Morpho Midnight Denetim Sonuçlarını Açıkladı: Kritik Açık Bulunmadı

Morpho'nun sabit faizli ve sabit vadeli borç verme protokolü Morpho Midnight, dış denetim ve biçimsel doğrulama (formal verification) verilerini kamuoyuyla paylaştı. Denetim sonuçlarında kritik bir güvenlik açığı tespit edilmedi ancak denetimden geçmiş olmak tüm saldırı risklerinin ya da fon yönetimi istikrarının garanti edildiği anlamına gelmiyor.

Morpho Midnight'a ilişkin raporlar, projenin GitHub deposundaki denetim klasöründe ve resmi denetim listesinde yayımlandı. Spearbit, Blackthorn, Trust Security ve StErMi tarafından yürütülen dış denetimlerin yanı sıra Cantina'nın açık denetim yarışması 2026 yılının Nisan ile Temmuz ayları arasında gerçekleştirildi.

Denetim sonuçları büyük ölçüde düşük ve orta seviye bulgulara odaklandı. Ancak her raporun incelediği kod sürümü ve tehdit modeli farklı olduğundan, denetim sonuçlarının protokolün tüm risklerinin ortadan kalktığı anlamına geldiği şeklinde yorumlanmaması gerekiyor.

Morpho, 9 Temmuz'da yayımladığı güvenlik çerçevesi belgesinde, Midnight'ın çekirdek kodunun yaklaşık 1.100 satırda tutulduğunu ve güvenlik tasarımının merkezine sadelik, değişmezlik (immutability) ve saklama gerektirmeme (non-custodial) ilkelerinin konulduğunu belirtti. Değişmezlik, akıllı sözleşmenin dağıtımdan sonra keyfi olarak yükseltilmesini veya değiştirilmesini zorlaştıran yapıyı; saklama gerektirmeme ise protokolün kullanıcı varlıklarını doğrudan elinde bulundurmadığı yapıyı ifade ediyor.

GitHub deposunda ayrıca Certora'nın CVL aracını kullanan biçimsel doğrulama verileri de yer aldı. Biçimsel doğrulama, akıllı sözleşmenin belirlenen koşulları matematiksel olarak karşılayıp karşılamadığını kontrol eden bir yöntem; Morpho, dış denetimden önce test ve biçimsel doğrulamayı paralel şekilde yürüttüğünü açıkladı.

Midnight, değişken faiz odaklı geleneksel DeFi borç verme piyasalarından yapısal olarak farklı. Borç faiz oranı ve vadesi işlem anında sabitleniyor; borç verenler ve borç alanlar kredi birimi ile borç birimi üzerinden işlem yapıyor.

Piyasalar varlık ve vadeye göre birbirinden ayrılıyor ve her piyasanın koşulları oluşturulduktan sonra değiştirilemiyor. Morpho'nun resmi belgelerine göre Midnight şu anda Base üzerinde konuşlandırılmış durumda.

Sabit faiz ve sabit vade yapısı, borçlanma maliyetini ve geri ödeme zamanını öngörmeyi kolaylaştırıyor. Buna karşılık vade dolmadan önce yeterli likidite bulunmazsa pozisyonu istenen zamanda kapatmak zorlaşabiliyor.

Teminat fiyatını ileten oracle hataları, ekonomik saldırılar ve tasfiye (liquidation) sürecindeki sorunlar yalnızca güvenlik denetimiyle tam olarak değerlendirilemeyen konular arasında. Çünkü belirli kod kusurlarını arayan denetim ile gerçek piyasada fonların hareket ettiği süreçteki risk, farklı inceleme alanlarına giriyor.

Sabit vadeli borç verme, işlem anında belirlenen vadeye göre anapara ve faizin ödendiği bir yapı. Faiz oranı ve vade önceden belirlendiği için koşulların öngörülebilirliği yüksek olsa da, vade dolmadan önce karşı taraf ve likidite bulma zorunluluğu bir kısıt olarak ortaya çıkıyor.

Morpho'nun güvenlikten sorumlu ismi Merlin Egalite, LinkedIn'de paylaştığı bir gönderide Midnight'ın güvenlik ilkeleri olarak sadelik, değişmezlik ve saklama gerektirmemeyi vurguladı. Certora da piyasa izolasyonu, teminat, kullanıcı ödeme gücü ve bakiyeyle ilgili özellikleri biçimsel olarak doğruladığını açıkladı.

Bu iki açıklama, proje ve denetim kuruluşunun resmi görüşlerini yansıtıyor. Bağımsız kullanıcı değerlendirmesi ya da büyük ölçekli piyasa faaliyeti üzerinden riskin doğrulandığı şeklinde yorumlanması güç.

Daha önce Base üzerindeki borç verme faaliyetinin Morpho'da yoğunlaşmış olduğu yapı, akıllı sözleşme hataları, teminat değerinde düşüş, tasfiye başarısızlığı ve para çekme gecikmesi ihtimali gibi risk unsurlarıyla birlikte gündeme gelmişti. Midnight için de denetim sonuçlarının yanı sıra protokolün likidite durumu ve teminat yönetimi birlikte izlenmesi gereken konular arasında.

Morpho'nun sabit faizli borç verme piyasasında bekleyen fonları değişken getiri yapısıyla bağlayan bir özelliğin devreye alındığı örnekte olduğu gibi, sabit faizli ürünlerde işlem gerçekleşmeden önceki fon kullanımı ve vade öncesi likidite yönetimi büyük önem taşıyor. Gerçek getiri ve risk, piyasa koşullarına, varlığa ve ayarlara göre değişebiliyor.

Bu denetim raporunun yayımlanması, bir DeFi projesinin güvenlik incelemesi sonuçlarının dışarıdan doğrulanabilmesini sağlaması açısından anlamlı. Ancak “kritik açık bulunmadı” ifadesi yalnızca belirli bir kod ve denetim kapsamına ait bir sonuç; gerçek fon büyüklüğü arttıktan sonraki likidite değişimlerini ve ekonomik saldırı ihtimalini değerlendirebilmek için ek doğrulamalara ihtiyaç duyuluyor.