Ripple(XRP) destekli Squid Crypto, 600 bin dolarlık yatırım turunun hemen ardından hacklendi: DeFi güvenliği yeniden tartışılıyor

리ple(Ripple/XRP) katılımıyla dikkat çeken Squid Crypto, yatırım turunun hemen ardından yaşadığı ‘hack’ olayıyla kripto piyasasında şok etkisi yarattı. Yaklaşık 600 bin dolar (yaklaşık 90 milyar TL) tutarındaki yatırımın açıklanmasından bir gün bile geçmeden, 300 bin dolar (yaklaşık 45 milyar TL) platformdan çekildiği ortaya çıktı ve ‘DeFi güvenliği’ tartışmaları yeniden alevlendi.

25 Mayıs’ında (yerel saatle), Squid Crypto, North Island Ventures liderliğinde ve Ripple(XRP) ekosisteminin katılımıyla stratejik bir yatırım turu tamamladığını duyurdu. Bu yatırımın, projenin ‘cross-chain likidite altyapısını’ büyütmek için kritik önem taşıdığı vurgulanırken, açıklamadan kısa süre sonra yaşanan saldırı, beklentiyi bir anda belirsizliğe çevirdi.

Saldırının, Squid Crypto’nun ana akıllı sözleşmeleri yerine, harici olarak entegre edilen bir ‘likidite toplama modülü’nden kaynaklandığı belirtildi. Analizlere göre saldırgan, bu modülde yer alan fiyat beslemesi veya erişim yetkisi ayarlarıyla ilgili bir açıklığı kullanarak varlıkları sistem dışına çıkarmayı başardı. ‘Cross-chain swap’ işlemlerini daha verimli yönlendirmek için eklenen bu bileşenin, resmi denetim kapsamına tam olarak dahil edilmediği ifade edilirken, modülün bu sayede ana sözleşmelere uygulanan güvenlik önlemlerini dolaylı olarak devre dışı bırakabildiği görülüyor.

Sektör uzmanları, olayın DeFi alanında sıkça tartışılan ‘bağımlılık riski’ sorununu bir kez daha gündeme taşıdığı görüşünde. Denetim süreçleri genellikle proje ekibi tarafından sunulan belirli kod bloklarıyla sınırlı kaldığı için, üçüncü taraf modüller, entegrasyon katmanları ve dış oracle bağlantıları çoğu zaman aynı seviyede incelenmiyor. Bu vakada sorunlu bileşenin, üçüncü bir tarafça geliştirilen, Gnosis Safe temelli ‘SquidRouterModule’ olduğu ve söz konusu modülün güven zinciri, yetki yapısı ve oracle bağımlılıklarının Squid’in kendi kodları kadar detaylı kontrol edilmediği belirtiliyor. *yorum: Bu tarz mimarilerde, güvenlik zincirinin en zayıf halkanın seviyesine indiği sık sık vurgulanıyor.*

Squid ekibi, saldırının ortaya çıkmasının ardından yaptığı açıklamada, olayın kendi geliştirdikleri ana protokolle ‘doğrudan ilişkili olmadığını’ savundu. Ekip, sistemden çıkan fonların söz konusu üçüncü taraf modülden kaynaklandığını, modülün geliştirme, dağıtım ya da işletim süreçlerinde doğrudan sorumluluklarının bulunmadığını öne sürdü. Ayrıca projenin çekirdeğini oluşturan router sözleşmesinin etkilenmediğini, genel kullanıcılar ve mevcut entegrasyon partnerlerinin risk altında olmadığını vurguladı. Topluluk kanallarında, benzer isim taşıyan modüller ve sözleşmeler konusunda karışıklık yaşanmaması gerektiği hatırlatılırken, şu an için kullanıcı tarafında ek bir işlem yapılmasına gerek olmadığı belirtildi.

Ripple(XRP) ekosisteminin yer aldığı bu yatırım turunun, cross-chain ödemeler ve ağ genişleme stratejisiyle uyumlu bir hamle olarak görüldüğü, bu nedenle piyasada önemli beklenti oluşturduğu biliniyordu. Ancak kısa sürede yaşanan bu olay, hem Squid Crypto’nun hem de ilgili yatırım turunun algısında ‘güven sorunu’ yaratmış durumda. Uzmanlar, bu örneğin DeFi ekosisteminde ‘ölçeklenebilirlik’ ile ‘güvenlik’ arasındaki gerilimin sürdüğünü gösterdiğini ifade ediyor. Dış entegrasyonların ve üçüncü taraf modüllerin arttığı bir ortamda, potansiyel saldırı yüzeyinin de aynı hızla genişlediği, bu nedenle sadece yatırım ve teknoloji geliştirme değil, ‘denetim kapsamının genişletilmesi’ ve ‘tüm bağımlılıkların izlenebilir hale getirilmesi’nin de temel öncelik olması gerektiği vurgulanıyor.