Arbitrum(ARB) DeFi projesi Ostium’da oracle zaman manipülasyonu: 18 milyon dolarlık USDC likidite kasasından çekildi

Arbitrum(ARB) tabanlı bir DeFi projesinden yaklaşık 2,680억 won değerinde fon çekildi. Nedeni olarak, oracle fiyat verilerinin manipüle edildiği ‘sofistike bir saldırı’ gösteriliyor. ‘yorum: Burada anahtar kelimeler: Arbitrum(ARB), DeFi, oracle saldırısı, Ostium, USDC, likidite kasası’

Blockchain güvenlik firması Blockaid’e göre, saldırgan Ostium’un likidite kasasından yaklaşık 18 milyon dolar (yaklaşık 268억 won) tutarında USD Coin(USDC) çaldı. Zincir üstü(on-chain) verilerin analizine göre bu saldırı, oracle sisteminin zaman damgasını (timestamp) manipüle etmeye dayalı bir yöntemle gerçekleştirildi.

Saldırgan, Ostium’un otomasyon altyapısının bir bileşeni olan ‘PriceUpKeep forwarder’ akıllı kontratını istismar etti. Gelecekteki bir zamana aitmiş gibi görünen sahte zaman damgalı fiyat verileri göndererek, gerçekte oluşmamış ‘avantajlı işlemler’ yaratıldı. Bu şekilde üretilen sahte fiyat raporları sistem tarafından ‘kâr edilmiş işlemler’ olarak algılandı ve likidite kasasından yaklaşık 18 milyon dolar değerinde USDC otomatik olarak ödemeye çıktı.

Buradaki kritik nokta sadece ‘fiyat seviyesi’ değil, aynı zamanda ‘fiyatın hangi zamana ait olduğu’ bilgisiydi. Fiyat verilerinin doğruluğunu ‘koşulsuz güven’ varsayımıyla kabul eden DeFi altyapısının zayıf noktası net biçimde ortaya çıkmış oldu. ‘yorum: DeFi’de oracle zaman manipülasyonu vurgulanıyor’

Ostium, Arbitrum(ARB) ağı üzerinde çalışan, emtia, döviz ve hisse senedi endeksleri gibi *gerçek dünya varlıkları*na dayalı kaldıraçlı işlemler sunan bir *merkeziyetsiz perpetual borsa* olarak tanımlanıyor. Platform, kullanıcılara 200 kata kadar kaldıraç imkânı sunuyor ve kendi iç fiyat besleme (price feed) mekanizmasını kullanıyor.

Bu yapıda, harici otomasyon ağı ‘Gelato’ fiyatları zincir üstüne taşımakla görevli. Sürecin kilit tetikleyicisi ise ‘PriceUpKeep’ akıllı kontratı. Sorun şu ki, belirli yetkiler veya erişim yolları ele geçirildiğinde fiyat verisinin *ne zaman* ve *hangi içerikle* sisteme yazıldığı manipüle edilebiliyor. Saldırgan tam da bu noktayı hedef alarak, oracle sistemini ve zamanlamayı kendi lehine çevirdi.

Yaşananlar, DeFi ekosisteminde sık sık görülen ‘oracle ve keeper sistemi istismarları’ ile aynı kalıba oturuyor. Kısa süre önce Summer.fi’de yaşanan ve yaklaşık 6 milyon dolarlık fon kaybına yol açan olay da benzer şekilde, sistem içindeki ‘güvenilir rolleri’ ele geçirip fiyat akışını bozarak likidite havuzlarından varlık çekme mantığıyla gerçekleşmişti.

Uzmanlar, “oracle mekanizmaları DeFi’nin kalbi konumunda, ancak aynı zamanda en zayıf halkaya dönüşebiliyor” görüşünde birleşiyor. ‘kelime’Oracle güvenliği’kelime’, özellikle yüksek kaldıraç ve gerçek dünya varlıklarına dayalı projelerde kritik bir risk başlığı olarak öne çıkıyor.

Ostium, 2025 yılının sonunda General Catalyst ve Jump Crypto’nun ortak liderlik ettiği Seri A yatırım turunda 24 milyon dolar toplamayı başarmış; toplam fonlama miktarı ise 27,8 milyon dolara ulaşmıştı. Platformun kümülatif işlem hacminin 50 milyar doları aşması, projenin DeFi piyasasında ne kadar hızlı büyüdüğünü gösteriyor.

Ancak bu son saldırı, bu tür hızlı büyüyen projelerin arka planında potansiyel ‘yapısal riskler’ biriktiğini de hatırlatıyor. DeFi pazarı hâlâ büyük ölçüde ‘kodla tanımlanmış güven’ üzerine kurulu. Fakat *veri giriş katmanı* olan oracle ve otomasyon (keeper) yapıları sarsıldığında, bu güvenin çok kısa sürede çözülebileceği bir kez daha ortaya konmuş oldu. ‘kelime’DeFi oracle saldırıları’kelime’ ve ‘kelime’otomasyon altyapısı güvenliği’kelime’, önümüzdeki dönemde yatırımcılar ve geliştiriciler için daha yakından takip edilmesi gereken başlıklar arasında yer alacak.