The Sandbox SAND köprü saldırısı: 49 milyar dolarlık rakam gerçekte ne anlama geliyor?

49 milyar dolar rakamı neden yanıltıcı olabilir?

Blockaid, 400'den fazla işlemde yaklaşık 49 milyar dolar nominal değerde SAND basıldığını bildirdi. Buradaki “nominal değer”, oluşturulan token miktarının o anki piyasa fiyatıyla çarpılmasıyla elde edilen teorik değeri ifade ediyor. Bu hesaplama, söz konusu tokenların tamamının aynı fiyattan satılabileceğini göstermiyor.

Yeni oluşturulan bir tokenın ekranda yüksek bir fiyatla görünmesi, piyasada o miktarı karşılayacak yeterli likidite olduğu anlamına gelmez. Likidite yetersizliği, köprülerin kapatılması, borsaların işlem kısıtlamaları ve yatırımcı güvenindeki kayıp, saldırganın gerçek anlamda elde edebileceği tutarı ciddi biçimde sınırlayabilir.

Diğer zincir üstü analizlerde saldırganların kontrolündeki adreslerde yaklaşık 14,9 milyar SAND bulunduğu öne sürüldü. Başka bir rapor ise gerçekten dışarı çıkarılabildiği tahmin edilen miktarın bu manşet rakamından çok daha düşük olduğunu belirtti. Bunlar aynı şeyi ölçmüyor: basılan toplam token miktarı, saldırgan adreslerindeki bakiyeler ve fiilen satılan ya da başka varlıklara dönüştürülen tutar birbirinden farklı göstergeler.

Mevcut kanıtlar, nihai ve bağımsız biçimde doğrulanmış tek bir çıkarım tutarı ortaya koymuyor. Bu nedenle en temkinli sonuç şu: Yetkisiz token ihracı nominal olarak olağanüstü büyüktü, ancak ekonomik kayıp 49 milyar doların önemli ölçüde altında kaldı.

The Sandbox ile güvenlik şirketlerinin tahminleri neden farklı?

The Sandbox, doğrudan etkinin SAND'ın 3 milyar tokenlık toplam arzının yüzde 0,01'inden az olduğunu açıkladı. Güvenlik şirketleri ve zincir üstü analistler ise basılan veya saldırganların kontrolündeki adreslerde görülen yetkisiz token miktarına odaklandı.

Bu açıklamalar zorunlu olarak çelişmiyor; farklı sonuçları ölçüyor olabilir:

• The Sandbox'ın tahmini, projenin doğrudan veya fiilen gerçekleştirilebilir etki değerlendirmesini yansıtıyor.
• Blockaid'in tahmini, saldırı sırasında basılan teminatsız tokenların piyasa fiyatıyla hesaplanan nominal değerini gösteriyor.
• Zincir üstü bakiye tahminleri, saldırganla ilişkilendirilen adreslerde gözlemlenen token miktarlarını ifade ediyor.
• Gerçekleşen kayıp tahmini ise kaç tokenın satıldığını, takas edildiğini veya başka varlıkları çekmek için kullanıldığını belirlemeyi gerektiriyor.

The Sandbox ayrıntılı olay sonrası raporunu ve kapsamlı mali dökümünü yayımlayana kadar bu rakamlar tek bir kesin zarar toplamı gibi sunulmamalı.

Saldırı nasıl durduruldu?

The Sandbox, açığı giderip olayı kontrol altına aldığını; etkilenen çapraz zincir köprülerindeki transferleri engellediğini ve Base ile BNB Smart Chain arasındaki köprü işlemlerini devre dışı bıraktığını açıkladı. Ethereum ve Polygon üzerindeki SAND'ın etkilenmediği de tekrarlandı.

Proje ayrıca etkilenen likidite pozisyonlarının bir anlık görüntüsünü, yani bir snapshot'ını alacağını; uygun görülen likidite sağlayıcılarla ilgileneceğini ve ayrıntılı bir olay sonrası raporu yayımlayacağını bildirdi. Mevcut haber akışında nihai tazminat kuralları, uygunluk kriterleri ve ödeme tutarları henüz kesinleşmiş değil.

Kullanıcıların burada iki konuyu birbirinden ayırması gerekiyor: Köprünün durdurulması acil müdahaledir; tazminat veya kurtarma planı ise daha sonraki süreçtir. Köprü işlemlerinin askıya alınması yeni saldırıları önleyebilir, ancak daha önce basılmış tokenların durumu veya likidite sağlayıcıların zararları tek başına çözülmüş olmaz.

Borsalar nasıl tepki verdi?

Olayın ardından Güney Kore'deki kripto para borsaları ihtiyati önlemler aldı. Bithumb, SAND yatırma ve çekme işlemlerini durdurdu. Upbit ise zincir üstündeki olağan dışı hareketlilik ve artan oynaklık ihtimali nedeniyle yatırımcılara işlem uyarısı yaptı.

Bazı raporlarda SAND fiyatının olay sırasında sert biçimde çökmek yerine görece dirençli kaldığı aktarıldı. Ancak fiyatın hemen çökmediği bilgisi, açığın ekonomik açıdan önemsiz olduğu anlamına gelmez. Borsa kısıtlamaları ve parçalı ya da sığ likidite, gerçek fiyat keşfini geciktirebilir. Uzun vadeli etki, yetkisiz tokenların ve etkilenen likidite havuzlarının nasıl yönetileceğine bağlı olacak.

Bu olay KelpDAO saldırısıyla aynı mıydı?

The Sandbox olayı ile 18 Nisan'daki KelpDAO saldırısının ortak noktası, LayerZero tabanlı çapraz zincir sistemlerinin kullanılması. Ancak raporlanan arıza biçimleri farklıydı.

KelpDAO vakasında saldırganlar, LayerZero'nun Merkeziyetsiz Doğrulama Ağı (DVN) altyapısında kullanılan sistemleri ele geçirdi ve tek doğrulayıcılı bir yapılandırmadan yararlandı. Bunun sonucunda sahte bir çapraz zincir mesajı kabul edildi ve köprü, yaklaşık 292 milyon dolar değerindeki 116.500 rsETH'i serbest bıraktı. LayerZero, olayın KelpDAO'nun rsETH yapılandırmasıyla sınırlı olduğunu belirtti.

SAND saldırısında ise odak noktası, yetkilendirilmiş akıllı sözleşme izinleri ve approveAndCall işlevinin kötüye kullanılmasıyla token basılabilmesiydi. Dolayısıyla mevcut kanıtlar, her iki saldırının da aynı LayerZero protokol hatasından kaynaklandığını göstermiyor. Olaylar, çapraz zincir uygulamalarında farklı güvenlik yüzeylerinin bulunduğunu ortaya koyuyor: KelpDAO'da doğrulama altyapısı ve tek noktaya bağımlılık öne çıkarken, SAND olayında sözleşme yetkilendirmesi ve basım izinleri kritik hale geldi.

Kullanıcılar ve geliştiriciler için temel ders

Bu olayda en önemli ayrım, oluşturulan token, elde tutulan token ve fiilen çıkarılan değer arasındaki fark. Bir köprü, saldırgana çok büyük miktarda nominal arz oluşturma imkânı verebilir; ancak bu, aynı miktarda harcanabilir paranın saldırganın eline geçtiği anlamına gelmez. Tersine, daha küçük görünen bir ihraç olayı bile likidite sağlayıcılarını ve piyasa güvenini ciddi biçimde etkileyebilir.

Kullanıcılar için kritik sorular şunlar: Hangi zincir ve sözleşme etkilendi? Yatırma ve çekme işlemleri hâlâ durdurulmuş durumda mı? Proje, uygunluk ve telafi kurallarını yayımladı mı? The Sandbox vakasında mevcut açıklamalara göre Ethereum ve Polygon tarafındaki SAND etkilenmedi; ancak Base ve BNB Smart Chain işlemleriyle ilgili güncel duyurular takip edilmeli.

Geliştiriciler açısından olay, yalnızca mesaj doğrulama katmanının değil, tüm yetkilendirilmiş izinlerin, ayrıcalıklı token basım yollarının ve zincirler arası yetki sınırlarının dikkatle denetlenmesi gerektiğini hatırlatıyor.