Balancer 1.16 milyar dolar değerinde hacker saldırısına uğradı, Merkezi Olmayan Finans güvenlik mitosları yeniden mi çöküyor?

“Her seferinde uzun süre aktif kalan sözleşmelerin saldırıya uğraması, Merkezi Olmayan Finans’in benimsenme sürecini 6 ila 12 ay geriye götürür.” Flashbots strateji direktörü, Lido strateji danışmanı Hasu, Balancer saldırısından sonra böyle bir görüş bildirdi.

3 Kasım’da köklü Merkezi Olmayan Finans protokolü Balancer, benzeri görülmemiş bir saldırıya uğradı ve yaklaşık 116,6 milyon dolar zarar etti.

Bu büyük miktarda varlık, kısa sürede Balancer V2 havuz akıllı sözleşmesinde bulunan çapraz zincir geri çağırma açığından hızla çalındı. 4 Kasım itibarıyla, hackerlar çalınan varlıkları Cow Protocol aracılığıyla ETH’ye çeviriyor.

01 Olayın Özeti: Büyük miktarda fon anlık buharlaştı

Balancer saldırısı 3 Kasım’da kripto dünyasında büyük yankı uyandırdı. Başlangıçta çalınan miktar yaklaşık 70 milyon dolar iken, zamanla artmaya devam etti.

Yazım sırasında, toplam kayıp 116,6 milyon dolara ulaştı ve Balancer tarihindeki en ciddi güvenlik olayı oldu.

Blok zinciri bilgileri, saldırganların çaldığı ana varlıkların WETH, wstETH, osETH, frxETH, rsETH, rETH gibi likit staking tokenleri olduğunu gösteriyor.

Bu varlıklar ETH, Base, Sonic gibi çeşitli zincirlerde dağılım gösteriyor; Ethereum zincirinde kayıp en büyüktü ve yaklaşık 100 milyon dolara yaklaştı.

02 Açık Analizi: Düşük seviyeli hatalar felakete yol açtı

Güvenlik araştırmacıları hızla açığın kaynağını tespit etti. Güvenlik izleme kuruluşları Defimon Alerts ve Decurity’nin analizlerine göre, sorun Balancer V2 protokolünün manageUserBalance fonksiyonunun erişim kontrolü kontrolünde yatıyordu.

Sistem, Balancer V2’nin para çekme yetkisini doğrularken, çağıranın gerçekten hesap sahibi olup olmadığını kontrol etmeliydi; ancak kod, yanlışlıkla msg.sender’ın (gerçek çağıran) kullanıcının sağladığı op.sender parametresiyle eşit olup olmadığını kontrol ediyordu.

op.sender, kullanıcının kontrol edebildiği giriş parametresi olduğundan, saldırganlar kimlik taklit edebilir ve yetki doğrulamasını aşabilirler.

Bu temel erişim kontrol hatası, 5 yıl çalışan olgun bir protokolde ortaya çıkması, güvenlik uzmanlarını şaşırttı.

03 Tarihçe: Balancer’ın altı yılda altı güvenlik olayı

“Balancer saldırıya uğradı” başlığına aşina olmanız şaşırtıcı değil. Bu, Balancer’ın son 5 yılda yaşadığı 6. güvenlik olayı.

Tarihe bakıldığında, Balancer’ın güvenlik kaydı pek iç açıcı değil:

• 2020 Haziran: Enflasyon karşıtı token açığı, yaklaşık 520 bin dolar kayıp
• 2023 Mart: Euler olayı nedeniyle dolaylı zarar, yaklaşık 11,9 milyon dolar
• 2023 Ağustos: V2 havuz hassasiyet açığı, yaklaşık 2,1 milyon dolar kayıp
• 2023 Eylül: DNS yönlendirme saldırısı, yaklaşık 240 bin dolar kayıp
• 2024 Haziran: Çatal proje Velocore saldırıya uğradı, yaklaşık 6,8 milyon dolar kayıp

Birbirini takip eden güvenlik olayları, Balancer ve genel olarak Merkezi Olmayan Finans ekosisteminin kırılgan güvenlik sınırlarını ortaya koyuyor.

04 Piyasa Etkisi: Güven kaybı ve fiyatlarda büyük düşüş

Piyasa, bu saldırıya hızlı ve sert tepki verdi. CoinMarketCap verilerine göre, 3 Kasım’da BAL (Balancer) tokeni %7,13 değer kaybetti ve 0,92 dolara geriledi.

Mevcut piyasa değeri yaklaşık 62,2 milyon dolar olup, dünye göre yaklaşık 4,78 milyon dolar azaldı. Gate platformu verilerine göre, BAL fiyatı son zamanlarda sürekli baskı altında.

Balancer’ın güvenliği konusundaki güven kaybı ciddi boyutlara ulaştı ve yatırımcılar pozisyonlarını yeniden düzenliyor, satış baskısı artıyor.

İlginç bir gelişme olarak, LookonChain izleme verilerine göre, 3 yıldır uyuyan bir Balina, Balancer platformundaki açık sonrası yeniden aktif hale geldi ve 6,5 milyon dolar değerindeki varlıklarını çekmek istiyor.

05 Sektör zincirleme etkisi: Kendini kurtarma ve operasyonları durdurma

Ani gelişen kriz karşısında, Balancer ile entegre birçok proje kendini koruma önlemleri aldı:

• Lido, etkilenmeyen Balancer pozisyonlarını çekti
• Berachain, acil durum nedeniyle ağı durdurdu ve BEX ile Balancer V2 açıklarını düzeltmek için sert çatal yaptı
• Berachain kurucusu Smokey The Bera, Ethena ekibine Bera köprüsünü devre dışı bırakmalarını ve ilgili piyasalarda operasyonları durdurmalarını söyledi

Bu adımlar, Balancer’ın Merkezi Olmayan Finans ekosistemindeki kritik konumunu ve tek bir protokol açığının sistemik riski tetikleyebileceğini gösteriyor.

06 Merkezi Olmayan Finans güvenliğinin geleceği: Teknolojik borçtan risk yönetimine

Balancer’ın yeniliklerinden biri — en fazla 8 token ile özelleştirilebilir ağırlıkların karışım havuzları oluşturması — güvenlik açığı haline geldi.

Uniswap’ın sade tasarımıyla kıyaslandığında, Balancer’ın karmaşıklığı katlanarak arttı. Her eklenen token ile havuzun durum alanı hızla genişliyor ve saldırı yüzeyi büyüyor.

Balancer, hızlı gelişen bir yol izledi. V1’den V2’ye, sonra çeşitli Boosted Pool’lara geçiş yaptı; her yükseltme, eski kod üzerine yeni özellikler ekledi.

Bu “teknolojik borç” birikimi, kod tabanını kırılgan bir kule haline getirdi.

2025’te Merkezi Olmayan Finans, yeni zorluklarla karşılaşacak. TEE.Fail saldırısı, donanım seviyesindeki güvenlik önlemlerinin bile 1000 dolar değerindeki araçlarla aşılabileceğini gösterdi.

Ve saldırı vektörleri, akıllı sözleşme açıklarından operasyonel hatalara kaydı; şu an kayıpların %80,5’i sosyal mühendislik, sahte airdrop ve özel anahtar sızıntısı gibi off-chain tehditlerden geliyor.

Bu zorluklara karşı, sıfık bilgi kanıtları ve çok imzalı cüzdanlar gibi yenilikçi teknolojiler, 2020’den beri açıkların neden olduğu kayıpları %90 oranında azaltmaya devam ediyor.

07 Yatırımcılar için rehber: Riskler içinde dikkatli ilerleyin

Yatırımcılar için bu olay, tekrar uyarı niteliğinde. Merkezi Olmayan Finans dünyasında ilerlerken şunları akılda tutmak önemli:

• Etkilenen havuzlardan hemen çekil: Balancer V2 havuzlarındaki fonlarınızı derhal çekin, kayıpları büyümeden önleyin
• Yetki iptal edin: Revoke, DeBank veya Etherscan kullanarak Balancer adresinin akıllı sözleşme yetkilerini kaldırın
• Denetlenmiş projeleri tercih edin: Akıllı sözleşme denetimi ve gerçek zamanlı izleme ve kesicilerle entegre protokolleri önemseyin
• Çok imzalı cüzdan kullanın: Tek nokta arızasını azaltın, özellikle büyük pozisyonlar için

Gelecek öngörüleri

4 Kasım itibarıyla, Balancer saldırganları çalınan likit staking tokenlerini Cow Protocol aracılığıyla ETH’ye çevirmeye başladı. Blok zinciri analiz uzmanı Yürek, saldırganların farklı zincirlerdeki çalınan varlıkları ETH, USDC gibi ana akım varlıklara dönüştürmeye devam ettiğini tespit etti.

Balancer resmi açıklamasıyla, çalınan varlıkların %20’sini beyaz şapka ödülü olarak ödemeyi kabul etti ve 48 saat içinde geçerli oldu. Ancak şu an, bu çalınan varlıkların geri alınma şansı giderek azalıyor.

Gözlemciler için, Merkezi Olmayan Finans yeni bir toplumsal deney; katılımcılar için, çalınma pahalı bir ders; sektör için ise, sağlıklı bir Merkezi Olmayan Finans, olgunlaşmanın kaçınılmaz maliyeti.