Initia, güvenlik ekipleri, doğrulayıcılar ve borsalarla olayın kapsamını araştırıyor. D2 Finance, ilk incelemesinde yaklaşık 2,65 milyon dolarlık aktarım bildirdi; kesin toplam kayıp henüz açıklanmadı.
Initia, 23 Ekim’de yaşanan güvenlik olayı nedeniyle ana ağını ve üzerindeki rollup ağlarını durdurdu. Ekibin açıklamasına göre durdurma saat 15.41.30 UTC’de, Türkiye saatiyle 18.41.30’da başladı. Initia, güvenlik ekipleri, doğrulayıcılar ve kripto para borsalarıyla hangi varlıkların etkilendiğini araştırıyor. Açıklamada kesin zarar tutarı veya yeniden başlatma takvimi yer almadı.
D2 Finance, incelediği işlemlerde yaklaşık 2,65 milyon dolar değerinde varlığın Ethereum’a aktarıldığını bildirdi. Ancak şirket, ilk paylaşımındaki “2 milyon AUSD üretildi” ifadesini daha sonra düzeltti: Üretilen token, Agora’nın çıkardığı AUSD değil, üçüncü tarafın Initia üzerinde oluşturduğu LayerZero OFT temsiliydi. Agora da Initia’da kendi akıllı sözleşmesinin bulunmadığını açıkladı.
Agora’nın AUSD’si ile köprüdeki temsil farklı
Agora’nın yanıtı, saldırıdan etkilenen ürünün Agora tarafından işletilmediğini ve Ethereum’daki AUSD’yi kullandığını belirtiyor. D2 Finance, saat 20.47 TSİ’de yayımladığı düzeltmede Agora’nın çıkardığı AUSD arzının değişmediğini kabul etti. Aynı açıklamaya göre Ethereum’da AUSD tutan sözleşmeden çıkan 1,4 milyon token ise gerçek AUSD’ydi. D2’nin düzelttiği anlatıma göre saldırgan, Initia’da token temsili oluşturduktan sonra Ethereum’da önceden tutulan AUSD’nin serbest bırakılmasını sağladı.
Agora, saat 21.26 TSİ’de yayımladığı yeni açıklamada kendi AUSD sözleşmelerinin tüm ağlarda ve şirket operasyonlarının normal çalışmayı sürdürdüğünü belirtti. AUSD’nin tamamının karşılıkla desteklendiğini söyleyen şirket, resmî sözleşme listesine yönlendirdi. Listedeki on ana ağ arasında Initia bulunmuyor; test ağı adresleri ayrı tabloda yer alıyor.
LayerZero’nun 21 Şubat 2024 tarihli OFT açıklaması, mevcut bir token için kullanılan OFTAdapter modelini anlatıyor: Adaptör, asıl tokenı kaynak ağda kilitliyor; diğer ağdaki sözleşme onun temsilini oluşturuyor. Ters yönde temsil yakıldığında kilitli token serbest bırakılabiliyor. Böyle bir blockchain köprüsünde aynı adı taşıyan tokenları değerlendirirken ağ, sözleşme ve asıl varlığın nerede saklandığı birlikte incelenmeli. Doları izlemeyi amaçlayan stablecoinin başka ağdaki temsili, ayrı bir sözleşmeyle yönetilir.
Kesin toplam kayıp henüz açıklanmadı. D2 Finance’in yaklaşık 2,65 milyon dolarlık aktarım hesabı ilk teknik incelemeye dayanıyor. Şirket, işlemlerin sonunda başka bir adreste 1.135,52 ETH bulunduğunu ve o sırada yaklaşık 2,73 milyon dolar ettiğini bildirdi. Bakiye ve dolar değeri, ilk aktarım hesabından farklı bir anda ölçüldü. İki tutar birbirine eklenerek zarar hesaplanamaz; Initia henüz nihai zarar dökümü yayımlamadı.
İlk inceleme üç aktarım yolu bildiriyor
D2 Finance’in incelemesine göre 14.59.26 UTC’deki işlem, Initia tarafında 2 milyon adet üçüncü taraf AUSD temsili oluşturdu. Bundan 153 saniye sonra, 15.01.59 UTC’de Ethereum’daki adaptörden 1,4 milyon AUSD çıktı. Şirket, ilk işlemden itibaren 7 dakika 21 saniye içinde AUSD, ETH ve USDC üzerinden yaklaşık 2,65 milyon doların Ethereum’a ulaştığını hesapladı. Aşağıdaki miktarlar D2’nin bulguları; Initia’nın onayladığı nihai kayıp tablosu değil.
| Varlık | Bildirilen miktar | Aktarım yolu ve kalan bakiye |
|---|---|---|
| AUSD | 1,4 milyon | AUSD OFT adaptörü; bakiyenin yaklaşık %71’i çıktı, 576 bin AUSD kaldı. |
| ETH | 105 ETH | Yerel ETH OFT adaptörü; yaklaşık %96’sı çıktı, 4,84 ETH kaldı. |
| USDC | 1,08 milyon | Circle CCTP üzerinden Ethereum’da yeni token üretimi olarak kaydedildi. |
Circle’ın CCTP açıklaması, yerel USDC aktarımında kaynak ağdaki tokenların yakıldığını ve hedef ağda karşılığının yeniden üretildiğini anlatıyor. Bu nedenle Ethereum’da USDC üretim kaydı bulunması, tek başına Circle’ın toplam arzının karşılıksız artırıldığına kanıt değil. Initia, D2’nin sözünü ettiği çıkış yolunda hangi yetki kontrolünün aşıldığını henüz açıklamadı.
Initia’nın işlem gezgininde açılan kayıt, ilk işlemi başarılı gösteriyor: 23 Ekim 14.59.26 UTC, 23.364.847 numaralı blok, 135.888 birim gas tüketimi ve 0,5 INIT işlem ücreti. Kayıtta bir MsgScript çağrısı bulunuyor. İşlem sayfası zaman ve yürütme bilgilerini doğruluyor; hangi yetki kontrolünün aşıldığını tek başına açıklamıyor. Ethereum tarafındaki aktarım miktarları burada D2’nin yayımladığı incelemeye atfediliyor.
Şirket, saldırganın kendi anahtarıyla imzaladığı tek bir Move çağrısının token üretebildiğini ve ilk üretimde köprü mesajı bulunmadığını savunuyor. D2’ye göre LayerZero mesajlarını onaylayan merkeziyetsiz doğrulayıcı ağlar (DVN), sonradan yapılan gerçek yakım işlemlerini doğruladı. Ethereum adaptörü ise yakılan temsilin ilk oluşturulduğunda karşılığının bulunup bulunmadığını denetleyemedi. Initia henüz kök neden raporu yayımlamadı. Ekibin açıklaması, LayerZero’nun mesaj doğrulamasında veya Circle’ın CCTP sisteminde açık bulunduğunu doğrulamıyor.
D2, hazırlık hareketlerini de sıraladı: 08.27 UTC’de Tornado Cash’ten 0,1 ETH, 13.14’te Axelar Handler üzerinden küçük bir aktarım ve 14.37’de daha sonra boşaltılan adaptöre 0,006 ETH yatırılması. İncelemeye göre saldırgan, stablecoinleri çıkışlardan sonraki üç dakika içinde 1inch ve 0x üzerinden ETH’ye çevirdi; AUSD’nin dönüşümü 84 saniye sürdü. Şirketin takip ettiği yeni adresteki 1.135,52 ETH, paylaşım anındaki gözlemiydi; bugün dondurulmuş veya geri alınmış tutar diye açıklanmadı.
Durdurma ana ağı ve uygulama ağlarını kapsıyor
Initia’nın mimari belgesi, ana ağı likidite, ağlar arası bağlantı ve koordinasyon merkezi olarak tanımlıyor. Üzerindeki rollup’lar uygulamalara göre sanal makine, ücret tokenı ve özellik seçebiliyor. Ekip hem ana ağı (L1) hem de rollup’ları durdurdu; müdahale tek bir köprü arayüzüyle sınırlı kalmadı. Her uygulamanın hangi varlıktan ne kadar etkilendiği ise açıklamada ayrı ayrı belirtilmedi.
Initia’nın 23 Ekim tarihli açıklamasından çeviri“Initia L1 ve rollup’lar durduruldu.”
Initia’nın 23 Ekim saat 19.00 TSİ’de yayımladığı resmî durdurma açıklaması
Gönderi, açtığınızda X üzerinden yüklenir.
Rollup yapısını tanımak isteyenler için Encode Club’ın 23 Ocak 2025 tarihli eğitimindeki 5.25–7.28 bölümü, Initia’nın birbirine bağlı rollup’larına giriş yapıyor. Eğitim, olaydan yaklaşık 21 ay önce yayımlandı ve ağ mimarisini anlatıyor; saldırının nedenine ilişkin bulgu içermiyor.
Agora dondurma planını açıkladı, geri alınan tutar yok
Agora, saat 19.57 TSİ’deki ayrı açıklamasında güvenlik ekibinin olayı izlediğini ve AUSD ya da Agora sözleşmelerinin bulunduğu ağlarda saldırgan adresleriyle bağlantılı AUSD fonlarını donduracağını bildirdi. Şirket henüz fon dondurduğunu, para geri aldığını veya kullanıcılara ödeme yaptığını bildirmedi. Agora’nın müdahale edebileceğini belirttiği fonlar, kendi sözleşmelerinin bulunduğu ağlardaki AUSD ile sınırlı. Saldırganın ETH’ye çevirdiği bütün varlıkları geri alma sözü vermedi.
Initia, doğrulanmış bilgileri resmî kanallarından duyuracağını belirterek kullanıcıları gayriresmî bağlantı, mesaj ve iddialara karşı uyardı. Özellikle olay sonrasında paylaşılan kurtarma veya tazminat bağlantılarında oltalama riski bulunuyor. Ekip, kullanıcıların başvurabileceği bir tazminat formu paylaşmadı.
