Kuzey Kore bağlantılı hack Aave(AAVE) TVL'ini 9 milyar dolar eritti: DeFi'de likidite sıkışması derinleşiyor

Kuzey Kore bağlantılı hack sonrası Aave’nin TVL’i eridi, DeFi genelinde ‘likidite sıkışması’ derinleşiyor

20 Nisan’da (yerel saatle), CoinDesk’e göre Kuzey Kore bağlantılı olduğu düşünülen son hack saldırısının etkisi DeFi piyasasına yayılırken, ‘Aave(AAVE)’ protokolünün toplam kilitli varlıkları(TVL) sert şekilde geriledi. Olay, Kelp DAO’nun likit stake token’ı rsETH’nin bir ‘köprü’ zafiyetinden yararlanılarak çalınmasıyla başladı. Ardından ‘borçlanma’ ve ‘geri ödeme’ riskleri büyüyünce piyasa genelinde ‘likidite sıkışması’ endişesi derinleşti.

Saldırının çıkış noktası, LayerZero köprüsü üzerinden yaklaşık 290 milyon dolar değerinde rsETH’nin ele geçirilmesi oldu. Saldırgan, çaldığı varlıkları Aave’ye teminat olarak yatırdı ve karşılığında yaklaşık 236 milyon dolar tutarında WETH borç aldı. Bu hamleyle birlikte ‘piyasa likiditesi’ hızla kurudu. Kullanıcılar teminatlarını çekmeye ve yeni krediler açarak pozisyonlarını korumaya çalıştı. Hesaplamalara göre hafta sonu sonrasında Aave’den yaklaşık 9 milyar dolar çıkış yaşandı.

Saldırının arkasında, Kuzey Kore Genel Keşif Bürosu’na bağlı hacker grubu ‘Lazarus Group’un olduğu iddia ediliyor. LayerZero tarafı, Kelp DAO’nun ‘tekil DVN ayarı’ kullanmasının zafiyet yarattığını savundu. Ancak bazı geliştiriciler bu açıklamayı ‘aşırı sorumluluk dağıtma çabası’ olarak görüyor. Sorunun ‘çekirdeğinde’, köprü doğrulama yapısının yeterince yedekli tasarlanmamış olması ve ‘tek bir ihlalin’ birden fazla protokole sıçramasına izin vermesi yatıyor.

Saldırının etkisi doğrudan Aave piyasasında da hissedildi. rsETH piyasasının durmasıyla birlikte ‘WETH likiditesi’ hızlı şekilde azaldı, bazı ‘stabil kripto para’ piyasaları ise neredeyse ‘tam kapasite’ çalışır hale geldi. DeFi risk yönetim platformu Spark ekibi, kısa süre önce güncellenen Aave borçlanma faiz yapısının ‘zincirleme piyasa çöküşü’ riskini artırdığını öne sürdü. DeFiLlama geliştiricisi 0xngmi, en kötü senaryoda Aave üzerinde oluşabilecek ‘batık kredi’ tutarının 341 milyon dolara kadar çıkabileceğini hesapladı.

Zararın nihai yükünü kimin taşıyacağı henüz netleşmiş değil. Aave ekibi, ‘Umbrella’ isimli backstop fonunu ve bazı ‘protokol rezervlerini’ devreye sokma olasılığını masada tutuyor. Ancak sektör içi değerlendirmelere göre bu kaynaklar tüm açığı kapatmaya yetmeyebilir. Sektörde, Aave mevduat sahiplerinin ‘yaklaşık %5–8 düzeyinde’ zarara katlanmak zorunda kalabileceği yönünde beklentiler dile getiriliyor.

Bu olay, DeFi ekosisteminin ‘yapısal kırılganlığını’ bir kez daha gündeme taşıdı. ‘Köprü ayarları’, ‘teminat kabul kriterleri’ ve ‘likidite savunma mekanizmaları’ birbirine sıkı sıkıya bağlıyken, kayıp oluştuğunda ‘zarar paylaşımı’ için net bir çerçevenin olmaması ciddi bir boşluk olarak öne çıkıyor. LayerZero’nun ‘çoklu DVN yapılarına geçiş’ tavsiyesi de aynı sorunu gidermeye yönelik bir adım olarak yorumlanıyor. Piyasa aktörleri, bu hack vakasının basit bir ‘güvenlik kazası’nı aşan boyutu olduğunda hemfikir. Genel kanıya göre yaşananlar, DeFi sektörünün ‘olgunluk seviyesi’nin hâlâ yetersiz kaldığını ve ‘köprü güvenliği ile risk yönetimi’nin yeniden tasarlanması gerektiğini net biçimde ortaya koydu.