TOP protokolü üzerinde çalışan yönetişim sistemi, bir likidite saldırısıyla karşı karşıya kaldı. Saldırgan, Tornado Cash üzerinden yaklaşık 664 Ethereum (yaklaşık 2,7 milyon dolar) çekerek bu sermayeyle protokolün toplam arzının %50’sinden fazlasını temsil eden 8.192 adet TOP token satın aldı. Bu çoğunluk sağlandıktan sonra, protokol üzerindeki kontrol tartışma olmaktan çıktı ve doğrudan saldırganın eline geçti.
Ele Geçirme Süreci
Oylama gücünü elde eden saldırgan, kendi kontrolündeki bir akıllı sözleşmeye 10 milyar yeni TOP token basılmasını öngören bir teklif sundu. Buradaki temel zafiyet, Aragon Voting altyapısında zaman kilidi (timelock) bulunmamasıydı. Böylece teklifin oluşturulması, oylanması ve yürütülmesi tek bir zincir üstü işlemde gerçekleşti. Topluluğun tepki vermesi için herhangi bir zaman penceresi kalmadı. Saldırgan, yeni basılan token’ların bir kısmını yaklaşık 1,58 milyon dolarlık gelire dönüştürdü.
Bu Olay Neden Önemli?
Saldırıya kaynaklık eden fonlar, Tornado Cash üzerinden sağlandı. 2025 sonlarına doğru bu mixer’ın işlem hacmi %40’ın üzerine çıkmış ve Tornado Cash’e yönelik ekonomik yaptırımlar kaldırılmıştı. Ancak bu durum, fonların güvenli olduğu anlamına gelmiyor; zincir üstü izler hâlâ takip edilebiliyor. Asıl risk, mixer kaynaklı fonların piyasaya yeniden girebilmesi ve DAO’larda temel gecikme mekanizmalarının eksikliği nedeniyle kontrolün hızla el değiştirebilmesi.
Asıl Açık: Yönetişim Mimarisi
Saldırının temelinde gizlilik değil, yönetişim mimarisindeki zafiyet yatıyor. Tornado Cash, para akışını gizlemeyi kolaylaştırsa da, tam anlamıyla izlenemezlik sağlamıyor. Araştırmalar, mevcut tekniklerle çekimlerin %5,1 ila %12,6’sının yatırımlarla eşleştirilebildiğini, zaman bazlı eşleştirme yöntemleriyle bu oranın %15-22 puan daha artabildiğini gösteriyor. Yani mixer, iz sürmeyi zorlaştırıyor ama imkânsız kılmıyor.
Fonların izlenmesi zorlaşırken, yönetişimdeki eksiklikler kontrolün el değiştirmesine yol açtı. Zaman kilidi olmayan bir yapıda, saldırgan teklif oluşturup oylamayı ve yürütmeyi tek işlemde tamamladı. Böylece DAO’ların en önemli savunma mekanizması olan zaman ortadan kalktı. Saldırgan oy çoğunluğunu elde ettiğinde, yönetişim süreci bir filtre olmaktan çıkıp doğrudan kontrol aracına dönüştü. Blockaid, bu olayı açıkça bir yönetişim ele geçirme saldırısı olarak tanımladı; akıllı sözleşme kodundaki bir hata olarak değil.
Tekrarlanabilir Bir Saldırı Modeli
Bu saldırı modeli, yeterli oylama gücüne sahip birinin düşük engelli bir yönetişim yolunu tek bir zincir üstü hamleyle kullanmasıyla ortaya çıkıyor. Ayrıca, mixer kaynaklı fonların saldırı finansmanında hâlâ rol oynayabileceğine dair daha geniş bir uyarıyı da destekliyor. 2023’te yaşanan başka bir Tornado Cash yönetişim olayında da saldırgan, elde ettiği kârı aklamak için 372 Ethereum’u tekrar Tornado Cash’e yatırmıştı. O olayda da teklif manipülasyonu öne çıkmış, yönetişimin farklı protokollerde ve dönemlerde zayıf halka olabileceğini göstermişti.
Buradan çıkan temel sonuç şu: Gizlilik, fonları bir süreliğine gizleyebilir; ancak zayıf yönetişim, sistemin kontrolünü belirler. İz sürme, olaydan sonra önem kazanıyor; fakat asıl tehlike, bir saldırganın çoğunluk payını hızla finanse edip kontrolü anında ele geçirmesi ve değerleri boşaltmasıdır.
TOP Sahipleri İlk Etkiyi Hissediyor, Ancak Ders Daha Geniş
TOP sahipleri ilk baskıyı hissediyor olsa da, olayın etkileri tek bir token’la sınırlı değil. Saldırgan, basılan token’ların bir kısmını yaklaşık 1,58 milyon dolara dönüştürdü; kalan yeni token’ların ise piyasadan çıkış yolu araması gerekiyor. Bu durum, olayı soyut bir DAO tartışmasından çıkarıp, satış baskısı ve toparlanma ihtimali üzerinden somut bir piyasa riski haline getiriyor.
Piyasa Tartışmasının Odağı
Ayı yönlü senaryoda, bu olay kalıcı bir iskontoya yol açabilir. Piyasa, TOP’un istenildiği zaman yeniden finanse edilebileceğini düşünürse, zayıf yönetişim tek seferlik bir sorun olmaktan çıkar ve her yatırımcı için yapısal bir maliyete dönüşür.
Boğa yönlü bakış açısında ise, bu olay protokolün sonu olarak değil, bir yönetişim dersi olarak değerlendirilebilir. Savunucular, saldırının güvenli olduğunu iddia etmiyor; ancak piyasanın bunu düzeltilebilir bir yapılandırma hatası olarak görebileceğini savunuyorlar.
Bu çerçeve önemli; çünkü anlatı, token’ın toparlanıp toparlanamayacağını veya sürekli değer kaybı yaşayıp yaşamayacağını belirleyebilir.
Politika Ortamının Önemi
Bu olay, kripto ekosisteminde fon temizliği ve düzenleyici değişimlerin nasıl algılandığına dair bir stres testi niteliği taşıyor. Saldırı, Tornado Cash’ten çekilen yaklaşık 662 Ethereum ile finanse edildi ve zaman kilidi olmayan bir Aragon Voting uygulaması üzerinden yürütüldü. ABD’nin Tornado Cash’e yönelik ekonomik yaptırımları kaldırmasının ardından, yatırımcılar politika değişikliğinin uygulamada nasıl karşılık bulduğunu ve yönetişim riskinin manşetlerdeki algıdan daha önemli olup olmadığını yakından izlemeli.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
