DeFi’de tek tıkla 50 milyon dolarlık Tether(USDT) eridi: Aave(AAVE) işlemi ‘fat finger’ riskini gündeme taşıdı

Bir tıkla 50 milyon doların (yaklaşık 747,7 milyar won) buharlaştığı bir *DeFi* vakası, piyasa genelinde şok etkisi yarattı. Büyük bir yatırımcının ‘basit bir işlem hatası’ ile yüz milyonlarca lira karşılığı *Tether(USDT)* kaybetmesi, merkeziyetsiz finansın yapısal risklerini yeniden gündeme taşıdı.

12 Mart gecesi blokzincir verilerine göre, büyük bir yatırımcıya ait olduğu görülen bir cüzdan, yaklaşık 50 milyon dolar değerindeki *Tether(USDT)* varlığını tek bir zincir üstü işlemle *Aave(AAVE)* tokenine çevirmeye çalıştı. İşlem, DeFi protokolü *Aave* üzerinden gerçekleştirildi. Ancak havuzda bu büyüklüğü karşılayacak yeterli *likidite* bulunmadığı için emir, otomatik piyasa yapıcı mekanizması nedeniyle aşırı ‘slippage’ ile eşleşti.

Sonuçta kullanıcı, 50 milyon dolarlık varlık gönderip karşılığında yalnızca yaklaşık 324 adet *Aave(AAVE)* tokeni aldı. Bu miktarın piyasa değeri yaklaşık 50 bin dolar civarında. Yani tek bir işlemle yaklaşık 49,95 milyon dolar fiilen silinmiş oldu.

Kayda geçen zincir üstü veriler, cüzdanın işlemi *CoW Swap* üzerinden, *Aave* arayüzünü kullanarak yaptığını gösteriyor. *Aave Labs* kurucusu *Stani Kulechov(Stani Kulechov)*, arayüzde bu tür işlemler için “*olağan dışı slippage*” uyarısının bulunduğunu ve kullanıcının bir onay kutucuğunu işaretlemeden devam edemeyecek şekilde tasarlandığını belirtti.

*CoW Swap* ekibi de X üzerinden yaptığı açıklamada, işlem sırasında “belirgin fiyat etkisi” uyarısının açıkça gösterildiğini ve tüm sürecin, kullanıcının imzaladığı koşullara tamamen uygun biçimde yürütüldüğünü vurguladı.

Bu açıklamalar, olayın bir *sistem hatası* veya *hack* değil, büyük olasılıkla “kullanıcı kaynaklı hata” olduğunu gösteriyor. Özellikle *MEV botu koruması* gibi güvenlik araçlarının da devreye alınmamış olması, kaybın bu kadar büyümesine neden olan unsurlar arasında sayılıyor.

Olayın yapısı basit ama etkisi yıkıcı. *Merkeziyetsiz borsalar(DEX)*, likidite havuzları üzerinden çalışıyor ve büyük bir emir geldiğinde *otomatik piyasa yapıcı(AMM)* modeli gereği fiyat eğrisi boyunca giderek daha yüksek fiyattan alım yaparak emri dolduruyor.

Yaklaşık 50 milyon dolarlık alış emrini karşılamaya çalışan protokol, havuzdaki tokenleri adım adım daha yüksek fiyatlardan çekmek zorunda kaldı. Bu süreçte ortalama alım fiyatı olağanüstü derecede yükseldi ve fonların neredeyse tamamı anlık olarak fiyat eğrisi üzerinde “yakıldı”.

Geleneksel piyasalarda ya da kurumsal kripto işlemlerinde bu büyüklükteki emirler genellikle binlerce küçük parça emre bölünür ya da *OTC (tezgah üstü)* masalar üzerinden ilerletilerek fiyat etkisi en aza indirilir. DeFi tarafında ise bu tür risk yönetimi tamamen kullanıcının inisiyatifine bırakılmış durumda.

Bu olay, DeFi ekosisteminde uzun süredir tartışılan “*fat finger (yanlış tuş / yanlış emir)*” riskini çarpıcı şekilde ortaya koydu. Geleneksel finans piyasalarında, aşırı fiyat sapması veya olağan dışı emirlerde *devre kesiciler*, borsa algoritmaları ya da düzenleyici gözetim mekanizmaları devreye girebiliyor.

Akıllı sözleşmelerde ise sistem, işlemin “mantıklı” olup olmadığını değerlendirmiyor. Cüzdanın imzaladığı koşullar neyse, işlem zincir üzerinde aynı şekilde ve *geri dönüşsüz* biçimde uygulanıyor. Bu durum, insan hatası ile sistemsel otomasyonun birleştiğinde ne kadar büyük kayıplar yaratabileceğini gözler önüne seriyor.

Yaşananlar, tek bir DEX likidite havuzunda — *Aave(AAVE)* örneğinde olduğu gibi — 50 milyon dolar büyüklüğündeki bir emrin tek seferde işleme alınmasının, piyasa fiyatında ciddi bozulmalara ve aşırı değer kayıplarına yol açabileceğini de açıkça ortaya kondu.

İlginç biçimde, *Aave(AAVE)* fiyatı bu olaydan sonraki 24 saat içinde yaklaşık %5 yükseldi. Piyasada, “bir kullanıcının 50 bin dolar değerindeki tokeni 50 milyon dolara almış olması” üzerinden yapılan soğuk mizah, DeFi’nin acımasız doğasını hatırlatan yorumlar arasında yer aldı.

DeFi tarafında güvenlik başlığı zaten gündemin üst sıralarındaydı. Bir gün önce, *meme coin* platformu *Pump.fun* ile bağlantılı *Bonk(BONK)* ekosistemine ait bir sitede yaşanan saldırı sonucu kullanıcı fonları çalınmıştı.

Aradaki fark ise kritik: *Pump.fun* olayı kötü niyetli bir saldırıyken, bu *Aave(AAVE)* işlemi, hiçbir akıllı sözleşme açığı veya platform zafiyeti olmadan, yalnızca *kullanıcı işlemi* üzerinden benzer çapta bir maddi yıkım yaratılabileceğini gösteriyor.

Blokzincir işlemleri tasarım gereği geri alınamıyor. *Stani Kulechov*, *Aave Labs*’ın ilgili kullanıcıyla iletişim kurmaya çalıştığını ve işlem sırasında protokole giden yaklaşık 600 bin dolarlık (yaklaşık 897,3 milyon won) ücret gelirini iade etmeyi değerlendirdiklerini açıkladı.

Ancak bu tutar, toplam zararın yalnızca yaklaşık %1’ine karşılık geliyor. Yani fonların büyük çoğunluğu, piyasa mekanizması içinde kaybedilmiş durumda ve teknik olarak geri alma imkanı bulunmuyor.

Piyasada, yaşananların DeFi işlem yapısına dair bir “*zorunlu ders*” niteliği taşıdığı yorumları yapılıyor. Arayüzlerde gösterilen “*aşırı slippage*” uyarılarının yalnızca formalite bir bilgilendirme olmadığı; gerçekten de dakikalar içinde milyonlarca dolar zarara yol açabilecek riskleri işaret ettiği artık daha net görülüyor.

Uzmanlar, özellikle milyon dolar seviyesindeki emirlerde ama hatta daha küçük işlemlerde bile, *MEV koruması* kullanmanın, *emirleri parçalara bölerek* kademeli işlem yapmanın ve arayüz uyarılarını dikkatle okumadan onay vermemenin DeFi’de artık “olmazsa olmaz” temel prosedürler arasında yer alması gerektiğini vurguluyor.