YO protokolünde işlem hatası: 3,73 milyon dolarlık kayıp DeFi risklerini gündeme getirdi

Ethereum tabanlı merkeziyetsiz finans (DeFi) projesi YO, 13’ünde yaşanan bir işlem kazası sonucu yaklaşık 50 milyar Kore wonu değerinde (yaklaşık 373 bin dolar) varlığını kaybetti. Bu kayıp, hacker saldırısından değil, ‘istenmeyen’ bir takas işlemi sırasında yapılan hata nedeniyle gerçekleşti. Olay, DeFi protokollerinde yapıdan kaynaklı riskleri bir kez daha gündeme taşıdı.

Blockchain güvenlik şirketleri PeckShield ve BlockSec’in açıklamalarına göre, YO protokolü, kendi hazinesinde tuttuğu yaklaşık 3,84 milyon dolar değerindeki “staking edilmiş GHO (stkGHO)” tokenlarını, ABD doları endeksli stabil kripto para USDC ile takas etmek istedi. Ancak işlem sonucunda yalnızca 122 bin dolar değerinde USDC elde edildi. Böylece yaklaşık 3,73 milyon dolar (yaklaşık 55 milyar won) değerinde kayıp oluştu.

Uzmanlara göre bu durumun nedeni, ‘aşırı slippage’ olarak bilinen bir piyasa fenomeni. Slippage, yeterli likidite olmadığında veya işlem hacmi çok yüksek olduğunda alış-satış fiyatlarının öngörülen seviyelerden sapması anlamına geliyor. YO’nun işlemi, düşük likiditeye sahip bir havuz üzerinden gerçekleştiği için beklenenden çok daha az USDC aldı.

BlockSec, işlemi ‘garip bir işlem’ olarak tanımlarken, akıllı kontrat güvenlik firması QuillAudits ise işlemin Uniswap v4’ün özel ‘hook’ (kanca) işlevinin kullanıldığı bir havuzda yapılmış olabileceğini belirtti. Bu özellik, işlemlere özel işlevler eklemeye olanak tanıyor ve bu da süreci daha karmaşık ve öngörülemez hale getiriyor.

Olayın bir akıllı kontrat açığı ya da hacker saldırısı sonucunda değil, tamamen işleme dair bir hata nedeniyle gerçekleşmiş olması, DeFi protokollerinin yapısına dair ciddi endişeleri beraberinde getirdi. Merkeziyetsiz yapıların getirdiği ‘kontrolsüz likidite’ ortamı, büyük kayıplara yol açabilecek sonuçlar doğurabiliyor.

YO protokolü, olayın ardından takas işlemini gerçekleştiren cüzdan sahibine zincir üstünden (on-chain) bir mesaj gönderdi. Bu mesajda yapılan işlemin ‘istenmeyen’ bir takas olduğu ifade edildi ve fonların %90’ının iade edilmesi teklif edildi. Kalan %10’un ise ‘hata ödülü’ formatında kullanıcıya bırakılacağı belirtildi. Bu açıklama, DeFi analiz hesabı ‘Defimon Alerts’ aracılığıyla paylaşıldı.

Sonrasında YO ekibi, hızla harekete geçerek yaklaşık 3,73 milyon dolarlık GHO tokenı yeniden satın aldı ve stkGHO varlıklarını hazineye geri yatırdı. Olay nedeniyle geçici olarak kapatılan Pendle platformundaki YoUSD piyasası da varlıkların yeniden yatırılmasıyla birlikte tekrar açıldı.

Ancak olayın ardından topluluk içinde, YO protokolünün risk yönetimine yönelik ciddi eleştiriler yükseldi. Bazı kullanıcılar, büyük tutarlı bir işlemin önceden simülasyon yapılmadan ya da herhangi bir onay mekanizmasına tabi tutulmadan gerçekleştirilmiş olmasını ‘ihmal’ olarak nitelendirdi.

YO ekibi hâlen konuya ilişkin resmi bir olay raporu ya da kapsamlı bir açıklama yayımlamadı. The Defiant tarafından projeye bilgi talebi gönderildiği, ancak henüz bir yanıt alınamadığı bildirildi.

Olayın bir güvenlik açığı değil, doğrudan insan hatasından kaynaklanması, teknik saldırılardan çok daha yıkıcı bir etki bırakabileceği yorumlarına neden oldu. Bu durum, DeFi sistemlerinin yapısal olarak barındırdığı likidite yönetimi ve işlem karmaşıklığı gibi riskleri yeniden gözler önüne serdi.