Arkadiko, yaklaşık 2 milyon stSTX ve 1,65 sBTC’nin kasalardan çekildiğini bildirdi. Etkilenen kullanıcılar pozisyonlarını değiştiremiyor; fonları geri alma çalışmaları sürüyor.
Stacks üzerindeki DeFi protokolü Arkadiko, 22 Ekim’de yönetişim oylamasından geçen kötü amaçlı bir akıllı sözleşmeyle kasalardaki teminatların büyük bölümünün çalındığını açıkladı. Ekibin altı paylaşımlık açıklamasına göre saldırgan yaklaşık 2 milyon stSTX ve 1,65 sBTC çekti; teminat kaybının ardından USDA’nın 1 dolarlık sabiti bozuldu. Ekip miktarları ilk tahmin olarak paylaştı; kesin dolar zararını henüz açıklamadı.
22 Ekim saat 23.29 TSİ’de yayımlanan duyuruya göre saldırı aynı gün daha erken gerçekleşti. Arkadiko kötü amaçlı sözleşmeyi devre dışı bıraktı; yönetişimi, USDA’nın kasa teminatıyla değiştirilmesini (itfa) ve tasfiyeleri geçici olarak durdurdu. Ekip henüz saldırıda kullanılan işlem kayıtlarını ve saldırganın oylama gücünü nasıl elde ettiğini paylaşmadı.
Arkadiko’nun 22 Ekim tarihli saldırı açıklaması
Gönderi, açtığınızda X üzerinden yüklenir.
Hangi işlemler durdu, kimler etkilendi?
Arkadiko’ya göre stSTX veya sBTC teminatlı açık kasası olan kullanıcılar pozisyonlarını değiştiremiyor; ilgili teminatlar artık kasalarda bulunmuyor. USDA tutanlar ile Arkadiko’nun merkeziyetsiz borsasına likidite sağlayanlar da sabitin bozulmasından etkilendi. Ekip, DEX’in ve diğer STX kasası işlevlerinin kullanılabildiğini belirtiyor.
| İşlem veya varlık | Ekibin bildirdiği durum |
|---|---|
| stSTX teminatı | Yaklaşık 2 milyon token çıkarıldı; etkilenen kasalar değiştirilemiyor. |
| sBTC teminatı | Yaklaşık 1,65 token çıkarıldı; etkilenen kasalar değiştirilemiyor. |
| Yönetişim | Geçici olarak durduruldu. |
| İtfa ve tasfiye | Geçici olarak durduruldu. |
| DEX ve diğer STX kasası işlevleri | Ekibe göre kullanılabilir durumda. |
stSTX ve sBTC aynı varlığı temsil etmiyor. Stacking DAO’nun açıklamasına göre stSTX, yatırılan STX karşılığında verilen, transfer edilebilir bir token; STX cinsinden biriken ödüller tokenın STX karşısındaki değerine yansıyor. Stacks’in tanımında sBTC ise Bitcoin’i 1:1 oranında temsil eden programlanabilir bir varlık. Ekip kaybı Arkadiko kasalarındaki tokenlarla sınırlı olarak bildirdi; Bitcoin ağına veya tokenların bütün rezervlerine yönelik bir saldırı bildirmedi.
Teminat kaybı USDA’yı nasıl etkiliyor?
Arkadiko’nun açıkladığı kasa modelinde kullanıcılar, ürettikleri USDA’nın değerinden daha fazla kripto varlığı teminat olarak kilitliyor. Böylece teminatlarını satmadan USDA elde edebiliyorlar. Normal itfa düzeninde bir USDA, ücret düşüldükten sonra 1 dolar değerinde kasa teminatıyla değiştirilebiliyor; kullanıcılar fiyat farkından yararlanmak için itfa yaparak dolar sabitinin korunmasına katkıda bulunuyor. Saldırgan kasalardaki varlıkları çektiği ve ekip itfayı durdurduğu için USDA sahipleri normal teminat değişimini yapamıyor.
DeFiLlama’nın Arkadiko sayfasındaki günlük tablosu, 22 Ekim için yaklaşık 1,43 milyon dolar, 23 Ekim için 141.585 dolar kilitli varlık gösteriyor. Yuvarlanmış önceki gün değeriyle hesaplandığında düşüş yaklaşık yüzde 90,1. Aynı sayfanın 23 Ekim 17.15 TSİ civarında okunan güncel üst göstergesi ise 137.503 dolardı. Üst gösterge güncel değeri, günlük tablo ise UTC esaslı kaydı veriyor. Tarihsel zirve 24 Mart 2024’te 24,59 milyon dolar.
TVL, kesin zarar hesabı değildir. DeFiLlama, protokol sözleşmelerinde tutulan tokenların toplam değerini ölçüyor. Dolar cinsinden TVL farkı, ekibin bildirdiği çalınan token miktarlarıyla aynı ölçüm değil. Ekip kesin dolar kaybını ve kullanıcı başına zararı henüz açıklamadı; USDA’nın yeniden 1 dolara döneceğine dair güvence de vermedi.
Stacks’in resmî kanalındaki 24 Haziran 2024 tarihli Arkadiko tanıtımının 0.58–1.50 bölümü, teminatı kasaya kilitleyerek USDA üretme mantığını açıklıyor. Kayıt saldırıdan iki yıldan fazla önce hazırlanmıştı; konuşmacı o tarihte sBTC’nin ileride destekleneceğini söylüyor. Videodaki ürün ve getiri bilgileri 2024’e ait; bugün durdurulan işlemleri ve saldırı sonrası fon güvenliğini açıklamıyor.
Kötü amaçlı sözleşme oylamadan nasıl geçti?
Arkadiko, kötü amaçlı sözleşmenin onaylandığını bildirse de saldırganın önerisini ve oy dağılımını henüz yayımlamadı. Yönetişim belgesine göre akıllı sözleşme güncellemeleri zincir üzerinde oylanmak zorunda. Bir adres öneri sunabilmek için dolaşımdaki DIKO’nun yüzde 0,25’ine sahip olmalı; oylamaya dolaşımdaki arzın en az yüzde 5’i katılmalı ve kullanılan oyların yüzde 50’den fazlası kabul yönünde olmalı.
Belgede tarif edilen olağan işleyişte geliştiriciler sorunu inceliyor, Discord’da toplulukla tartışıyor ve bir Arkadiko İyileştirme Önerisi hazırlıyor. DAO üyesi sözleşme değişikliklerini içeren öneriyi zincire taşıyor; oylama tamamlandığında kabul edilen değişiklik protokole işleniyor. Saldırganın oy satın aldığı, ödünç token kullandığı veya belirli bir kod açığından yararlandığı henüz doğrulanmadı; oylama eşikleri, bu yöntemlerden hangisinin kullanıldığını göstermiyor.
Fonlar geri alınabilecek mi?
Arkadiko, ilgili kripto para borsalarından çalınan fonların dondurulmasını istediğini ve polise bildirim hazırladığını açıkladı. Önceliğini protokolü güvene almak ve kullanıcı fonlarını geri kazanmak olarak açıklayan ekip, doğrulanmış bilgiler geldikçe güncelleme yapacağını belirtiyor. Henüz borsaların fonları dondurduğunu doğrulamadı; geri alınan bir miktar veya kullanıcılara ödeme takvimi de açıklamadı.
“Etkilenen herkesten derinden özür diliyoruz.”
Protokolün Güvenlik Modülü kurallarına göre, saldırı yüzünden borçları karşılayacak teminat kalmazsa DIKO sahipleri, modülde stake edilen tokenların yüzde 30’una kadarının satılmasına oy verebiliyor. Satıştan elde edilen tutar zararı karşılamak için kullanılıyor; DIKO stake edenler de yatırdıkları tokenların yüzde 30’una kadarını kaybetme riskini üstleniyor. Ekip mevcut olayda modülü kullanacağını açıklamadı; yönetişim de geçici olarak kapalı. Modülün kullanılması için ayrıca karar alınması gerekiyor; olası satışın zararın tamamını karşılayacağına dair bir taahhüt yok.
Arkadiko daha önce 28 Ekim 2021’de Swap sözleşmesindeki ayrı bir açığı duyurmuştu. Saldırgan o olayda 400 bin STX ve eşdeğeri USDA’yı, yani STX–USDA havuzunun yaklaşık yüzde 12’sini çalmıştı. Ekip toplam havuz varlıklarının yüzde 88’den fazlasını oluşturan kalan bakiyeyi güvene aldığını; kasaların ve staking modülünün etkilenmediğini bildirmişti. 2021’de güvene alınan bakiye o zamanki Swap havuzuna aitti; ekip 2026’da çalınan kasa teminatlarını geri aldığını henüz bildirmedi.
