtiyor. Ancak değiştirilemeyen bir sözleşmede bilgi, hatayı düzeltmeye yetmiyor.
Aynı Hata Ailesiyle Üçüncü Kez
Yuvarlama ve hassasiyet hataları, Balancer’da üç kez büyük kayıplara yol açtı:
Ağustos 2023’te, V2’deki boosted havuzlarda ortaya çıkan bir yuvarlama hatası, açığın duyurulmasından sonraki birkaç gün içinde 2 milyon doların üzerinde fonun çekilmesine neden oldu.
3 Kasım 2025’te, V2’nin stable havuzlarında “exact out” swap yolunda yanlış yönde yapılan bir yuvarlama, birkaç zincirde toplamda 120 milyon doların üzerinde kayba yol açtı. Güvenlik firmalarının tahmini 128,6 milyon dolar, Balancer’ın kendi hesaplaması ise 121,1 milyon dolar kayıp olduğunu gösterdi. Bu, 2025’in en büyük üçüncü DeFi saldırısıydı.
31 Ağustos 2026’da ise V1’de 234.000 dolarlık bir kayıp yaşandı.
Bu olaylar, her düzeltmenin yalnızca ilgili sürümü koruduğunu, eski sürümlerin ise açıkta kaldığını gösteriyor. Kasım ayındaki hata, kodda yıllarca fark edilmeden kaldı; yapılan bir denetimde ise ilgili matematiksel bölüm kapsam dışı bırakılmıştı. V1 ise hiç yamalanmadı, çünkü teknik olarak mümkün değil.
Kasım Ayındaki Büyük Saldırının Şirkete Etkisi
Kasım ayındaki saldırı, yalnızca bu son olayın öncüsü değil; aynı zamanda şirketin kapanmasının da nedeni oldu. Saldırı sonrası toplam kilitli değer (TVL), yaklaşık 775 milyon dolardan 300 milyon dolara geriledi. Mart 2026’da Balancer Labs’in kapatılmasıyla, TVL 2021’deki 3,5 milyar dolarlık zirveden yaklaşık %95 düşüşle 157 milyon dolara indi. BAL yönetişim token’ı ise tüm zamanların en düşük seviyelerine yakın, yaklaşık 0,15 dolardan işlem gördü ve piyasa değeri 10 milyon dolar civarına geriledi. Kurucu ortak Fernando Martinelli, şirketin artık bir varlık değil, yük haline geldiğini belirtti; saldırı, ciddi ve sürekli bir hukuki risk yarattı ve şirketin gelirleri, yıllık yaklaşık 1 milyon dolara kadar düştü.
Kurtarma planı ise oldukça netti: BAL basımı tamamen durduruldu, “veBAL” kilitleme programı sona erdirildi, tüm protokol ücretleri hazinede toplandı ve çıkmak isteyen token sahiplerinden geri alım yapıldı. Geriye, bug ailesini tasarım gereği ortadan kaldıran V3 mimarisine odaklanan, küçülmüş bir vakıf ve DAO yapısı kaldı. V3, 18 ondalık hassasiyet, açık yuvarlama yönleri ve swap işlemlerinin resmi doğrulaması gibi önlemlerle bu tür hataları engelliyor.
Zararın Kimde Kaldığı
Kasım ayındaki saldırı sonrası, Balancer toplam 121 milyon dolarlık kaybın yaklaşık 45,7 milyon dolarını güvenlik ekipleri, vakıflar ve beyaz şapkalı hacker’lar sayesinde korundu veya geri alındı olarak açıkladı. Ancak DAO’nun zarar gören likidite sağlayıcılarına iade için sunduğu plan çok daha küçüktü: Yaklaşık 8 milyon dolar, aynı token’larda ve yalnızca fonların gerçekten geri döndüğü havuzlardaki LP’lere, aktif bir talep süreciyle ödendi. Kalan zarar ise, DeFi’da her zaman olduğu gibi, havuzdaki payları oranında likidite sağlayıcılarının üzerinde kaldı.
31 Ağustos’ta boşaltılan V1 havuzu için ise herhangi bir tazminat programı bulunmuyor. Güncelleme imkânı yok, şirket muhatap değil, sigorta yok; bu açık, eski kodda izin verilen bir işlem olarak kaldı. Fonlar, ağdaki en eski sözleşmelerden çekildi ve benzer şekilde bakımsız kalan diğer kopya sözleşmelerde de risk devam ediyor.
Değerlendirme
Buradaki temel ders, altı haneli kayıpların kripto için önemsiz olduğu değil; tam tersi, bir saldırının büyüklüğünün, riskli sermayenin nerede tutulduğunu gösterdiği. 234.000 dolarlık bir kayıpla 121 milyon dolarlık bir kayıp, aynı hatanın farklı büyüklükte fonlarla buluşmasından ibaret. Aralarındaki tek fark, küçük kaybın kimsenin güncelleyemediği eski kodda yaşanması.
Bu durum, BAL veya getiri sunan herhangi bir havuz için yapılacak incelemede sorulması gereken soruyu değiştiriyor. Eskiden “Denetlendi mi?” sorusu öne çıkarken, artık “Bu kod düzeltilebilir mi ve düzeltilemiyorsa kim sorumlu?” sorusu daha önemli. Denetimler, bu hata ailesini yıllarca gözden kaçırdı. Ağdaki en eski kodlar en güvenli olanlar değil; tam aksine, değiştirilemedikleri için en savunmasız olanlar. Bir havuzun güvenliğinin en iyi göstergesi, kaç kez denetlendiği değil, hâlâ bakımının yapılıp yapılmadığı ve bakım durduğunda fonların başına ne geleceği.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
