Ethereum ile ilişkili iki zincirler arası köprü, birkaç saat içinde art arda sorun yaşadı. Tokenpost’un CryptoSlate’ten aktardığı habere göre, güvenlik şirketi Blockaid, 22 Temmuz saat 21:30 (UTC) civarında AFX’te bir açık istismarı tespit etti — Arbitrum üzerinde çalışan bu merkeziyetsiz işlem protokolünün USDC saklama köprüsünden 24,15 milyon USDC transfer edildi; ilgili işlem kayıtları Arbitrum zincirinde yer alıyor. Aynı dönemde Verus–Ethereum köprüsünde de kayıp yaşandı; iki olayın toplam etkisi yaklaşık 31,69 milyon dolar. Diğer yandan B² Network, staking sözleşmesindeki yükseltme yetkisine yetkisiz erişim sağlandıktan sonra token staking’ini durdurduğunu duyurdu. Her üç olayın ortak noktası şu: sorun yaşayan taraf stabilcoin ihraççıları değil, varlığın zincirler arasında “geçiş yaptığı” altyapı kısmı.
Editör Yorumu: Etkilenen Kart Değil, Kartın Önündeki Rota
Önce sonucu söyleyelim — bu tür olayların çoğu USDT sanal kart sahibi için doğrudan etkisi sıfırdır. Kart bakiyesi, kart veren kurumun kendi hesap sistemi içinde saklanır ve AFX veya B² sözleşmelerinden geçmez. Gerçek risk alanı, yükleme işleminden önce ortaya çıkar: komisyon tasarrufu için USDT’yi borsadan bir L2’ye çekip, ardından üçüncü taraf bir köprüyle başka bir zincire aktarıp, en son kartınıza yüklediğinizde. Bu rotadaki her köprü, ayrı bir sözleşme riski taşır.
Kullanım alışkanlığına göre üç kullanıcı grubuna ayırarak bakalım:
- Borsa içi transfer yapan kullanıcılar (Bybit Card gibi borsa kökenli kartların tipik senaryosu): Fonlar spot hesaptan doğrudan kart hesabına aktarılır, süreç boyunca zincire çıkmaz — bu olay ek bir risk yaratmaz.
- TRC20 / ana blok zincirleri üzerinden doğrudan yükleme yapan kullanıcılar (MPCard Asia Elite varyantı ve çoğu agregatör tipi U Kart): Cüzdandan doğrudan kart veren kurumun belirlediği adrese USDT gönderilir, üçüncü taraf köprü kullanılmaz — risk burada da geçerli değil.
- L2 + üçüncü taraf köprü kullanarak komisyon tasarrufu yapan kullanıcılar: Yeniden değerlendirmesi gereken tek grup bu. Arbitrum üzerindeki USDC likiditesi olay sonrası kısa vadede baskı altında kaldı, zincirler arası dönüşümdeki slipaj ve köprü sıra bekleme süreleri büyüyebilir.
Zaman aralığı beklentisi: 7 gün içinde, bazı agregatör cüzdanlar ve U Kart hizmet sağlayıcıları Arbitrum ve niş köprülerden yapılan yüklemelerde geçici risk kontrolleri uygulayabilir; bu, ödemenin gecikmesi veya “bu zincir şu anda desteklenmiyor” uyarısı şeklinde kendini gösterebilir. 30 gün içinde, AFX’in olay sonrası bir rapor ve tazminat planı yayınlayıp yayınlamayacağı, B²’nin staking’i tekrar açıp açmayacağı, ilgili ekosistemdeki fonların geri dönüp dönmeyeceğini belirleyecek. 90 gün içinde, büyük olasılıkla ana akım kart veren kurumlar “resmi desteklenen zincirler” listesini daha da daraltacak — bu, son iki yılda her köprü olayından sonra izlenen tutarlı yön. U Kart fon akış yapısını tam bilmeyen okuyucular, yükleme rotası ve saklama sınırları hakkında U Kart nedir yazısındaki ilgili bölüme bakabilir.
Tarihsel Karşılaştırma: 2023 Multichain’e Benziyor, 2023 USDC Sabitlik Kaybına Benzemiyor
Temmuz 2023’teki Multichain olayı en yakın referans noktası — aynı şekilde köprü tarafında anahtar/yetki kontrolünün kaybı söz konusuydu, aynı şekilde birden fazla zincirdeki köprülenmiş varlıklar anlık olarak ödeme desteğini kaybetti; Fantom gibi zincirlerdeki köprülenmiş stabilcoinlerde belirgin iskonto oluştu. Bu seferki AFX olayında çalınan 24,15 milyon USDC, saklama köprüsü içindeki gerçek varlıkların transfer edilmesi niteliğindedir; bu, Multichain’e büyük ölçüde benziyor: ihraççının kendisinde sorun yok, sorun “bu parayı sizin adınıza kimin sakladığında.”
Mart 2023’teki USDC sabitlik kaybı (Silicon Valley Bank olayı, USDC bir ara 0,87 dolar civarına düşmüştü) ise farklı bir risk türüdür — rezerv tarafındaki sorun, hangi zinciri kullanırsanız kullanın tüm sahipleri aynı anda etkiler. O dönemde, USDC cinsinden neredeyse tüm kart bakiyeleri etkilenmişti; bu sefer böyle bir durum söz konusu değil.
2022’deki Ronin (625 milyon dolar) ve Wormhole (326 milyon dolar) olaylarıyla karşılaştırıldığında, bu seferki 31,69 milyon dolarlık tutar büyük sayılmaz, ancak B²’deki “yükseltme yetkisine yetkisiz erişim” daha dikkat çekici bir sinyal: yükseltilebilir sözleşmelerdeki yönetici yetkisi, kod açıklarından daha sık rastlanan bir saldırı yüzeyi haline geliyor. Bu durum, fonlarını uzun süre zincir üstü getiri protokollerinde tutup düzenli olarak kart harcaması için çeken herkes için bir uyarı niteliğinde.
Uyum Perspektifi: Köprü Lisanslı Bir Alan Değil, Tazminat Yolu Neredeyse Yok
Sınırları netleştirmek gerekiyor. Stabilcoin ihraççıları (Tether, Circle) çoğu yargı alanında zaten lisans veya kayıt çerçevesine girmiş durumda — Hongkong’daki Stabilcoin Yönetmeliği kapsamındaki ihraççı lisans sistemi ile Singapur MAS’ın stabilcoin düzenleme çerçevesi ilerlemekte; ilgili başlıklar için Hongkong uyum rehberi ve Singapur uyum rehberi incelenebilir. Sanal kart veren kurumlar ve tahsilat kuruluşları da genellikle EMI / ödeme lisansı düzenlemelerine tabidir.
Ancak zincirler arası köprüler düzenleme boşluğunda yer alıyor: ne ihraççıdır, ne de lisanslı bir ödeme kuruluşu; çoğu tamamen kod olarak çalışır, müşteri fonlarını ayırma yükümlülüğü yoktur, tazminat rezervi yoktur, itiraz edilebilecek bir düzenleyici muhatap da yoktur. Fon bir kez köprü sözleşmesinden çıktığında, güvenebileceğiniz sadece iki şey vardır — ihraççının kara liste yetkisi (Circle’ın belirli adreslerdeki USDC’yi dondurma teknik kapasitesi var, ancak bunu uygulayıp uygulamayacağı kendi değerlendirmesine bağlı) ve proje ekibinin gönüllü tazminat planı. Bu “yasa dışı” değil, “uygulanacak bir yasa yok” durumudur. Bunu lisanslı kart veren kurumların fon güvenliğiyle eşdeğer görmek, en sık yapılan algı hatasıdır.
Bundan Sonra İzlenmesi Gereken Birkaç Nokta
- Circle’ın ilgili adresleri dondurup dondurmayacağı — bu, 24,15 milyon USDC’nin ne kadarının geri alınabileceğini belirler, genellikle olaydan birkaç gün sonra netleşir.
- B² Network’ün staking’i tekrar açma duyurusu — yükseltme yetkisine erişildikten sonra çoklu imza (multisig) değiştirilip değiştirilmediği, zaman kilidi (time lock) eklenip eklenmediği, güvenlik iyileştirmesinin kalitesini gösteren kilit noktadır.
- AFX’in resmi olay sonrası raporu (post-mortem) — saldırı vektörünün açıklanıp açıklanmayacağı, kullanıcı tazminat oranının duyurulup duyurulmayacağı.
- Büyük U Kart hizmet sağlayıcılarının desteklenen zincir duyuruları — önümüzdeki 30 gün içinde bir kart veren kurum sessizce bir zincirin yükleme kanalını devre dışı bırakırsa, genellikle büyük bir duyuru yapılmaz; yükleme öncesi resmi sayfayı kendiniz kontrol etmeniz gerekir.
Editör Önerisi
- MPCard, Bybit Card gibi ana akım kartları kullanan ve borsa içi transfer veya ana zincir üzerinden doğrudan yükleme yapan kullanıcılar: herhangi bir işlem yapmanıza gerek yok. Fonlarınız bu olaya karışan hiçbir sözleşmeden geçmedi.
- Üçüncü taraf köprülerle “yol kısaltıp gas tasarrufu yapmaya” alışkın kullanıcılar: bu ay resmi kanala geri dönmenizi öneririz. Tasarruf edilen birkaç dolarlık komisyon, köprü sözleşmesi riskiyle orantılı değil. OneKey Card gibi kendi kendine saklama (self-custody) rotasını kullananların özellikle dikkatli olması gerekiyor — kendi kendine saklama, riskin de kendinize ait olduğu anlamına gelir, itiraz edebileceğiniz bir müşteri hizmetleri yoktur.
- Zincir üstü protokollerde harcama için bekleyen fon tutan kullanıcılar: bekleme süresini olabildiğince kısaltın. B² olayında ortaya çıkan risk yönetici yetkisi riskidir, kod hatası değil — bu tür riskler “denetim raporuna bakarak” elenemez.
- ChatGPT Plus gibi dolar bazlı aboneliklerini yenilemeye hazırlananlar: yüklemeyi 3–5 gün önceden tamamlayın. Kart veren kurum yakın zamanda bazı zincirlerde geçici risk kontrolü uygularsa, tampon süre bırakmak, ödeme gününde beklemek zorunda kalmaktan daha güvenlidir.
Tek cümleyle özetlemek gerekirse: bu ne stabilcoin’in sorunu ne de kartın sorunu — sorun, “yükleme yapmadan önce kimsenin sorumlu olmadığı bir yolda fazladan mesafe kat etmiş olman.”