Edel Protokolü Saldırısı: Hisse Senedi Fiyatları Sabit Dururken Dijital Teminatlar Nasıl Çöküyor?

Merkeziyetsiz finans (DeFi) alanındaki borç verme protokolü Edel, tokenleştirilmiş hisse senetlerinin teminat olarak kullanılmaya çalıştığı bir katmanda meydana gelen 403.000 dolarlık bir istismarı kamuoyuna duyurdu. Protokolün açıklamasına göre, herhangi bir mevduat sahibi bu zarardan etkilenmeyecek ve ekip, oluşan kötü borcu kendi üstlenerek etkilenen bakiyeleri birebir olarak geri yükleme yoluna gidecek. Ayrıca, böyle bir güvenlik açığının tekrar oluşmaması adına protokolün oracle mimarisinin ikinci sürümü için yeniden inşa edileceği belirtildi. Edel yönetimi, yaşanan olayın kullanıcı fonlarına zarar vermemesi adına gerekli mali yükümlülüğü üstleneceklerini garanti altına aldı.

Saldırının temel mekanizması, Edel'in tokenleştirilmiş Google hissesinin wrapped (sarılmış) versiyonu olan wGOOGLx ile onu saran GOOGLx tokeni arasındaki değişim oranı manipüle edilerek gerçekleştirildi. Edel'in yaptığı açıklamaya göre, bu manipülasyon wGOOGLx'nin teminat değerini gerçek değerinin yaklaşık 78 katına kadar şişirdi ve bu durum sistemin dengesini bozdu. SlowMist ekibi tarafından yapılan inceleme, sorunun kökeninin Edel'in fiyat kaynağında yattığını ve sistemin `latestAnswer()` metodunu kullanarak bir ERC-4626 tarzı kasanın `convertToAssets()` oranını döndürdüğünü tespit etti. Saldırgan, yeterli miktarda akış kontrolü sağladığında bu dönüşüm oranını manipüle edebildi ve Edel'in fiyat beslemesi bu veriyi doğrudan okuduğu için güvenlik açığı oluştu.

Güvenlik şirketi CertiK olayı borç verme tarafından analiz ederek, saldırganın wGOOGLx'nin teminat fiyatını, bu tokenin GOOGLx bakiyesini takip eden bir mekanizma üzerinden manipüle ettiğini ve ardından şişirilmiş değer karşılığında borç aldığını belirtti. GoPlus ekibi ise saldırganın bu işlemi gerçekleştirmek için bir flash loan (anında kredi) kullandığını ve wGOOGLx/GOOGLx dönüşüm oranını bozmak amacıyla tekrar tekrar teminat sağlayıp borç aldığını tespit etti. Bu şişirilmiş teminat değeri sayesinde saldırgan, 384.215 USDC ve SPYx, QQQx, MSTRx, NVDAx ve TSLAx gibi wrapped pozisyonlar da dahil olmak üzere gerçek varlıkları protokolden tahsis edebildi.

Farklı güvenlik firmaları olayın maliyetine ilişkin farklı rakamlar açıkladı; Cyvers kaybı yaklaşık 353.000 dolar, GoPlus kaybı 403.000 dolar ve saldırganın karını 305.000 dolar, CertiK ise tahrip edilen fonları 204.000 dolar olarak ölçtü. Bu rakamdaki farkın, her firmanın kötü borç, brüt kayıp ve net saldırgan karı gibi farklı metrikleri ölçmesinden kaynaklandığı ve olayın finansal boyutunun nasıl hesaplandığına göre değiştiği düşünülüyor. Kritik başarısızlık, wrapped token ve temelindeki karşılık arasındaki değişim oranında yer aldı ve Edel'in lending piyasası bu ilişkiyi sanki istikrarlıymış gibi fiyatlandırdı. Alphabet'in hisse senedi fiyatındaki değişimlerin bu istismarı tetiklemediği, tamamen teknik bir manipülasyon olduğu vurgulandı.

Piyasadaki genel veriler, RWA.xyz verilerine göre tokenleştirilmiş hisse senetlerinin on-chain değerinin 1,7 milyar dolar civarında olduğunu ve son 30 gün içinde %2,17 artış gösterdiğini ortaya koyuyor. Aylık transfer hacmi 8,92 milyar dolar seviyesinde bulunurken, toplam kullanıcı sayısı 396.000'in üzerinde olarak kaydedildi ve bu sektörün büyüklüğünü gözler önüne seriyor. xStocks gibi platformlar 50'den fazla entegre platformda 100'den fazla hisse senedi ve ETF listelerken, Kamino gibi protokoller tokenleştirilmiş hisseleri teminat olarak kabul eden ilk büyük lending platformlarından biri olarak öne çıkıyor. Robinhood'un da 2025 yılında AB müşterileri için hisse ve ETF tokenları piyasaya sürmesiyle birlikte, tokenleştirilmiş hisse senetlerinin diğer kripto varlıklar gibi hareket etmesi ve bağlantı kurması selling point olarak sunuluyor. Ancak Edel yaşadığı olayla birlikte, bu varlıkların kripto gibi hareket etmeye başladığında kripto gibi kırılabileceği gerçeğini piyasaya bir kez daha hatırlatmış oldu.