Kripto para piyasasında bir kez daha güvenlik açığı kaynaklı sert bir sarsıntı yaşandı. Resolv protokolüne ait USR adlı stablecoin, mint (basım) sözleşmesindeki kritik bir hatanın istismar edilmesi sonucu kısa sürede çöküş yaşadı.
Saldırı, pazar günü erken saatlerde başladı. Zincir üstü verilere göre saldırgan, yalnızca 100.000 USDC yatırarak sistemden yaklaşık 50 milyon USR basmayı başardı. Ardından gerçekleştirilen ikinci işlemle birlikte toplamda yaklaşık 80 milyon karşılıksız (unbacked) token üretildi. Bu miktar, sistemin öngördüğü limitlerin yüzlerce kat üzerindeydi.
Basılan bu token’lar hızla merkeziyetsiz borsalarda USDC ve USDT’ye çevrildi, ardından Ethereum’a dönüştürüldü. Saldırganın kontrol ettiği cüzdanlarda şu anda yaklaşık 11.409 ETH, yani güncel fiyatlarla 23,7 milyon dolar civarında varlık bulunduğu tespit edildi. Ek olarak farklı bir adreste yaklaşık 1,1 milyon dolarlık wrapped USR tutuluyor.
Stablecoin birkaç dakika içinde çöktü
USR, teoride 1 dolara sabitlenmiş bir stablecoin olarak tasarlanmıştı. Ancak saldırının ardından bu denge hızla bozuldu. Curve üzerindeki en likit havuzda fiyat yalnızca 17 dakika içinde 0,025 dolara kadar geriledi. Bu, stablecoin’ler için en kritik risklerden biri olan “depeg” senaryosunun en sert örneklerinden biri olarak kaydedildi.
Fiyat daha sonra toparlanarak 0,85 dolar seviyesine kadar yükselse de sabitini yeniden kazanamadı. Son verilere göre USR hâlâ ciddi bir iskontoyla işlem görüyor. Bu durum, token sahiplerinin anlık ve ciddi kayıplar yaşamasına neden oldu.
Resolv Labs ise yaptığı açıklamada protokoldeki tüm işlemlerin durdurulduğunu ve teminat havuzunun “tamamen sağlam” olduğunu belirtti. Ancak analistler, burada yaşanan sorunun doğrudan varlık kaybından ziyade arz şişmesi olduğunu vurguluyor. Yani sistemdeki teminatlar yerinde kalsa da piyasaya sürülen karşılıksız token’lar, mevcut arzı sulandırarak fiyatı çökertti.
Sorunun kaynağı: Tek anahtar, sınırsız yetki
Zincir üstü analizler, saldırının temelinde ciddi tasarım hataları olduğunu ortaya koydu. En dikkat çekici nokta, mint işlemlerini yöneten ayrıcalıklı rolün (SERVICE_ROLE) yalnızca tek bir harici hesap (EOA) tarafından kontrol edilmesiydi. Bu hesap için herhangi bir çoklu imza (multisig) koruması bulunmuyordu.
Buna ek olarak sözleşmede oracle kontrolü, miktar doğrulaması ve maksimum basım limiti gibi temel güvenlik mekanizmalarının da eksik olduğu görüldü. Bu durum, saldırganın sistemde neredeyse sınırsız şekilde token üretmesine olanak tanıdı.
Uzmanlara göre bu tür açıklar, doğrudan fonları tutmayan ancak sistem üzerinde kritik yetkilere sahip anahtarların ne kadar büyük bir risk oluşturduğunu gösteriyor. Son dönemdeki saldırıların önemli bir kısmı da tam olarak bu “görünmeyen zayıf noktaları” hedef alıyor.
DeFi ekosistemine zincirleme etki
Yaşanan depeg yalnızca USR yatırımcılarını etkilemekle kalmadı. Token’ın teminat olarak kullanıldığı DeFi platformlarında da ciddi dalgalanmalar görüldü. Özellikle bazı kullanıcıların düşük fiyattan USR alıp, sistemde hâlâ 1 dolar olarak değerlenen bu varlığı teminat göstererek borçlanma yapmış olabileceği belirtiliyor. Bu durum, ilgili havuzlarda likidite boşalmalarına yol açmış olabilir.
Öte yandan Resolv ekosisteminin sigorta katmanı olarak çalışan RLP havuzunun da zarar görmüş olabileceği konuşuluyor. Büyük yatırımcıların burada tuttuğu pozisyonlar, ek kayıpların kapısını aralayabilir.
Borsalardan uyarı: Delist riski masada
Gelişmelerin ardından Güney Kore’nin önde gelen kripto para borsaları Upbit ve Bithumb, RESOLV tokenını izleme listesine aldıklarını açıkladı. Bu karar, varlığın geleceğine dair belirsizliklerin arttığını gösteriyor.
İzleme listesine alınmak doğrudan delist anlamına gelmese de; likidite, şeffaflık, teknik altyapı ve yatırımcı güvenliği gibi başlıkların yeniden değerlendirileceği anlamına geliyor. Sürecin sonunda token’ın borsalardan kaldırılması da ihtimaller arasında yer alıyor.
