Köprü protokolü Garden Finance, aldığı güvenlik uyarısının ardından yerel saatle 26 Temmuz’da uygulama hizmetini tamamen durdurdu. Blok zinciri güvenlik şirketi Blockaid aynı gün, Garden Finance’ın hash zaman kilitli sözleşmesinden (HTLC) yaklaşık 450 bin dolar değerinde USDT’nin transfer edildiğini açıkladı; olay Ethereum, Base, Arbitrum ve BNB Smart Chain olmak üzere dört ağı ilgilendiriyor. Blockaid, saldırı devam ederken saldırgan adresini ve etkilenen sözleşme adreslerini kamuoyuyla paylaştı. Garden Finance, durdurmanın “sorunlu altyapıyı izole edip incelemek” amacıyla alınan önleyici bir tedbir olduğunu belirtti. Güney Kore basınından Tokenpost, Cointelegraph’a atıfla, sorunun solver (eşleştirme tarafı) defter katmanının aşılmasına işaret ettiğini bildirdi — Tokenpost haberinin orijinali.
Editör Yorumu: Etkilenen Kart Bakiyeniz Değil, Yükleme Yolunuz
Öncelikle sınırları netleştirelim: bu bir kart sağlayıcısı olayı değil, USDT’nin kendisiyle de ilgili bir sorun değil. Tether’in rezervleri, itfa süreci ve Omni/TRC20/ERC20 ağlarındaki sözleşmelerin hiçbiri değişmedi. 450 bin dolarlık mutlak büyüklük köprü olayları arasında küçük sayılır ve USDT ikincil piyasa fiyatında gözlemlenebilir bir etki yaratmaya yetmez.
U kart kullanıcılarını gerçekten ilgilendiren şey, fon kaynağının zincir üzerindeki geçmişidir (provenance). USDT sanal kartların büyük çoğunluğunda yükleme akışı şöyledir: borsa veya cüzdan → zincir üzeri transfer → kart sağlayıcısının emanet adresi. Eğer varlıklarınızı Base / Arbitrum’dan kart sağlayıcısının desteklediği yükleme ağına (çoğunlukla TRC20 veya ERC20) taşımak için köprüleri kullanmayı alışkanlık haline getirdiyseniz, 26 Temmuz civarında Garden Finance üzerinden geçen fonların, işaretlenmiş adreslerle dolaylı sıçrama bağlantısı kurma ihtimali teorik olarak çok düşük de olsa mevcuttur. Kart sağlayıcıları ve arkalarındaki edinim kuruluşları genellikle Chainalysis / Elliptic / TRM benzeri tarama sistemlerine bağlıdır; işaretlenmiş bir adrese “N sıçrama mesafesinde” olan yatırımlar için en yaygın işlem kartı iptal etmek değil, yatırımı geçici olarak beklemeye almak ve fon kaynağı hakkında ek açıklama istemektir.
Zaman penceresine göre makul beklentiler:
- 7 gün içinde: Garden Finance uygulamasının yeniden açılıp açılmayacağı, tazminat planı açıklanıp açıklanmayacağı; bu köprüyü kullanan agregatörler (1inch, LI.FI gibi yönlendirme katmanları) rotayı geçici olarak devre dışı bırakacaktır. Bu süre zarfında USDT’yi zincirler arası taşımak için bunu kullanmayın.
- 30 gün içinde: Başlıca tarama sağlayıcıları saldırgan adres kümesinin işaretlenme yayılımını tamamlayacaktır. Yatırımınız bu köprüden geçtiyse, sorgulanma ihtimalinin en yüksek olduğu pencere budur.
- 90 gün içinde: Etki büyük ölçüde ortadan kalkar. İkinci bir olay yaşanmadıkça veya fonların bir karıştırıcıya (mixer) girip geniş çapta dağıldığı kanıtlanmadıkça.
Belirli kartlar için değerlendirme: Asya Pasifik hattını kullanan, yükleme işlemlerini çoğunlukla MPChat içi cüzdandan doğrudan yapan MPCard (Asia Elite varyantı) kullanıcıları için, borsadan çekip doğrudan yükleme yolunu izliyorsanız bu olay sizi ilgilendirmiyor, herhangi bir işlem yapmanıza gerek yok; varlıklarını birden çok L2 üzerinde dağıtan ve köprü ile toplayıp yükleme yapmayı alışkanlık haline getiren kullanıcılar için, ister Bybit Card ister OKX Card kullanıyor olun, bu hafta üçüncü taraf köprü yerine borsa içi transferi tercih etmeniz önerilir (zincir üzeri sıçrama gerektirmez, tarama sıçraması da yaratmaz). “Yükleme yolunun neden kart geçişini etkilediğini” anlamayan okurlar, U kart nedir rehberindeki emanet adresleri ve yatırım incelemesi bölümüne bakabilir.
Tarihsel Karşılaştırma: Küçük, Hızlı, İzlenebilir — Bu Sefer 2022’deki Köprü Felaketlerinden Farklı
Köprü olayları tayfında değerlendirildiğinde, 2022’deki Ronin (yaklaşık 625 milyon dolar), Wormhole (yaklaşık 325 milyon dolar) ve Nomad (yaklaşık 190 milyon dolar) olayları “doğrulayıcı kümesinin veya mesaj doğrulama mantığının tamamen atlatılması” niteliğindeydi; fon büyüklüğü ekosistem çapında likidite krizine yol açacak düzeydeydi. 2023’teki Multichain olayı ise operasyon ekibinin özel anahtar kontrolünü kaybetmesiyle ilgiliydi ve bu durum köprülenmiş varlıkların (köprülenmiş USDT/USDC dahil) büyük ölçekte alt yapı ödemesini kaybetmesine yol açtı; birçok kullanıcının elinde kalan, geri alınamaz eşleştirilmiş (mapped) tokenlerdi — U kart yükleme varlıklarına gerçekten sıçrayabilecek durum buydu.
Bu sefer üç fark var:
- Küçük ölçek: 450 bin dolar protokolün ödeme gücü sorunu yaratmıyor;
- Saldırıya uğrayan HTLC + solver defter katmanı: intent/solver mimarisine özgü bir muhasebe güven yüzeyi, emanet özel anahtarının kaybolması değil; kullanıcıların elinde “alt yapısız eşleştirilmiş USDT” bulunmuyor;
- Hızlı yanıt: üçüncü taraf izleme kuruluşu saldırı devam ederken adresleri açıkladı, proje ekibi aynı gün durdurma kararı aldı.
Değişmeyen kısım ise her zamanki gibi: köprüler, stabil coin’lerin zincirler arası taşınmasında her zaman en zayıf halka olmaya devam ediyor. Üç yıl geçti, saldırı yüzeyi çoklu imzadan ve mesaj doğrulamasından solver ve eşleştirme defterine kaydı, ama sonuç değişmedi — USDT her zincirler arası geçişte, kendi fonuna işaretlenebilir bir tarihçe katmanı ekliyor.
Uyum Perspektifi: Gri Bölge Nerede
Düzenleme açısından bu olay yeni bir kural getirmiyor, ancak mevcut bir eğilimi güçlendiriyor: VASP’lerin yatırım fon kaynağı izleme gereksinimleri “doğrudan karşı taraftan” “çok sıçramalı ilişkiye” doğru genişliyor. Hongkong VASP rejimi ve transfer kuralları çerçevesindeki fon izleme gereksinimleri için Hongkong uyum rehberimize bakabilirsiniz; Singapur MAS sisteminde DPT hizmet sağlayıcıları için benzer yaklaşım Singapur uyum rehberimizde yer alıyor.
Netleştirilmesi gereken sınır şu: köprü kullanımının kendisi yukarıda bahsedilen yargı bölgelerinin hiçbirinde yasak değildir, bu açıkça yasal bir alandır; gri bölge şurada — yatırımın zincir üzeri geçmişi kamuya açık şekilde işaretlenmiş saldırgan adresleriyle ilişki gösterdiğinde, kart sağlayıcısının ek açıklama isteme hakkı ve yükümlülüğü vardır, açıklama yapılamadığında bu yatırımı dondurabilir. Bu “kart iptali” değildir ama yenilemek için hazırladığınız 200 ₮‘nizin birkaç gün takılı kalabileceği anlamına gelir. Kesin olarak yasak olan tek şey: fonların çalıntı varlıklardan geldiğini bile bile transfer etmek veya değiştirmektir.
Takip Edilmesi Gereken Sonraki Gelişmeler
- Garden Finance’ın resmi inceleme raporu: solver defterinin somut açığını açıklayıp açıklamayacağı, etkilenen kullanıcılar için bir tazminat fonu kurup kurmayacağı (garden.finance ve sosyal medya duyurularını takip edin).
- Blockaid’in adres kümesi güncellemeleri: saldırgan adresin bir karıştırıcıya (mixer) girip girmediği, işaretleme yayılımının kapsamını belirleyecek (blockaid.io).
- Başlıca köprü agregatörlerinin rota geri yükleme süresi: rotanın yeniden açılması genellikle güvenlik incelemesinin geçtiğine dair piyasa sinyalidir.
- Kart sağlayıcılarının yatırım politikasını geçici olarak değiştirip değiştirmeyeceği: geçmişte köprü olaylarının ardından bazı kart sağlayıcıları belirli zincirlerde (özellikle L2) yatırım kontrol oranını kısa süreliğine sıkılaştırmıştır, ancak bunu nadiren kamuya duyurur. Yükleme sayfasındaki ağ listesindeki değişiklikleri takip edin.
Editör Önerileri
MPCard kullanan ve her zaman borsadan çekip doğrudan yükleme yolunu izleyen kullanıcılar: herhangi bir işlem yapmanıza gerek yok.
**Son 7 gün içinde Garden Finance üzerinden zincirler arası işlem yapıp bu USDT’yi herhangi bir sanal karta yükleyen