Cosmos Labs'ın Gözden Kaçırdığı EVM Açığı Altı Cosmos (ATOM) Zincirinden 5,72 Milyon Dolar Süpürdü

Cosmos Labs Açığı Yanlış Değerlendirdiğini Kabul Etti

Cosmos Labs, paylaşımlı Cosmos EVM modülündeki bir bakiye işleme açığını zararsız sanarak temiz raporladığını kabul etti — ve bu yanlış değerlendirme, 20-25 Ağustos tarihleri arasında altı Cosmos (ATOM) blokzincir ağını vurup yaklaşık 5,72 milyon dolar süpüren bir exploit saldırısının önünü açtı. Olayın aslı çok daha gerilere, 25 Nisan'a uzanıyor: ekibin bu açığın ilk ihbarını aldığı tarih 25 Nisan olarak kayıtlara geçti. Mühendisler açığı test etti ve kusurun yalnızca 6 ondalıklı token denominasyonu kullanan ağları etkileyebileceği sonucuna vardı; oysa bilinen tüm üretimdeki Cosmos EVM zincirleri 18 ondalık kullanıyordu. Bu mantık üzerine, dağıtımda olan ağların hiçbirinin etkilenmediği değerlendirildi.

Cosmos Labs bu değerlendirmeye istinaden Mayıs ayında bir düzeltmeyi sessiz yama (silent patch) yoluyla devreye aldı — yani sabit kodu, zincir işleticilerine gerçekte neyin değiştiğini söylemeden yayımlayan bir sürüm süreciyle. Bu varsayım Ağustos başına kadar dayandı; bağımsız araştırmacılar açığın gerçekte her Cosmos EVM zincirini etkilediğini doğruladı. Söz konusu katman, Cosmos-SDK tabanlı EVM ağlarını da ayakta tutan paylaşımlı yürütme katmanı — örneğin Berachain bu altyapının üzerine kuruluyor. Asıl kırılma noktası ise zamanlama oldu. Cosmos Labs yamasını 19 Ağustos'ta ET ile saat 19.01'de yayımladı; sürüm notları değişikliği yalnızca önemli bir güvenlik düzeltmesi olarak tanımlıyor, teknik detay vermiyordu. İlk saldırı dalgası ertesi gün, 20 Ağustos'ta saat 15.06'da başladı — yamadan yaklaşık 20 saat sonra. Bu boşluk, sessiz yama ikileminin en çıplak hâli: detayları saklamak, operatörler güncellemeyi tamamlarken saldırganlara yol haritası sunmamak için. Ama bir yama, zincirlerin güncellemeleri yayma hızından daha hızlı geri mühendislikle çözülebiliyorsa, açıklama ile savunma arasındaki aralık saldırganın penceresine dönüşüyor. Kusurlu kod zincire özel bir mantık değil paylaşımlı bir modül olduğu için tek bir açık, aynı anda altı ağa yayıldı. Olay aynı zamanda şeffaf zincirlerde sonradan kurtarmanın sınırlarını da gösteriyor: çalınan fonlar gerçek zamanlıyla izlenebilir yollardan akıyor — bu görünürlük, akışların varsayılan olarak gizlendiği Monero gibi gizlilik odaklı varlıklarda hiç yok.

Swift'in Defteri Birlikte Çalışabilirliğe Bahis Yapıyor

Swift — her gün yaklaşık 5 trilyon dolarlık ödeme talimatını aktaran, kökleri 53 yıl geriden gelen mesajlaşma ağı — blokzincirin yarattığı baskıya eski raylarını savunarak değil, onları içine edinerek yanıt verdi. Swift'in blokzincir paylaşımlı defteri Temmuz'da canlıya alındı ve HSBC ile Standard Chartered, gerçek sınır ötesi işlemlerini bu defter üzerinden tamamladı; böylece 7/24 çalışan tokenize ödeme altyapısı fiilen kurulmuş oldu. Swift'in koruduğu ölçek kocaman: günde 53 milyondan fazla finans mesajı işliyor, 200'den fazla ülke ve bölgede 11.500 finans kurumuna hizmet veriyor ve ödeme talimatlarının yüzde 75'i 10 dakika içinde alıcı bankaya ulaşıyor. Programda atıf yapılan McKinsey tahminleri, küresel ödeme pazarını yılda kabaca 2 katrilyon dolar olarak ölçüyor; Swift'in yıllık hacmi ise 1,2-1,5 katrilyon dolar mertebesinde.

Başlık rakamlarından daha kritik bir detay var: Swift asla fonu elinde tutmuyor ya da transfer etmiyor. Standartlaştırılmış talimatlar göndererek bankaların hesap borçlandırıp alacaklandırmasını sağlıyor; fiili mutabakat ise bir ile beş iş günü sürebilen muhabir bankacılık zincirlerinde ağır ağır ilerliyor. Blokzincir raylerinin saldırdığı tam da bu katman. Stablecoin'ler (fiat para birimine bağlı kripto token'lar) cüzdan-cüzdana, kesintisiz hareket ediyor — tüketici ödemeleri alanı uzun süredir PayPal gibi ağların hâkimiyetinde — ve getiri ödeyen yield-bearing stablecoin gibi tasarımlar da sahneye çıktı. Tokenize mevduat ise bankalara muhabirleri tamamen devre dışı bırakıp hesap-hesaba zincir üstü mutabakat imkânı veriyor. Yellow Card CEO'su Chris Maurice, bu raylar kurulduktan sonra geleneksel Swift çözümlerine ihtiyaç kalmayacağını ve para hareketinden ücret alan bir iş modeli üzerinde duran bir ara katmanın, model değiştirmedikçe zorlanacağını savunuyor. Standard Chartered'ın dijital ödemeler başkanı Naveen Mallela ise karşı çıkıyor: sınır ötesi değerin çoğu hâlâ cüzdan-cüzdana değil hesap-hesaba akıyor. Swift'in dijital varlık stratejisi başkanı Jack Pouderoyen asıl sorunu parçalanmışlık olarak çerçeveliyor — her bankanın kendi özel defteri, ihraççıların birden çok zincire dağılması — ve bankaların mevcut Swift bağlantıları üzerinden erişilebilen ortak bir birlikte çalışabilirlik katmanının çözüm olduğunu ileri sürüyor. Günlük 6 trilyon dolar hareket ettiren Citi ile 17 pilot bankadan biri olan UBS, tek bir kazanan yerine hibrit bir ekosistem bekliyor. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları MEXC üzerinden canlı takip edebilir.

Orta Katmanlar Baskı Altında

İki hikâye de özünde aynı soruya dönüyor: bir ara katmanın değeri nedir? Cosmos Labs'ın 19 Ağustos yamasına ait sürüm notları, değişikliğin yalnızca güvenlik açısından kritik olduğunu söylemişti — tek bir paylaşımlı modül açığının altı zinciri aynı anda vurmasını mümkün kılan opaklık tam da buydu. Swift'in cevabı tam tersi bir bahis: defteri yayımla, 11.500 bankayı bağlı tut ve para hareketinden geçiş üyesi alan bir gişe değil, birlikte çalışabilirlik katmanı ol. Bizim okumamız şudur: kullanıcılar ile mutabakat arasında duran altyapının, şu anda süren yeniden fiyatlama sürecinden sağ çıkması için ya radikal şeffaflık ya da vazgeçilmez erişim sunması gerekiyor — ideali ikisi birden.