Aave, Binance Sıcak Cüzdan Soygununun Ardından 16 Ağda 292 Rezervi Dondurdu

16 Ağda Acil Dondurma

Aave, Perşembe günü 16 blokzincir ağındaki 292 rezervde yeni yatırımı ve borç almayı askıya aldı. Acil dondurmanın tetiği, Binance'in sıcak cüzdanlarından çalınan 195.000 ETH'nin üzerindeki kripto para oldu. Aave fiyatı çalınan tokenların merkeziyetsiz borsalara akmaya başlamasıyla yüzde 9 civarında geriledi; dondurma aynı zamanda protokol genelindeki getiri çiftçiliği stratejilerini besleyen yeni yatırımları da kesiyor. Aave, borçluların teminat karşılığı çekim yapabildiği bir varlığı, yani merkeziyetsiz bir para piyasası protokolüdür. Aave ekibinin olay raporu, ihlalin 29 Ekim'de Doğu Zamanı ile 15:24'te tek bir işlemle 167.464 ETH ve 63 farklı tokenın Ethereum tabanlı bir Binance sıcak cüzdanından bilinmeyen bir adrese taşınmasıyla başladığını gösteriyor. Dakikalar sonra saldırgan ikinci bir Binance cüzdanından 28.006 ETH daha çekti; transferler Arbitrum, Optimism ve Avalanche üzerinden de yönlendirildi. Girişler 17:04'e kadar sürdü ve o saatte 444.537 AVAX'in geldiği görüldü; bu da açığın en az iki saat boyunca açık kaldığına işaret ediyor. Zincir üstü kayıtlar, saldırganın fonları 20'den fazla cüzdan adresine dağıttığını ve merkeziyetsiz borsalarda Uniswap (UNI), Chainlink (LINK) ve AAVE'yi ETH'ye satmaya başladığını gösteriyor. Doğrudan satılan tokenlar en sert düşüşü yaşadı; Chainlink, AAVE ile birlikte yüzde 9 geri çekildi. Bekçi (guardian) çok imzalı cüzdanları, kapatma işlemini 16:42 ile 18:04 ET arasında gerçekleştirdi: Aave V3'te 16 ağda 175 rezerv, Aave V4'te dört ağda 117 rezerv duraklatıldı; etkilenen pazarlar arasında Ethereum, Arbitrum, Avalanche, Base, Optimism, Polygon ve BNB Chain yer aldı. İzinli Horizon gerçek dünya varlığı pazarı çalışmaya devam etti ve ekip sözleşmenin tamamen durdurulmamasını tercih etti. Mevcut kullanıcılar borcunu geri ödeyip teminatını çekebiliyor; yalnızca yeni yatırım ve yeni borç alma kapalı.

Binance'in Yanıtı ve Piyasadaki Etki

Korumalar devreye girmeden önce, Perşembe 15:58 ile 16:01 ET arasında saldırganla bağlantılı bir cüzdan, Ethereum Core üzerindeki Aave V3'e 60 milyon dolarlık USDT yatırıp 19.762 wrapped ETH (WETH) borç aldı; bu tutar o an yaklaşık 44,6 milyon dolara denk geliyordu. Olay raporuna göre pozisyon aşırı teminatlı kalmayı sürdürüyor: yaklaşık 43,8 milyon dolarlık borcu 59,9 milyon dolarlık USDT teminatı destekliyor, yani likidite sağlayıcıları için derhal bir iflas riski yok ve standart likidasyon kurallarına tabi. Aave Labs, Tokenlogic, Certora ve ortak güvenlik firmaları ilk bildirimin ardından on dakika içinde ortak bir müdahale ekibi kurdu. Bekçiler, tek tek rezervleri duraklatmak ya da arz tavanlarını düşürmek için beş günlük topluluk yönetişim oyu beklemek yerine saldırganın çalınan tokenları başka havuzlara park etmesini engellemek üzere genel dondurma uyguladı. Binance, partnerlerinin yardımıyla etkilenen yaklaşık 3 milyar dolarlık varlığın dondurulduğunu ve çekimler askıya alınırken yetkisiz çıkışların durduğunu açıkladı; yatırımlar etkilenmedi ve borsa çekimleri daha önce duyurduğu 45 saatlik süre içinde yeniden açmayı bekliyor. Tüm kayıpları kullanıcı varlık koruma fonu (SAFU) ve şirket kaynaklarından karşılayacağını taahhüt etti. Borsanın X üzerindeki resmi güncellemesi olayı “gelişmiş bir saldırı” olarak nitelendirdi, kolluk kuvvetleriyle yakın çalıştığını belirtti ve araştırmacıların ilk şüphelenilen olası ele geçirilmiş dizüstü bilgisayarın ötesinde ek sızma noktaları bulduğunu kaydetti. Etki broader piyasayı da vurdu: Bitcoin 76.320 dolara, Ethereum 2.170 dolara geriledi; UNI yüzde 8, ARB yüzde 6 kaybetti. Aave'nin GHO stabilcoin'i, kullanıcılar stabilite modülü üzerinden 4,6 milyon dolar geri çektikten sonra kısaca 0,997 dolara indi. Protokol mühendisleri, Binance daha fazla kontrol güncellemesi yayımlayana ve saldırgan cüzdan aktivitesi dinginleşene kadar pazarların dondurulmuş kalacağını, her iki koşul sağlandığında kademeli gevşetmenin değerlendirileceğini söyledi.

Saldırganın Fonları Zincir Üstünde İzlenebilir

Zincir üstü kayıt, hasarın kontrol altına alındığı görüşünü destekliyor: üç en büyük hareket olan 167.464 ETH, 28.006 ETH ve 444.537 AVAX'in her biri kendi ana zincirinde doğrulanabiliyor ve saldırganın borç pozisyonu Aave'nin kendi muhasebesiyle tutuyor; teminat borcu aşmaya devam ediyor. COINOTAG'in canlı izlemesi, son 24 saatte fiyatın yüzde 5,5 civarında düştüğünü gösteriyor; ilk satış dalgasına göre daha sığ bir kayıp ve bekçiler Perşembe akşamı işi bitirdiğinden beri dondurma değişmedi. Borsa tarafındaki baskı sürüyor: Binance, 30 Ekim'de AAVE dahil 12 spot pariteyi kaldıracak ve V4'ün yeni eklenen harici kürasyonlu borç verme pazarları şu an duraklatmanın arkasında. Henüz hesaba katılmamış olan, Binance'in nihai kayıp rakamı; borsa bunun araştırmacılar daha fazlasını doğruladıkça açıklanacağını belirtiyor. Kısıtlamalar altındaki havuzlarla hâlâ işlem yapan herkesin kendi araştırmasını yapması (DYOR) gerekiyor: DYOR.