Cronos blok zinciri, 30 Ağustos’ta sektörün çoğu blok zincirinin mümkün olmadığını iddia ettiği bir adımı attı. Ağ üzerinde görev yapan doğrulayıcılar, acil bir durdurma kararı alarak 10.000’den fazla bloğu zincirin resmi geçmişinden çıkardı ve Tectonic adlı borç verme protokolünde 75 milyon dolarlık teminat manipülasyonu saldırısından önce alınan bir anlık görüntüden zinciri yeniden başlattı. Saldırı sırasında çalınan fonların yaklaşık 6 milyon dolarlık kısmı Ethereum’a aktarılmıştı; kalan varlıklar ise zincir yeniden başlatıldığında ortadan kayboldu.
Bu müdahale, zararın büyümesini engelledi ve muhtemelen Tectonic’e fon yatıran kullanıcıların tüm varlıklarını kaybetmesini önledi.
Ancak bu gelişme, Ethereum’un 2016’daki DAO çatallanmasından bu yana sektörün yanıtlamaktan kaçındığı bir soruyu yeniden gündeme getirdi: Eğer küçük bir doğrulayıcı grubu, hırsızlığı geri almak için zincirin geçmişini yeniden yazabiliyorsa, bu zinciri geleneksel bir veritabanından ayıran şey nedir? Bu soru, blok zincirlerinin tek bir otorite tarafından geri alınamayan işlemler sunduğu iddiasının kurumsal yatırımcılar, düzenleyiciler ve bireysel kullanıcılar nezdinde yıllardır öne çıkarılması nedeniyle, artık daha da önemli hale geldi. Cronos, bu iddianın her zaman geçerli olmadığını gösterdi.
Tectonic’te 75 Milyon Dolarlık Kayıp Nasıl Gerçekleşti?
Saldırı, merkeziyetsiz finans (DeFi) güvenlik araştırmacılarının “Mango tarzı pump-and-borrow” olarak adlandırdığı, iyi bilinen bir şemaya dayanıyordu.
Cronos’un en büyük borç verme protokolü olan Tectonic, yaklaşık 121,7 milyon dolarlık toplam kilitli değere (TVL) ve 82,7 milyon dolarlık aktif kredi hacmine sahipti. Kullanıcılar, protokolün yönetişim token’ı TONIC’i teminat olarak gösterebiliyordu. TONIC için belirlenen %20 teminat faktörü, kullanıcıların yatırdıkları teminatın beşte biri kadar varlık borçlanabilmesine olanak tanıyordu. Ancak bu oran, TONIC’in fiyatının gerçek tasfiye değerine yakın olduğu varsayımına dayanıyordu ve bu varsayım doğru değildi.
Saldırgan, Cronos’taki düşük likiditeli piyasalarda yaklaşık 600.000 dolarlık TONIC alımı yaparak token’ın fiyatını 20 dakika içinde yaklaşık 100 katına çıkardı. Ardından, şişirilmiş değerle 364,6 trilyon TONIC’i Tectonic’e teminat olarak yatırdı ve yaklaşık 375 milyon dolarlık teminat pozisyonu oluşturdu. Bu hayali teminat karşılığında, diğer kullanıcıların yatırımlarından yaklaşık 75 milyon dolarlık likit varlık borçlandı.
Rakamlar oldukça net: 600.000 dolarlık bir yatırım, 75 milyon dolarlık bir çekime dönüştü. Sermaye getirisi yaklaşık %12.400 oldu. Ancak bu teminat, gerçek piyasa değerinin çok altında satılabilirdi ve satış denemesi fiyatı hızla eski seviyesine çekerdi. Tectonic’in borç verme piyasaları, kendi fiyat varsayımları üzerinden boşaltıldı.
Saldırı öncesinde, Tectonic Cronos’taki DeFi uygulamalarında tutulan toplam sermayenin neredeyse yarısını barındırıyordu. 48 saat içinde protokolün TVL’si 121,7 milyon dolardan yaklaşık 3 milyon dolara geriledi. Cronos’un DeFi ekosisteminin temel taşı olması beklenen protokol, en büyük risk kaynağına dönüştü.
Acil Durdurma: Doğrulayıcılar Zinciri Dondurdu
Cronos doğrulayıcıları, saldırıyı dakikalar içinde tespit ederek merkeziyetsiz bir ağda hızlıca alınamayacak bir karara imza attı: Blok üretimini durdurdular.
Bu durdurma, yalnızca Tectonic’i değil, Cronos ağındaki tüm transferleri, akıllı sözleşme etkileşimlerini ve köprü işlemlerini tamamen dondurdu. Tectonic ile ilgisi olmayan kullanıcılar da fonlarını hareket ettiremedi. Cronos’u Ethereum ve diğer zincirlere bağlayan köprüler işlem yapmayı durdurdu. Cronos üzerinde çalışan uygulamalara hizmet veren RPC sağlayıcıları da devre dışı kaldı.
Zamanlama kritik öneme sahipti. Doğrulayıcılar blok üretimini durdurana kadar saldırgan yaklaşık 6 milyon doları Ethereum’a aktarmayı başardı. Kalan 69 milyon dolar ise Cronos üzerindeki belirlenen adreslerde, zincir durdurulduğu için teknik olarak saldırganın kontrolünde kalmaya devam etti.
Crypto.com CEO’su Kris Marszalek, borsa ve uygulamanın normal şekilde çalışmaya devam ettiğini ve “tüm fonların güvende olduğunu” açıkladı. Ancak bu açıklama, yalnızca Crypto.com’un merkezi hizmetlerinde tutulan varlıkları kapsıyordu; Tectonic’e yatırılan fonlar bu güvenceye dahil değildi. Crypto.com ve Cronos yakından ilişkili olsa da, Tectonic ayrı bir merkeziyetsiz uygulama olarak faaliyet gösteriyor. Birindeki sorun, diğerini doğrudan etkilemiyor ve Marszalek’in açıklaması yalnızca merkezi tarafı kapsıyordu.
Geri Alma: 10.000 Blokluk Geçmiş Silindi
Doğrulayıcılar, saldırganın adreslerini yönetişim veya teknik müdahaleyle dondurmak yerine, zinciri saldırı öncesi bir anlık görüntüye geri döndürmeyi tercih etti. 10.000’den fazla blok geri alındı ve blok üretimi 90.896.189 numaralı bloktan yeniden başlatıldı.
Bu sayede saldırı işlemleri zincirin resmi geçmişinden silindi. Ancak aynı zamanda, bu iki saatlik zaman diliminde gerçekleşen tüm meşru işlemler de ortadan kalktı. Gerçekleşen alım-satımlar, token transferleri, akıllı sözleşme dağıtımları ve diğer tüm aktiviteler de geri alınan bloklarla birlikte yok oldu.
Cronos, bu müdahaleyi “doğrulayıcı mutabakatıyla alınan acil bir önlem” olarak tanımladı. Zincirin henüz yayımlanmayan detaylı raporunda, doğrulayıcıların hangi süreçle geri dönüş noktasında anlaştığı açıklanacak. Bilinen, kararın hızlıca alındığı, küçük bir doğrulayıcı grubu tarafından uygulandığı ve halka açık bir blok zincirinin resmi geçmişinin geri alındığı.
Cronos üzerinde geliştiricilere altyapı sağlayan Tatum, sistemlerini yeniden senkronize etmek için tüm zincir verilerini 90.896.188 numaralı bloktan itibaren tekrar işlemek zorunda kaldı. Diğer RPC sağlayıcıları, blok gezginleri ve köprüler de benzer şekilde sıfırdan başlatıldı. Geri alma işlemi yalnızca saldırganı değil, Cronos’a bağlı tüm hizmetleri yeni bir gerçekliğe uyum sağlamaya zorladı.
Oracle Kaynaklı Bir Sorun Yoktu
Fiyat manipülasyonu saldırılarında genellikle oracle’lar suçlanır. Ancak RedStone kurucu ortağı Marcin Kazmierczak, bu yaklaşımı reddetti.
Kazmierczak, oracle’ın o an okuduğu havuzdaki TONIC fiyatını doğru şekilde rapor ettiğini belirtti. Bir oracle’ın, bir token’ın mevcut piyasa fiyatını raporlaması kendi görev tanımına uygundur; fiyat yapay olarak şişirilmiş olsa bile. Asıl sorun, protokolün bu fiyatı ek bir kontrol olmadan güvenli kabul etmesinde yatıyor.
Kazmierczak, eksik olan güvenlik önleminin, teminatın gerçekçi şekilde satılabileceği likiditeye bağlı borçlanma limitleri olduğunu vurguladı. Böyle bir limit, teminatın fiyatı 100 kat artsa bile, piyasada satılabilecek miktarla borçlanmayı sınırlandırırdı.
Kazmierczak, daha uzun zaman ağırlıklı ortalama fiyat penceresinin saldırıyı önleyemeyeceğini de ekledi. 20 dakikada 100 kat fiyat artışı, volatiliteyle açıklanamayacak bir durum; bu tür bir varlığın teminat olarak kabul edilmemesi gerektiğinin göstergesi.
Bu Saldırı Yöntemi Yeni Değil
Tectonic saldırısında kullanılan yöntem, Ekim 2022’de Mango Markets’e yapılan ve 100 milyon dolardan fazla zarara yol açan saldırıyla neredeyse birebir aynıydı. O dönemde de düşük likiditeli yönetişim token’ı şişirilmiş, ardından likit varlıklar borçlanılmıştı. Saldırgan Avraham Eisenberg, emtia dolandırıcılığı ve manipülasyon suçlamalarından jüri tarafından suçlu bulunsa da, mahkeme daha sonra bazı teknik gerekçelerle kararları bozdu.
Bu davada Eisenberg’in savunması, protokol kurallarının buna izin verdiği ve akıllı sözleşmelerin tasarlandığı gibi çalıştığı yönündeydi. Jüri bu savunmayı kabul etmedi, ancak kararların bozulması saldırı yönteminin hukuki statüsünü belirsiz bıraktı. Bu nedenle, benzer saldırıların tekrarlanması yasal açıdan gri bir alanda kalmaya devam ediyor.
Tectonic saldırısından üç gün önce, Base üzerindeki Moonwell protokolünden de aynı teknikle 8,7 milyon dolar çekildi. Moonwell, saldırıdan sonra borçlanma limitlerini minimum seviyeye indirerek yeni borçlanmaları durdurdu. Bu önlem saldırıdan önce de uygulanabilirdi, ancak protokol bunu ancak zarar ortaya çıktıktan sonra devreye aldı.
Celo üzerindeki Moola Market de Ekim 2022’de benzer bir saldırıya uğramıştı. Dört yıl geçmesine rağmen, yönetişim token’larının teminat olarak listelenmesinin getirdiği ekonomik teşvikler, risk algısının önüne geçiyor. Protokol ekipleri, yüksek TVL rakamlarından fayda sağlıyor. Yönetişim token’ı sahipleri ise artan kullanım alanından kazançlı çıkıyor. Ancak zayıf teminat parametrelerinin maliyeti, birisi piyasayı test edene kadar görünmüyor. Düşük piyasa değerli yönetişim token’ları için, listelenen teminat faktörlerinde güvenli teminat sağlayacak likidite pratikte mevcut değil.
Ağustos Sonunda Birden Fazla Zincirde Durdurma Kararı
25 Ağustos’ta Cosmos EVM zincirlerinde yaşanan ayrı bir güvenlik olayı sonrası, KiiChain 148,3 milyon KII’nin 18 saldırıda çekildiğini bildirdi. MANTRA ise başka bir olayı araştırmak için ağını günler öncesinden durdurmuştu. Bir hafta içinde üç zincirde durdurma kararı alınması, blok zincirlerinde kesinlik (finality) ilkesine güvenenler için endişe verici bir tablo oluşturuyor.
DAO Çatallanmasıyla Kıyaslama
Ethereum’un 2016’daki DAO çatallanması, bu tür olaylar için en bilinen örnek. O dönemde bir saldırgan, The DAO’daki bir yeniden giriş (reentrancy) açığını kullanarak yaklaşık 60 milyon doları çekmişti. Ethereum topluluğu, haftalar süren tartışmalar ve oylamalar sonucunda zinciri çatallayarak hırsızlığı geri aldı; orijinal zincir ise Ethereum Classic olarak yoluna devam etti.
Ancak Cronos’taki durumun önemli farkları var. DAO çatallanması haftalarca kamuoyu önünde tartışıldı, madenciler oy kullandı ve topluluk ikiye bölündü. Ethereum, bu süreçten sonra değişmezlik ilkesini neredeyse kutsal kabul etti. 2022’de Ronin köprüsünde 625 milyon dolar, Wormhole köprüsünde ise 320 milyon dolar kaybedildi; ancak Ethereum’da geri alma ciddi şekilde gündeme gelmedi.
Cronos ise benzer bir işlemi saatler içinde, küçük bir doğrulayıcı grubuyla, topluluk oylaması olmadan ve zinciri bölmeden gerçekleştirdi. Hız, burada temel sorun olarak öne çıkıyor. Çünkü haftalar süren topluluk mutabakatı gerektiren bir geri alma son çare olarak görülürken, küçük bir doğrulayıcı grubunun saatler içinde uygulayabildiği bir geri alma, idari bir araca dönüşüyor. Ve idari araçlar, tekrar tekrar kullanılabiliyor.
Doğrulayıcıların azlığı, bu sürecin hızını açıklıyor. Cronos zinciri, büyük ölçüde Crypto.com ile ilişkili az sayıda doğrulayıcı tarafından yönetiliyor. Bu nedenle, Ethereum, Bitcoin veya daha geniş doğrulayıcı/madenci tabanına sahip zincirlere kıyasla, durdurma ve geri alma kararları çok daha az bağımsız tarafın mutabakatıyla alınabiliyor. Bu, Tectonic saldırısına verilen yanıtın bir hatası değil; yanıtı mümkün kılan yapısal bir özellik.
Eleştirmenler, “75 milyon dolar için geri alma yapılıyorsa, 50 milyon dolar için de yapılır mı? 10 milyon dolar için?” sorusunu gündeme getiriyor. Ayrıca, saldırı dışındaki hangi olaylar doğrulayıcıların zinciri geri almasına neden olabilir? Geri alma kararlarının hangi koşullarda uygulanacağına dair yayımlanmış bir yönetişim çerçevesi olmadığı için, karar tamamen doğrulayıcı grubunun takdirine kalıyor. Bu ise merkeziyetsiz yönetişim değil, kuralsız güç anlamına geliyor.
Geri Alınan Bloklarda Kimler Zarar Gördü?
Geri alma işlemi saldırıyı durdurdu, ancak meşru işlemleri de sildi.
Saldırı ile durdurma arasındaki yaklaşık iki saatlik zaman diliminde Cronos’ta işlem yapan tüm kullanıcıların işlemleri geri alındı. Merkeziyetsiz borsalardaki işlemler iptal edildi. Cüzdanlar arası token transferleri geçersiz kılındı. Tectonic ile ilgisi olmayan akıllı sözleşme etkileşimleri de zincirin resmi geçmişinden silindi.
Cronos, saldırı dışı kaç işlemin kaybolduğuna dair veri yayımlamadı. 10.000’den fazla blok, Cronos’un normal işlem hacmiyle yaklaşık iki saatlik ağ aktivitesine karşılık geliyor. Zincir, lansmanından bu yana 100 milyondan fazla işlem kaydetmiş ve 500’den fazla geliştiriciye ev sahipliği yapmıştı; bu nedenle iki saatlik kayıp bile önemli bir hacmi temsil ediyor.
Buradaki asimetri dikkat çekici. Saldırıdan zarar gören Tectonic kullanıcılarının bakiyeleri saldırı öncesi seviyelere getirildi. Ancak bu zaman diliminde meşru bir işlem yapan herkesin işlemi, herhangi bir tazminat veya bilgilendirme olmadan geçersiz kılındı.
Bu durum, zincirde hırsızlığa uğrayanların zararının geri alınabileceği, ancak başkasının saldırısı sırasında meşru işlem yapanların kaybının telafi edilmeyeceği bir teşvik yapısı oluşturuyor. Geri alma, bir tür zararı önlerken başka bir zarara yol açıyor.
Doğrulayıcılar, bu çıkar çatışmasını nasıl değerlendirdiklerine dair bir açıklama yapmadı. Cronos’un yayımlanacak detaylı raporunda bu konuya değinilmesi bekleniyor.
Cronos’ta Geliştiriciler İçin Yeni Riskler
Cronos üzerinde uygulama geliştiren ekipler, 30 Ağustos’tan itibaren uygulamalarının oluşturduğu herhangi bir durumun doğrulayıcı mutabakatıyla geriye dönük olarak silinebileceği gerçeğiyle karşı karşıya.
Basit bir token takası için bu durum yönetilebilir olsa da, dış sistemlerle etkileşen uygulamalar için ciddi sonuçlar doğuruyor. Örneğin, bir ödeme sağlayıcısı Cronos’ta bir işlemi onaylayıp ürün gönderirse, işlem daha sonra geri alınırsa telafi imkanı kalmıyor. Bir oracle, Cronos’a veri gönderip başka zincirlerde aksiyon tetiklediğinde, Cronos’taki işlemin geri alınması bu aksiyonları geri çeviremiyor.
Çoklu zincir üzerinde çalışan protokoller için sorun daha da büyüyor. Bir kullanıcı Cronos’a para yatırıp başka bir zincirde mint işlemi tetiklediğinde, Cronos’taki geri alma yalnızca yatırımı siler; mint işlemi ise diğer zincirde kalır. Bu da zincirler arası tutarsızlık yaratıyor ve sorumluluk protokol ekibine kalıyor.
Tatum’un yaşadığı süreç, altyapı maliyetini gözler önüne seriyor. Şirket, API’lerini yeniden senkronize etmek için tüm zincir verilerini geri yüklemek zorunda kaldı. Cronos’u takip eden tüm indeksleyiciler, alt grafikler ve veri servisleri de aynı yükle karşılaştı. Bir zincirin herhangi bir anda geri alınabileceği riski, altyapı sağlayıcıları için ek operasyonel maliyet anlamına geliyor.
Tokenlaştırılmış varlık projeleri için de riskler artıyor. Ağustos başında sona eren Trump Media ve Crypto.com CRO hazinesi ortaklığı, Cronos’un tokenlaştırılmış varlıklar için kullanılmasını öngörüyordu. Eğer bu anlaşma Tectonic saldırısına kadar devam etseydi, geri alma işlemi tokenlaştırılmış hisse pozisyonlarını da silmiş olacaktı. Bu senaryo, gerçek dünya varlıklarını tokenlaştırmak isteyen projelerin, doğrulayıcıların geçmişi değiştirebildiği zincirleri seçerken iki kez düşünmesine neden olabilir.
Geri Almanın Sınırı: 6 Milyon Dolar
Saldırganın durdurma öncesinde Ethereum’a aktardığı 6 milyon dolar, geri alma işleminden etkilenmedi. Bu fonlar, Cronos doğrulayıcılarının müdahale edemeyeceği bir zincirde bulunuyor.
Her geri alma işleminin sınırını, zincirin kendi sınırları belirliyor. Değer başka bir zincire geçtiğinde, artık o zincirin mutabakat kuralları geçerli oluyor. Ethereum doğrulayıcıları, Cronos’taki geri almayı tanımak zorunda değil. Saldırganın Ethereum’daki bakiyeleri, Cronos’taki bakiyelerinin aksine, kesinlik taşıyor.
Bu durum, Cronos veya benzeri zincirlerde çoklu zincir uygulamaları geliştirenler için önemli bir risk oluşturuyor. Bir zincir geri alınabiliyorsa, durdurma öncesinde zincirden çıkmayan tüm değerler silinebilir. Köprüler bir kaçış kapısı haline geliyor ve köprüleme hızı, protokol tasarımcılarının öngörmediği bir güvenlik unsuruna dönüşüyor.
Saldırgan da bunu biliyordu. Çalınan fonların ilk hareketi Ethereum’a yönelmek oldu. Saldırı ile durdurma arasındaki yaklaşık iki saatlik süre, saldırganın köprüleme hızı ile doğrulayıcıların koordinasyon hızı arasında bir yarışa dönüştü. Doğrulayıcılar büyük kısmını kazandı, ancak 6 milyon dolar yine de kurtarıldı.
Önümüzdeki Süreçte Takip Edilecek Başlıklar
Cronos’un detaylı raporunun yayımlanması bekleniyor. Doğrulayıcılar, saldırının, durdurma kararının, geri alma sürecinin ve yeniden başlatmanın tam bir dökümünü açıklayacaklarını duyurdu. Bu belge yayımlanana kadar, topluluk alınan önlemlerin yeterliliğini ve geri alma işleminin tanımlı bir yönetişim sürecine uyup uymadığını değerlendiremeyecek.
Tectonic’in TVL’si ve mevduat sahiplerinin durumu da yakından izleniyor. TVL, 121,7 milyon dolardan 3 milyon dolara düştü. Mevduat sahiplerinin tazmin edilip edilmeyeceği, bir kurtarma planı sunulup sunulmayacağı, Cronos’un ekosistem içi protokol başarısızlıklarına yaklaşımını gösterecek.
Geri alma sonrası CRO fiyatının seyri de önemli. Geçmişi değiştirebilen bir doğrulayıcı setine sahip zincirlerin, bu özelliğe sahip olmayan zincirlere kıyasla yönetişim indirimiyle işlem görmesi bekleniyor. CRO fiyatı, değişmezlik riskinin piyasada nasıl fiyatlandığını gösterecek.
Diğer zincirlerin geri alma yöntemini benimseyip benimsemeyeceği de izleniyor. MANTRA, Ontology ve Cosmos EVM zincirleri yakın zamanda ağı durdurdu. Eğer bu zincirler Cronos’u örnek alarak geri alma uygularsa, bu yöntem küçük zincirlerde standart bir güvenlik aracı haline gelebilir.
DeFi borç verme protokollerinde borçlanma limiti uygulamasının yaygınlaşıp yaygınlaşmayacağı da belirleyici olacak. RedStone’dan Kazmierczak, çözümün bu olduğunu belirtti. Protokoller, düşük likiditeli yönetişim token’larını borçlanma limiti olmadan listelemeye devam ederse, benzer saldırıların tekrarlanma riski sürecek.
Bu içerik hazırlanırken faydalanılan kaynaklar: crypto.news
