Arbitrum(ARB) tabanlı AFX Trade’de 24,15 milyon dolarlık off-chain saldırı: Doğrulayıcı anahtar ele geçirildi

아비트럼(ARB) tabanlı DeFi türev borsası AFX Trade’de yaklaşık 24,15 milyon dolarlık bir ‘off-chain’ saldırı gerçekleşti. Akıllı sözleşmelerde bir açık bulunmamasına rağmen, ‘off-chain anahtar ele geçirilmesi’ nedeniyle sistemde kullanılan imza yapısı sorgulanmaya başlandı. ‘DeFi güvenliği’, ‘off-chain saldırılar’ ve ‘anahtar yönetimi’ tartışmaları yeniden gündeme taşındı.

AFX Trade’deki olay, 23’ünde (yerel saatle) on-chain veriler üzerinden tespit edildi. ABD dolarına sabitlenmiş stablecoin USD Coin(USDC) ile işlem yapan perpetual borsa AFX Trade’in köprü (bridge) altyapısında kullanılan ‘doğrulayıcı imza anahtarı’ saldırganın eline geçti ve bu sayede protokolden toplu fon çıkışı tetiklendi. Yaklaşık 24,15 milyon dolar tutarındaki kayıp, Kore para birimi cinsinden yaklaşık 356 milyar won’a denk geliyor.

Süreçte akıllı sözleşme tarafı ‘tasarlandığı gibi’ çalıştı, problem ise zincir dışı yönetilen ‘özel anahtar’da ortaya çıktı. Saldırgan, köprü doğrulayıcısına ait hot wallet anahtarını ele geçirerek, işlemleri sistem açısından ‘normal imzalanmış talep’ gibi gösterebildi. Sözleşme, bu imzaları geçerli olarak algıladı ve fon transferlerine onay verdi. Yani teknik olarak sözleşme mantığı bozulmadı, ‘yanlış aktör’ sistem içinde meşru doğrulayıcı rolünü üstlenmiş oldu.

Offchain Labs kurucu ortağı Steven Goldfeder(Steven Goldfeder), 23’ünde (yerel saatle), X üzerinden yaptığı açıklamada, ‘Arbitrum yerel köprüsünün kendisinin hack’lenmediğini’, sorunun ‘üçüncü parti bir protokole ait imza yapısında’ ortaya çıktığını belirtti. Bu açıklama, saldırının ‘Arbitrum(ARB) mimarisine dair yapısal bir açık’ değil, belirli bir protokolle sınırlı ‘yerel bir güvenlik başarısızlığı’ olduğu yorumunu güçlendirdi. On-chain incelemelere göre köprü kodunda bir bozulma izine rastlanmadı ve tasarlanmış mantık, saldırı süresince de normal şekilde çalışmaya devam etti.

Blokaid gibi blockchain güvenlik şirketlerinin analizine göre saldırgan, toplam 5 doğrulayıcı imzasını ele geçirdi ve böylece yaklaşık ‘2/3 çoğunluk eşiğini’ sağlamış oldu. Bu sayede 24,15 milyon USDC, sistem tarafından tamamen ‘geçerli çıkış talebi’ olarak kabul edilip saldırganın cüzdanına aktarıldı. Kontrat, 200 saniyelik itiraz süresi sonrasında, herhangi bir uyuşmazlık tespiti olmadığı için bu çıkışı sorunsuz işleme aldı. Sistem açısından bakıldığında bu işlem ‘meşru bir fon çıkışı’ görünümündeydi; ancak imzaları üreten ‘özel anahtarların çoktan ele geçirilmiş olması’ gerçekteki temel zafiyeti oluşturuyordu.

On-chain izleme araçları, saldırganın ele geçirdiği USDC’leri kısa süre içinde Ethereum(ETH) ağına köprüleyip yaklaşık 12.467 Ethereum(ETH) ile takas ettiğini gösteriyor. Şu anda bu varlıkların tek bir cüzdanda tutulduğu, henüz büyük bir dağıtım veya karmaşık ‘mixing’ süreci başlatılmadığı tespit edildi. ‘Varlık hareketleri’ ve ‘adres işaretlemeleri’ zincir üstü analistlerin takibinde.

Bu olay, 4’ünde (yerel saatle) yaklaşık 285 milyon dolarlık zararla sonuçlanan Drift Protocol vakasıyla benzerlik taşıyor. Drift örneğinde de temel sebep bir akıllı sözleşme açığı değil, ‘erişim yetkisinin kötüye kullanılması’ ve imza/hesap üzerindeki kontrolün kaybedilmesiydi. Bu tür olaylar, ‘DeFi ekosistemindeki saldırı yüzeyinin’ giderek zincir dışı bileşenlere kaydığını gösteriyor.

Uzmanlar, son dönemde DeFi hack’lerinin yön değiştirdiğine dikkat çekiyor. Artık saldırganlar, on-chain kod hatalarını aramak yerine, ‘anahtar yönetimi’, ‘imza yetkisi’, ‘operasyonel güvenlik (OpSec)’ ve ‘altyapı erişimi’ gibi off-chain katmanlara yoğunlaşıyor. Yorum: Bu eğilim devam ederse, klasik akıllı sözleşme denetimlerinin tek başına yeterli olmadığı; anahtar depolama, çoklu imza yapıları ve donanımsal güvenlik modüllerinin (HSM) zorunlu hale geldiği bir pazar standardı oluşabilir.

2026 yılının 2. çeyreği, toplam hack hacmi açısından DeFi tarihinde en yüksek seviyelerden biri olarak öne çıkıyor. Arbitrum(ARB) ekosisteminde de zincirleme vakalar yaşanıyor. Yaklaşık bir hafta önce RWA odaklı Ostium platformunda yaklaşık 18 milyon dolar büyüklüğünde ‘oracle manipülasyonu’ saldırısı rapor edilmişti. AFX Trade vakası, bu tabloya ‘off-chain anahtar sızıntısı’ örneğini ekleyerek risk spektrumunun ne kadar genişlediğini ortaya koyuyor.

Saldırının zamanlaması da dikkat çekici. DeFiLlama verilerine göre AFX Trade’in işlem hacmi temmuz ortasında belirgin şekilde artarak son ayların en yüksek seviyelerine ulaştı. Kullanıcı sayısındaki artışla birlikte, protokole kilitlenen toplam değer (TVL) de hızlı bir şekilde yükseldi. Ele geçirilen 24,15 milyon dolar, protokolün neredeyse tüm TVL’sine denk geliyor. Başka bir deyişle saldırgan, likiditenin zirve yaptığı anı bekleyip ‘protokol kasasını tek hamlede boşaltmayı’ hedefledi ve bunda büyük ölçüde başarılı oldu.

AFX Trade olayı, DeFi güvenliğinin artık sadece ‘akıllı sözleşme denetimi’ ile sınırlı olmadığını bir kez daha ortaya koyuyor. ‘Özel anahtar yönetimi’, ‘imza eşiği tasarımı’, ‘off-chain altyapı güvenliği’ ve ‘operasyonel süreçler’ birlikte ele alınmadıkça, sistem bütünlüğü sağlanamıyor. ‘Tam kapsamlı mimari güvenlik’ ve ‘uçtan uca risk yönetimi’, önümüzdeki dönemde DeFi projeleri için hayatta kalma şartı haline gelmiş durumda. Yorum: Özellikle köprü ve RWA protokollerinde, multi-sig yapılar, dağıtık doğrulayıcı setleri ve donanım tabanlı anahtar koruması gibi çözümler giderek sektör standardına dönüşmek zorunda kalacak.