WEMIX, 26 Temmuz’da yayımladığı olay güncelleme duyurusunda, WEMIX Dollar (위믹스달러) ile bağlantılı sözleşmenin sahiplik yetkisinin ele geçirildiğini doğruladı. Tokenpost haberine göre, yetkiyi ele geçiren saldırgan yaklaşık 5,23 milyon adet WEMIX Dollar’ı yetkisiz şekilde bastı ve bunu 30.736 WEMIX ile 724.198,27 USDC.e’ye çevirdi; anormal işlemler UTC saatiyle Pazar günü 09:17’de gerçekleşti. Bu USDC.e miktarı ardından Ethereum ve BNB Smart Chain’e köprülendi, ETH ve USDT’ye (₮) dönüştürüldü, ardından birden fazla adrese dağıtıldı; bu fonların bir kısmı merkezi borsalara yönlendirildi.
Önce şu aritmetik ayrıntıyı akılda tutmakta fayda var: basılan miktar 5,23 milyon adet olsa da, fiilen çekilebilen değer yaklaşık 724 bin dolar karşılığı stabilcoin artı otuz bin WEMIX ile sınırlı kaldı. Yani saldırgan “sınırsız basım yetkisine” sahip olsa da, gerçekte nakde çevirebileceği üst sınır havuz derinliği tarafından belirlendi. Bu bir “stabilcoin çapa kaybı” ya da rezerv yetersizliği değil, sözleşme owner yetkisinin ele geçirilmesi olayıdır — bu iki tür olayın risk aktarım yolu tamamen farklıdır.
Editör Yorumu: USDT Kart Kullanıcıları İçin Gerçek Etki
Okuyucuların elindeki kartların büyük çoğunluğu bu olay nedeniyle herhangi bir işlevsel değişiklik yaşamayacak. WEMIX Dollar, hiçbir yaygın U kartının yükleyebileceği bir varlık değildir; Tether ve Circle’ın ihraç sözleşmeleri bu olayla ilgisizdir (Tether’ın rezerv ve ihraç verileri kendi resmi şeffaflık sayfasında yer alır). Asıl dikkat edilmesi gereken aşağı akış kirlenmesidir, ihraç katmanı değil.
Risk tek bir zincir üzerinde yoğunlaşıyor: çalınan fonlar ETH ve USDT’ye çevrilip merkezi borsalara girdi. Bu, önümüzdeki 2-8 hafta içinde bu adreslerle yakın etkileşimde bulunan USDT’nin borsa ve ödeme kuruluşlarının zincir üstü risk kontrol sistemleri tarafından işaretlenebileceği anlamına geliyor. Üç kullanıcı grubunun somut önlem alması gerekiyor:
- CEX hesap yapısına dayalı kart kullanan kullanıcılar: Bybit Card ve OKX Card gibi kartların bakiyesi esasen borsanın ana hesabında çalışır. Yatırılan USDT bir kez risk kontrol etiketine takıldığında, dondurulan şey “kart” değil, tüm borsa hesabıdır — kart bunun sonucunda durur. Bu tür yapıların risk kontrol yarıçapı, kendi kendine saklama (self-custody) cüzdanlarından çok daha geniştir.
- OTC / özel yollarla U alıp karta yükleme alışkanlığı olan kullanıcılar: Bu, olayın en gerçekçi aktarım kanalıdır. Saldırganın USDC.e’yi USDT’ye çevirip adreslere dağıtmasının amacı tam olarak serbest piyasa likiditesine girmektir. Yakın zamanda tanımadığınız karşı taraflardan U almak, olağan zamana göre daha yüksek izlenebilirlik işaretlenme riski taşır.
- Çok zincirli yükleme yapan kullanıcılar: Çalınan fonlar Ethereum ve BNB Chain üzerinden hareket etti. Bu iki zincirde kısa vadede adres etiketleme güncellemeleri daha sık olacaktır; yükleme yapmadan önce kart sağlayıcısının desteklediği zinciri ve adres etiketi durumunu kontrol etmek değerlidir.
Buna karşılık, bağımsız cüzdan ve bağımsız kart hesabı yapısı kullanan ürünler hesap düzeyinde bağlantılı etkiden daha az etkilenir. MPCard incelemesinde not ettiğimiz gibi, MPChat cüzdan + kart ayrımı yapısında kart limiti ile sohbet cüzdanı bakiyesi ayrı hesaplarda tutulur, yükleme varlık havuzu borsanın ana hesabıyla karışmaz. Bu “risk kontrolünden muaf” anlamına gelmez — herhangi bir uyumlu kart ihraççısı zincir üstü tarama yapar — ancak “tek bir işlemin işaretlenmesi → tüm varlıkların dondurulması” bağlantı çemberini daraltır. Ayrıca, OneKey Card gibi kendi kendine saklama (self-custody) yolunu kullanan kullanıcılar, adres hijyeninin tüm sorumluluğunu kendileri üstlenmelidir, çünkü kirli parayı engelleyecek bir aracı yoktur.
Zaman çizelgesi üzerinden makul beklentiler: 7 gün içinde borsa düzeyinde adres kara listeleme ve kısmi fon dondurma sonuçları peyderpey açıklanacak; 30 gün içinde Kore borsa birliği (DAXA) sisteminde WEMIX ekosistemi varlıklarına yönelik listeleme incelemesi ve likidite ayarlamaları görülebilir; 90 gün içinde ise asıl izlenmesi gereken şey, bu olayın Kore stabilcoin mevzuatı tartışmalarına referans malzemesi olarak girip girmeyeceğidir.
Tarihsel Karşılaştırma: Üç Tür “Stabilcoin Olayı”nı Birbirine Karıştırmayın
Bu olayı doğru bir koordinat sistemine yerleştirmek, ciddiyetini değerlendirmeyi mümkün kılar.
Birinci tür, ihraççı düzeyinde çapa kaybıdır; tipik örneği 2023 Mart’ta USDC’nin Silicon Valley Bank riski nedeniyle geçici olarak 0,90 doların altına düşmesidir. O olayda sorun rezerv bankasındaydı, çözüm düzenleyici ve bankacılık sisteminin desteğiyle geldi, etkilenenler o stabilcoin’i tutan herkesti — USDC ile kart yükleyen kullanıcılar dahil.
İkinci tür, mekanizma çöküşüdür; tipik örneği 2022 Mayıs’taki Terra/UST’dir. Bu da Kore merkezli bir proje tarafından yönetiliyordu ve sonunda “Sanal Varlık Kullanıcı Koruma Yasası”nın hızlandırılmasına yol açtı. Yıkıcı gücü tasarım kusurundan geliyordu ve düzeltilemez nitelikteydi.
Üçüncü tür ise bu olayda gördüğümüz sözleşme yetkisinin ele geçirilmesidir; benzer önceki örnekler arasında 2021’deki PAID Network’ün sınırsız basımı ve 2022’deki Ankr aBNBc’nin dağıtıcı özel anahtarının sızdırılması bulunur. Ortak nokta: basım yetkisinin kaybedilmesi → sınırsız arttırım → havuz derinliği kadar nakde çevirme. Fark ise, kaybın üst sınırının dipsiz bir çukur değil, likidite tarafından kilitlenmiş olmasıdır. Bu olayda 5,23 milyon adet basılıp yalnızca 724 bin dolar karşılığı stabilcoin’e çevrilebilmesi tam olarak bu kuralın ders kitabı örneğidir.
Kart sahipleri açısından, gerçekten “kart bakiyeniz küçülür” durumu birinci türdür; üçüncü tür ise temelde yalnızca projenin kendi token sahiplerini ve kirlenmiş aşağı akış USDT trafiğini etkiler. Bu olay üçüncü türe girer.
Uyumluluk Sınırı: Asya-Pasifik’te Stabilcoin Çerçeve Farkları Büyüyor
Bu olayın yapısal bir görünümü şudur: WEMIX Dollar, projenin kendi ihraç ettiği bir stabilcoindir; basım yetkisi sözleşme owner’ında toplanmıştır ve lisansla bağlı rezerv ile yönetişim gereklilikleri yoktur. Bu tür varlıkların Asya-Pasifik’teki farklı yargı bölgelerindeki durumu ciddi biçimde farklılık gösterir.
Japonya, 2023’te Ödeme Hizmetleri Yasası’nı revize ettikten sonra stabilcoin’leri açıkça elektronik ödeme araçları kapsamına aldı, ihraç trust/banka/para transfer işletmecisi lisansına bağlıdır, ayrıntılar için Japonya uyumluluk kılavuzumuza bakabilirsiniz; Hongkong’un stabilcoin yönetmeliği de ihraççı lisans sistemi ve rezerv ayrıştırma gerekliliğini benzer şekilde kurmuştur, detaylar Hongkong uyumluluk kılavuzunda; Singapur MAS’ın stabilcoin çerçeve yaklaşımı Singapur uyumluluk kılavuzumuzda bulunabilir. Güney Kore ise hâlâ “Sanal Varlık Kullanıcı Koruma Yasası’nın birinci aşaması yürürlükte, stabilcoin ihracı ve döviz niteliği ise mevzuat tartışması sürüyor” durumunda — işte gri alan burada: dolara bağlı token ihraç etmek açıkça yasaklanmış değil, ancak zorunlu rezerv saklama ve basım yetkisi yönetişimi gereklilikleri yok, bir sorun çıktığında sorumluluk yolu da net değil.
Kart kullanıcıları için pratik anlamı açıktır: fonları lisansla bağlı stabilcoin’lerde (USDT/USDC) tutmak, projenin kendi ihraç ettiği stabilcoinlere göre çok daha net bir hukuki başvuru yolu sağlar. Kart seçerken kart ihraççısının hangi stabilcoin’leri desteklediğine öncelik vermek de bu mantığın bir parçası — Kore kullanıcıları için U kart karşılaştırmasında bu ölçüte göre sıralama yaptık.
Önümüzdeki Süreçte İzlenmesi Gereken Dört Nokta
- WEMIX’in sonraki duyuruları: Basım yetkisinin çoklu imza veya zaman kilidi sözleşmesine taşınıp taşınmadığı. Yalnızca “owner özel anahtarının değiştirilmesi” yapılıp yönetişim yapısı değişmediyse, risk giderilmiş sayılmaz.
- Borsa dondurma sonuçları: CEX’e giren miktarın ne kadarının geri alınabileceği, bu olayın “700 bin dolarlık kayıp” mı yoksa “700 bin dolarlık korku” mu olacağını belirleyecek.
- DAXA sisteminin işlemi: Kore borsalarının WEMIX ekosistemi varlıkları için yatırım uyarısı veya işlem desteği ayarlaması, genellikle olaydan 2-4 hafta sonra açıklanır.
- Kore stabilcoin mevzuatı (ikinci aşama) süreci: Terra sonrası her yerel stabilcoin olayı mevzuat tartışmalarına referans olarak girmiştir, bu sefer de farklı olmayacaktır.
Editör Önerisi
- MPCard, Bybit Card veya OKX Card’ı elinde bulunduran ve WEMIX ekosistemiyle hiç etkileşime girmemiş kullanıcılar: hiçbir işlem yapmanıza gerek yok. Kart işlevi, limitler ve yükleme yolları bu olaydan etkilenmiyor.
- Yakın zamanda OTC veya tanımadığı karşı taraflardan USDT alıp karta yükleme planlayan kullanıcılar: önümüzdeki 30 gün için borsa çekimi ya da kendi cüzdanınızdan transfere geçmeniz önerilir. Bu, olayın tek gerçekçi aktarım riskidir ve çok düşük bir maliyetle önlenebilir.
- WEMIX Dollar bakiyesi olan kullanıcılar: likidite havuzunda fiyat farkı işlemi yapmaya çalışmayın. Havuz bir kez boşaltıldı, derinlik ve fiyatlar güvenilir değil.
- Projenin kendi ihraç ettiği stabilcoin’i “kart yükleme yedek fonu” olarak kullanan kullanıcılar: bu olay en iyi hatırlatıcıdır. Yükleme varlıklarınızı açık rezerv beyanı olan USDT / USDC gibi stabilcoin’lere geri döndürün; temel kavramlara henüz aşina değilseniz, fonlarınızın yerleşimine karar vermeden önce U kart nedir rehberine bakın.
- Kart seçen kullanıcılar: “hesap yapısının borsa ana hesabına bağlı olup olmadığı”nı değerlendirme kriterlerinize ekleyin. Bu tür güvenlik olaylarının bağlantılı dondurma riski, hiçbir zaman kartın kendisinden başlamaz.