Flash kredisiyle Avalanche Tranche kasasından 1,01 milyon dolarlık USDC boşaltıldı

Şişirilmiş tranche payları kasayı boşalttı

Salı günü, 27 Ekim'de ABD Doğu saatiyle akşam saatlerinde, Avalanche (AVAX) ağı üzerindeki bir Tranche kasasından yaklaşık 1,01 milyon dolarlık USD Coin (USDC) çekildi. Saldırgan bir flash kredisiyle borçlandı, şişirilmiş sayıda tranche payı bastı ve bu payları, kasanın hâlâ tuttuğu mevduata çevirdi. Güvenlik şirketi Blockaid kaybı şimdilik yaklaşık 1,01 milyon dolar olarak açıkladı ve sömürü saldırısının, X'teki uyarısını yayımladığı 21:07 ET itibarıyla sürdüğünü belirtti. Hırsızlık yaklaşık iki işlemle gerçekleşti; bu iz, herkesin doğrudan zincir üstünden doğrulayabileceği türden. Şirket, tamamlanmış bir baskını sonradan yeniden kurmak yerine canlı aktiviteyi okuyordu ve toplamını kesin değil kümülatif bir rakam olarak sundu. Flash kredisi, tek bir blok zincir işlemi içinde alınması ve geri ödenmesi zorunlu olan teminatsız borçlanmadır; böylece çağıran kişi anaparasının hiçbirini riske atmadan anlık büyüklük komuta eder. Bu olayda ödünç fonlar, şişirilmiş sayıda tranche payı basmak için kullanıldı ve paylar sonradan havuzun hâlâ tuttuğu USDC'ye itfa edildi. Tranche kasaları mevduatı, farklı risk ve getiri profillerine sahip katmanlı pozisyonlara böler; bu yüzden şişirilmiş bir pay sayısı, havuz üzerindeki talebi doğrudan büyütür. Hasarın boyutunu ölçmek için bu ayrıntı önemli: şişirilmiş pay sayısı yalnızca havuzda çevrilebilir USDC kaldığında kârlıdır ve saldırgan tam olarak onu çevirdi. Blockaid, kasanın Valinor Digital ve Fence ile “ilişkili” olduğunu söyledi ve iki şirketin X hesaplarını etiketledi, ancak uyarı işletmeyi adlandırmaktan kaçındı. Yazının hazırlandığı anda ne Valinor Digital ne de Fence olaya ilişkin kamuoyu açıklaması yapmıştı. Bir stablecoin olarak USDC doları takip etmek üzere tasarlanmıştır ve USDC fiyatı burada hedef değildi; maruziyet tamamen yatırılmış bakiyelerde yatıyor.

Uyarı yayımlandığında çözülmemiş kalan hususlar, kaybın kendisi kadar önemli. Şirket üç soruyu açık bıraktı: bir durdurma yürürlükte mi, çalınan USDC'nin geri kazanımı mümkün mü ve kaç mevduatçı etkilendi. Şirketin 1,01 milyon dolarlık rakamı açıkça yürüyen bir toplam, nihai sayı değil; yani saldırı 21:07 ET sonrasında da sürdüyse rakam artabilir. Ne Valinor Digital ne de Fence yazı anında bir açıklama, durdurma duyurusu ya da telafi planı yayımlamamıştı; mevduatçıların çekimlerin çalışıp çalışmadığına ve havuzun ne kadarını geri almayı bekleyebileceklerine dair resmi bir hesabı yok. İki işlemlik iz, araştırmacılara dar bir pencere bırakıyor: gelirler kasa sözleşmesinden çıktıktan sonra geri kazanım, işletmenin ne kadar hızlı tepki verdiğine ve ön uçların bekleyen çekimleri hâlâ tutup tutmadığına bağlı. Yürüyen toplamlar tazminat hesabını da karmaşıklaştırıyor, çünkü her mevduatçının nihai kayıp payı, sayı durana kadar sabitlenemiyor. Saldırının tasarımı, Avalanche'ın daha önce gördüğü bir kalıba oturuyor. Şubat 2023'te aynı ağdaki stablecoin takas platformu Platypus, bir flash kredisinin bozuk bir ödeyebilirlik kontrolüyle birleştiği saldırıda yaklaşık 8,5 milyon dolar kaybetmişti. Salı günkü olay aynı biçimi izliyor: ödünç sermaye, şişirilmiş pay muhasebesi, mevduat üzerinde hak ve kredinin aynı işlem içinde geri ödenmesi; hepsi, çoğu mevduatçı harekete geçemeden tamamlandı. Tranche kasası olayında anahtar hırsızlığı iddia edilmiyor; bu da inceleme ekiplerini pay-fiyatı mantığına ve ödeyebilirlik varsayımlarına, yani Blok Zincir Güvenlik Denetimleri kapsamındaki yüzeye yönlendiriyor. USDC kasalarına maruziyetini tartan sahipler için pratik soru operasyonel: işletmenin yürüyen toplam büyümeden önce durdurmayı, açıklamayı ve payları yeniden fiyatlamayı yapıp yapmadığı.

Geri kazanım, durdurma ve işletme ismi hâlâ belirsiz

Bu olayda yük taşıyan bilgiler zincir üstündekiler. Boşaltmanın arkasındaki iki işlem bugün bir gezgin üzerinden izlenebilir ve hedef cüzdan adresi, fonların park edilmiş olduğunu ya da çoktan bir mikser yönünde yola çıktığını gösterecek. Geri kazanım olasılıklarını belirleyecek olan bu iz, herhangi bir basın açıklaması değil. Gerisini üç açıklama belirleyecek: durdurma teyidi, adı açıklanmış bir işletme ve yürüyen toplamın yerini alacak nihai rakam. Arıza ayrıca kasa katmanında yaşandı, ihraççının altyapısında değil: Circle'ın USDC Match hizmeti kurumsal basım ve itfa işlemlerini saatlik açık artırmalarla eşleştiriyor ve o mekanizma hiç etkilenmedi. En yakın güncel benzerlik, USDC rezervlerini 63 dolarda bırakan ve yeniden başlama tarihi vermeyen Initia sömürüsü. Bu açıklamalardan biri gelene kadar 1,01 milyon dolar bir taban olarak okunmalı, kesinleşmiş bir kayıp olarak değil.