Rain Açığı Solana (SOL) Kart Bakiyelerinden 500.859 Dolar Süpürdü

Eski Solana Sözleşmeleri Boşaltıldı

Kripto neobankları Avici ve Tria'nın kart altyapısını sağlayan Rain, 29 Ağustos'ta izleme sistemlerinin Solana sözleşmelerinin eski bir sürümünde güvenlik açığı tespit ettiğini duyurdu — ancak duyurunun asıl şok edici kısmı şuydu: bir saldırgan bu açığı çoktan kullanmış ve kullanıcıların kart bakiyelerinden 500.859,22 dolar çekmişti. Şirketin resmi açıklamasına göre saldırı, hâlâ eski sözleşme sürümünü çalıştıran sınırlı sayıdaki programa takıldı; altyapının üzerindeki diğer tüm programlara dokunulmadı ve Rain, olayın tam kapsamını belirlemek için derhal soruşturma başlattı. Etkilenen bakiyeler belirli bir mimariyle çalışıyordu: kullanıcılar USDC ya da USDT gibi stablecoinleri (sabit değerli dijital varlıklar), kartlarına yüklenen harcanabilir bakiyeyi yöneten özel bir sözleşmeye yatırıyordu; saldırgan da eski sürümde bırakılan bu sözleşmeleri hedef alıp orada tutulan kart bakiyelerini dışarı çekti. Tria'nın X platformundaki açıklamasına göre kayıplar Solana üzerinden yüklenen USDC ve USDT kart bakiyeleriyle sınırlı kaldı — kullanıcı cüzdanları, vadeli işlemler, Earn ürünleri ve EVM tarafındaki kart bakiyeleri zarar görmedi. Avici ise resmi paylaşımında 1.685 kullanıcının etkilendiğini ayrıca doğruladı ve kullanıcı kontrolündeki Solana ile EVM cüzdanlarının kart sözleşmelerinden ayrı tutulduğunu, bu cüzdanlarda hiçbir kayıp yaşanmadığını vurguladı. Zincir üstü veriler saldırının adım adım nasıl ilerlediğini yeniden yapılandırdı: izinsiz giriş yapan adres önce Avici'nin kimlik doğrulama programında SubmitSignatures fonksiyonunu çağırdı, ardından teminat yönetim programında AddCollateralAdmin'i çalıştırdı ve son olarak WithdrawCollateralAsset fonksiyonuyla fonları çekti. Piyasa tepkisi de gecikmedi — projenin altcoini AVICI, 24 saat içinde yaklaşık yüzde 49,4 değer kaybederek ağır satış ve FUD dalgasının ortasında 0,2175 dolar civarındaki tüm zamanların düşük seviyesine geriledi. Rain, eski sözleşmeleri çalıştıran tüm programları güncellediğini ve saldırıyı böylece durdurduğunu, etkilenen tüm kullanıcılara eksiksiz iade yapacağını belirtiyor; üçüncü taraf adli analiz uzmanları göreve alındı ve teknik bir olay sonrası raporu planlanıyor.

Tria'nın X platformundaki açıklamasınahttps://x.com/useTria/status/2093433665258963450

Kore Borsalarında Staking 4,69 Trilyon Won'a Dayandı

Bu arada mevduat tarzı ürünler, Güney Kore borsa manzarasını da baştan yaratıyor. Demokrat Parti Milletvekili Park Min-gyu'nun Ulusal Meclis Politika Komitesi'ne sunduğu verilere göre, won işlem çifti sunan dört borsa — Upbit, Bithumb, Coinone ve Korbit — temmuz sonu itibarıyla 4,6936 trilyon won değerinde staking (kilitleyerek ağ güvenliğine katkı) yapılmış sanal varlık tutuyordu; bu yıl kullanıcılara ödenen ödüller aylık ortalama yaklaşık 10,42 milyar won seviyesinde. Buradaki staking, Ethereum veya Solana gibi varlıkları protokol ödülleri için ağın mutabakat mekanizmasına kilitlemek anlamına geliyor — DeFi protokollerindeki getiri çiftçiliğinden farklı, mevduat tarzı bir ürün. Toplam tutar yıl boyunca dalgalandı: ocak sonundaki 5,0747 trilyon wondan haziran sonunda 4,3288 trilyon wona indi. Kullanıcı benimsenmesi ise daha hızlı ilerledi: staking hesapları ocakta 1 milyonu aşarak tek ayda yüzde 35,95 artışla 1.048.547'ye ulaştı ve temmuz sonunda 1.225.455'e çıktı. Rekabetçi yapı da Upbit'in tekelini kırdı. Ocakta Bithumb'ın 462.742 staking kullanıcısı ilk kez Upbit'in 321.965 kullanıcısını geçti; Bithumb şu anda yüzde 48,37 payla (592.742 hesap) liderliğini sürdürüyor, Upbit ise yüzde 29,34'te (359.516). Ancak değer bazında Upbit önde: yüzde 51,78 (2,4305 trilyon won) ile Bithumb'ın yüzde 43,41'ine (2,0374 trilyon won) karşı — Upbit'in bir yıl önceki yüzde 68,00 baskınlığından çok daha dar bir fark. Dikkat çekici bir detay: Upbit, Bithumb'ın kullanıcı tabanı hızla büyürken ocak 2025'ten bu yana her ay yeni staking'i geçen çözülme (unstaking) yaşıyor. Upbit'in altı staking varlığının tahmini yıllık ödül oranları şu anda yüzde 2,01 ile 19,09 arasında. Tiger Research merkez yöneticisi Yoon Seung-sik bu eğilimi riske kaçış davranışı olarak okuyor: piyasada durgunluk sürerken kullanıcılar alım satım yapmak yerine varlıklarını kilitleyip ödül toplamayı tercih ediyor. Kore'nin ayrıca acı bir emsali var — benzer mevduat tarzı bir ürün olan Gopax'ın GoPay kredi hizmeti, partneri Genesis Global Capital'in FTX'in çöküşünün ardından itfaları dondurması üzerine kasım 2022'de fiilen kapandı. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Bybit üzerinden canlı takip edebilir.

Getiri Ürünlerinde Saklama Riski

İki hikâye yan yana konulduğunda aynı yapısal riskin iki ucundan görünüyor: kullanıcı varlıklarını havuzlayıp getiri üreten her ürün, saklama (custody) riskini tek noktada yoğunlaştırıyor. Rain vakası birincil kaynak düzeyinde doğrulanabilir — resmi açıklama, etkilenen 1.685 kullanıcının tamamına eksiksiz iade taahhüdü veriyor ve SubmitSignatures, AddCollateralAdmin ile WithdrawCollateralAsset'ten oluşan zincir üstü çağrı dizisi, 500.859,22 doların tam olarak nasıl çekildiğini belgeliyor. Bu tablo, haziranda Solana'da yaşanan Raydium olayını da akla getiriyor: kullanımdan kaldırılmış likidite havuzlarından yaklaşık 1,34 milyon dolar çekilmişti; her iki vakada da eski sürüm programlar canlı saldırı yüzeyi olarak bırakılmıştı. COINOTAG okuması şu: bunun bir süreç hatası mı yoksa tasarım kusuru mu olduğunu manşetler değil, iade takvimi ile Rain'in olay sonrası raporu gösterecek; Kore'deki mevduat ürünü kullanıcıları ise platform riski için mevcut ödül oranlarını değil, Gopax emsalini temel senaryo olarak almalı.