Flow(FLOW) ağına siber saldırı: 'Chain rollback' kararı büyük tepki topladı

플로우(FLOW) ağı, yaklaşık 55 milyar Kore wonu (yaklaşık 3,9 milyon dolar) tutarındaki bir siber saldırı sonrasında blokzinciri geçmiş bir noktaya döndürme yani ‘chain rollback’ isimli sıra dışı bir operasyonu gündeme aldı. 27’sinde (yerel saatle) gerçekleşen olay sonrası, bu karar ağı merkezileştirme riski taşıdığı gerekçesiyle topluluktan ve partnerlerden yoğun tepki gördü.

Plow Vakfı’na göre saldırı, ağın uygulama katmanındaki bir zafiyet üzerinden gerçekleşti ve hacker, varlıkları ağ dışına taşıdı. Hacker elde ettiği varlıkları Ethereum cüzdanı aracılığıyla Chainflip ve THORChain gibi çapraz zincir protokolleri kullanarak aktarmaya çalıştı. Ekip, çalınan fonların takibini anlık olarak sürdürdüklerini belirtirken, sistemin bir checkpoint noktasına sarılması önerisi partner şirketlerde büyük bir huzursuzluk yarattı.

Bu tepkinin yoğunlaşmasının nedeni ise işlemlerin geçmişe döndürülmesinin, temel blokzinciri ilkelerinden biri olan ‘değiştirilemezlik (immutability)’ ilkesine aykırı görülmesiydi.

Özellikle köprü protokolü sağlayıcılarından biri olan deBridge’in kurucusu Alex Smirnov, bu kararın kendilerine önceden bildirilmediğini ifade ederek tepkisini gösterdi. Smirnov’a göre, rollback sırasında yapılan işlemler geçersiz sayılacağı için bazı kullanıcılar birden fazla bakiye elde edebilir, bazıları ise hiç suçu olmadan kayıp yaşayabilir. Ayrıca topluluğun ‘önceden anlaştık’ söylemlerine karşı çıktığı bu süreçte, şeffaf olmayan iletişim altyapısı da büyük eleştiri topladı.

Piyasa reaksiyonu da hızlı oldu. Plow ağındaki çapraz zincir işlem faaliyetleri askıya alınınca, FLOW token bir gün içinde %40’tan fazla değer kaybetti. DeFiLlama verilerine göre olay öncesinde 107 milyon dolar civarında olan zincir üzerindeki toplam kilitli varlık (TVL), 73.8 milyon dolara kadar düştü. Her ne kadar bir gün içinde %31 toparlanarak 97.2 milyon doları görse de, genel piyasa algısı hala ‘olumsuz’ seyrediyor.

Artan eleştiriler karşısında Plow ekibi 29’unda (yerel saatle) geri adım attı. Tam kapsamlı bir zincir rollback yerine, hedefli bir “izole düzeltme” planı duyuruldu. Yeni plana göre yalnızca saldırganın yasa dışı şekilde basarak ele geçirdiği tokenler geçersiz kılınacak ve normal kullanıcıların işlemleri etkilenmeyecek. Bu çözüm, validatorlar, köprü servis sağlayıcıları ve merkezi borsalar ile yapılan istişareler sonucu kararlaştırıldı. Projenin baş geliştirici şirketlerinden Dapper Labs da bu değişikliği destekledi.

Plow Vakfı, bu müdahalenin tüm hesapların %99,9’unu etkilemeyeceğini ve yalnızca belirli birkaç adreste uygulanacağını kaydetti. Ağ yeniden yapılandırılarak kademeli şekilde öğretim modundan çıkacak ve gerekli yazılım güncellemeleri eşzamanlı olarak yapılacak.

Yorum: Bu olay, topluluklarca ‘değiştirilemez’ olarak değerlendirilen blokzincir sistemlerinin, kritik durumlarda yine proje merkezlerinden gelen kararlarla manipüle edilebileceğini gösterdi. Bu, yatırım açısından bakıldığında blokzincirlerin mutlak merkeziyetsizlik iddiasına yeni bir sorgu getirebilir. Ayrıca partner kuruluşlarla önceden herhangi bir koordinasyon yapılmadan alınan kararlar, ekosistem güveni açısından da olumsuz bir izlenim yarattı.