Ethereum(ETH) teminatlı stabil kripto para USR hacklendi: 25 milyon dolarlık teminatsız basım, peg çöktü

ABD saatiyle 22 Mart’ta, Ethereum(ETH) teminatına dayalı stabil kripto para ‘USR’, büyük çaplı bir siber saldırı sonrası ‘peg’ini kaybetti. Saldırganın, teminatsız token basımı yoluyla en az 25 milyon dolar (yaklaşık 371 milyar TL) değerinde varlığı sistemden çektiği tahmin ediliyor. ‘stabil kripto para’, ‘USR’, ‘Ethereum(ETH)’ ve ‘güvenlik’ başlıkları bu olayla birlikte yeniden tartışma konusu oldu.

Olay, Resolv protokolünün kritik altyapısının ele geçirilmesiyle başladı. Blockchain analiz şirketi Chainalysis’e göre saldırgan, AWS Key Management Service üzerinde saklanan imza anahtarlarını (signing key) ele geçirerek, ‘yetkili kullanıcı’ gibi davranıp token basımını onayladı. Bu durum, dışarıdan bir akıllı kontrat açığından çok, ‘sistem içi yetki’nin istismar edildiği bir saldırı tipine işaret ediyor.

Saldırgan, iki ayrı işlemle toplam 80 milyon USR bastı; ilkinde 50 milyon, ikincisinde 30 milyon adet. Kritik nokta, bu basımın neredeyse ‘teminatsız’ gerçekleşmesi. Sistem üzerinde gerçekten mevcut olan teminat tutarının yalnızca 100 bin–200 bin USDC civarında olduğu, buna karşın sözleşme yapısını ve swap mekanizmasını kullanarak çok daha büyük miktarda USR üretildiği anlaşılıyor. ‘teminatsız basım’, ‘akıllı sözleşme tasarımı’ ve ‘teminat yönetimi’ bu bağlamda öne çıkan risk başlıkları oldu.

Saldırgan daha sonra bu USR bakiyelerini ‘wstUSR’ formatına çevirip, farklı stabil kripto paralar ve Ethereum(ETH) ile takas etti. Bu süreçte merkeziyetsiz borsalar ve köprü protokollerini (bridge) kullanarak para akışını birden fazla ağa ve cüzdana dağıttı. Bu yöntem, fon izini bulanıklaştırarak izleme ve geri alma ihtimalini önemli ölçüde zorlaştırıyor. yorum Saldırganın adımları, DeFi’de likidite ve köprü altyapısının nasıl saldırı sonrası ‘iz kaybettirme aracı’ olarak kullanılabildiğini tekrar gösteriyor. yorum

Resolv ekibi, ‘private key’ sızıntısını kabul etti ve akıllı kontratları derhal durdurdu. Yaklaşık 9 milyon USR yakılarak dolaşımdan çıkarıldı, fakat önemli bir kısmın çoktan farklı adreslere ve varlıklara dönüştüğü tespit edildi. Saldırı sırasında yaklaşık 500 bin dolar tutarında geri ödeme (redeem) işleminin de devam ettiği, yani olay olurken bile bazı kullanıcıların sistemden normal şekilde çıkış yaptığı doğrulandı.

Chainalysis, saldırganın elinde hâlen yaklaşık 11.400 ETH bulunduğunu ve bunun saldırı anındaki fiyatla yaklaşık 25 milyon dolara denk geldiğini bildiriyor. Buna ek olarak saldırganın hâlâ yaklaşık 20 milyon wstUSR tuttuğu, ancak USR fiyatındaki çöküş nedeniyle bu varlıkların piyasa değerinin ciddi şekilde eridiği belirtiliyor.

Saldırı sonrası USR fiyatı sert şekilde çöktü. USR, kısa süre içinde 0,14 dolara kadar gerileyerek tüm zamanların en düşük seviyesini gördü. Ardından kısmi bir toparlanma yaşansa da, 24 saatlik bazda fiyat hâlâ yüzde 57’nin üzerinde düşüş göstermeye devam ediyor. Dolaşımdaki yaklaşık 176 milyon USR’nin en az 71 milyonunun ‘yasa dışı basılmış’ token olduğu tahmin ediliyor. Bu oran, mevcut arzın çok ciddi bir bölümünün saldırı kaynaklı olduğunu ortaya koyuyor.

Resolv ekibi, saldırı öncesinde basılan USR’ler için geri ödeme süreci başlattı. Öncelik, daha önce belirlenmiş beyaz liste (whitelist) adreslerine veriliyor. Bu kapsamda, kullanıcıların saldırıdan önce sistemde tuttukları varlıkları mümkün olduğunca geri alabilmeleri amaçlanıyor. Şirket, bir yandan partner projeler ve borsalarla, diğer yandan da ilgili kolluk kuvvetleriyle koordinasyon hâlinde çalışarak fonların izini sürmeye çalışıyor. Kullanıcılara ise yeni USR/wstUSR işlemlerinden kaçınmaları, özellikle likidite havuzlarına ekleme veya arbitraj denemeleri yapmamaları yönünde uyarı yapıldı.

Bu saldırı, stabil kripto paralara yönelik ‘güven’ tartışmalarını yeniden alevlendirdi. Ripple(XRP) tarafından yapılan bir araştırmaya göre finans sektörü yöneticilerinin yüzde 74’ü, stabil kripto paraları ‘nakit yönetimi aracı’ olarak olumlu değerlendiriyor. Ancak aynı araştırmada katılımcıların yüzde 89’u, bu varlıkların benimsenmesi için en kritik faktörün ‘güvenlik altyapısı’ olduğunu vurguluyor. Yani piyasa, getiri ve hızdan önce ‘altyapı güvenliği’ ve ‘şeffaf teminat yönetimi’ bekliyor.

Resolv tarafı, mevcut krizin yalnızca bir ‘hack’ olayı olmadığını, sistem düzeyinde güvenlik ve operasyonel süreçlerin yeniden ele alınması gerektiğini kabul ediyor. yorum Bu olay, stabil kripto paraların sadece piyasa oynaklığına karşı değil, aynı zamanda ‘altyapı riski’ ve ‘içeriden yetki kötüye kullanımı’na karşı da savunmasız olabileceğini gösteren bir örnek olarak öne çıkıyor. yorum

Sonuç olarak, Ethereum(ETH) teminatlı USR’de yaşanan bu büyük ölçekli saldırı, ‘stabil kripto para’, ‘teminat yönetimi’ ve ‘güvenlik’ başlıklarını sektörün gündeminin ilk sırasına taşıdı. Kullanıcılar, özellikle merkeziyetsiz finans projelerine yatırım yaparken, sadece getiri oranlarına değil, ‘anahtar yönetimi’, ‘denetim süreçleri’ ve ‘acil durum planları’ gibi altyapısal detaylara daha fazla dikkat etmek zorunda kalacak gibi görünüyor.