Altcoin’de Milyonlarca Dolarlık Şok: Kasalar Patladı, Paralar Çalındı!
Aevo’nun 2023 öncesinden kalan Ribbon Finance DeFi opsiyon kasaları, hatalı bir oracle güncellemesi sonrası istismar edilerek yaklaşık 2,7 milyon dolar kayba uğradı.
Merkeziyetsiz finans ekosisteminde dikkat çeken saldırı, Aevo’nun eski Ribbon Finance altyapısını kullanan DOV kasalarını hedef aldı. 12 Aralık’ta gerçekleşen olayda saldırgan, oracle sistemindeki bir açığı kullanarak fiyatları manipüle etti ve kasalardan yüzlerce ETH ile önemli miktarda stablecoin çıkardı.
Blockchain güvenlik araştırmacılarına göre sorun, 6 Aralık’ta yapılan oracle altyapı güncellemesinden kaynaklandı. Bu güncelleme, yeni eklenen varlıklar için fiyat belirleme yetkisinin yanlışlıkla herkese açık hale gelmesine neden oldu. Saldırgan da bu açığı kullanarak wstETH, AAVE, LINK ve WBTC gibi varlıkların vade fiyatlarını keyfi şekilde oracle sistemine gönderdi.
Oracle Açığı Nasıl Kullanıldı?
Şüpheli hareketleri ilk fark eden isim blockchain analisti Specter oldu. Analiste göre saldırgan, istismar sonrası elde ettiği fonları ağırlıklı olarak ETH ve USDC cinsinden olmak üzere 15 farklı cüzdana dağıttı. Her bir cüzdanda yaklaşık 100 ETH bulunduğu belirtildi.
Güvenlik araştırmacısı Liyi Zhou, saldırının Opyn ve Ribbon tarafından kullanılan oracle proxy yapısının kötüye kullanılmasıyla gerçekleştiğini aktardı. Monarch DeFi’den Anton Cheng ise sorunun Opyn protokolünden değil, yalnızca Ribbon’a özgü oracle konfigürasyonundan kaynaklandığını vurguladı.
Aevo Kasaları Kapatıyor, Kullanıcılara Plan Sunuldu
Aevo ekibi yaptığı açıklamada tüm Ribbon kasalarının durdurulduğunu ve tamamen devre dışı bırakılacağını duyurdu. Toplam kaybın yüzde 32 civarında olduğu belirtilirken, kullanıcıların çekimlerinde yalnızca yüzde 19’luk bir kesinti uygulanması önerildi.
Bu indirimin arkasında iki neden bulunuyor. İlk olarak DAO, kendi kasalarındaki yaklaşık 400.000 dolar değerindeki varlıklardan feragat ederek zararın bir kısmını üstlenecek. İkinci olarak ise büyük bakiyeli hesapların son iki ila dört yıldır pasif olması nedeniyle çekim yapmama ihtimali yüksek görülüyor.
Talep süreci 12 Aralık–12 Haziran tarihleri arasında altı ay boyunca açık kalacak. Süre sonunda kalan varlıklar tasfiye edilerek, daha önce çekim yapan kullanıcılara eksik kalan tutar kadar ek ödeme yapılması hedefleniyor.
