Arbitrum'un $24M'lık Köprü İstismarı, L2 Güvenliğindeki Kırılgan Halkayı Gözler Önüne Seriyor

Modüler L2 ve veri kullanılabilirliği katmanlarında neler oluyor

22 Temmuz'da Arbitrum ekosisteminden 24.150.000 dolarlık USDC çıktı. Hedef, Arbitrum'da faaliyet gösteren kalıcı bir DEX olan AFX Trade'in ağın kendi altyapısından bağımsız olarak işlettiği USDC saklama köprüsüydü. PeckShield, saldırganın çalınan fonları Arbitrum'dan Ethereum'a köprüleyip 12.467 ETH'ye dönüştürdüğünü The Block'a göre takip etti.

Offchain Labs, olayı L2'nin temel mimarisinden ayırmak için hızlı hareket etti. Ekip, Arbitrum'un yerel köprü altyapısının etkilenmediğini Cointelegraph'a göre doğruladı. AFX Trade köprü operasyonlarını derhal askıya alarak dış güvenlik uzmanlarını devreye soktu.

Bu gelişmelere karşın geniş çaplı piyasalar direncini korudu. Bitcoin, 66.300 ile 67.000 dolar arasında işlem gördü; Cointelegraph'ın aktardığına göre ABD kripto mevzuatına ilişkin iyimserlik ve yapay zeka hisselerinden dijital varlıklara dönen sermayenin ilk sinyalleri bu seviyeleri destekledi. Yarı iletken hisseleri üst üste ikinci günde de yükselirken yen, 1986'dan bu yana ilk kez dolar karşısında 163 seviyesinin üzerine çıktı; bkz. CoinDesk.

Neden şimdi

AFX Trade, 22 Temmuz'daki istismarın ardından saatler içinde saldırgana yüzde 30 ödül teklifini yayımladı. Bu zaman çizelgesi, değerin L2 ekosistemlerinden ne kadar hızlı çıktığını ve protokollerin yanıt vermek için ne kadar az zamanı olduğunu gözler önüne seriyor. Decrypt, teklifi aynı gün haberleştirdi; bu durum, saldırganları suçlu olarak değil müzakere tarafı olarak ele alan artık standart bir stratejiyi yansıtıyor.

İstismar, L2 köprü hacminin döngüsel zirvelere yakın seyrettiği bir anda geldi. Arbitrum'daki sıralayıcı ücretleri ve protokol TVL'si büyüdükçe saklama köprüleri daha büyük stabilcoin pozisyonları biriktiriyor ve daha değerli hedefler haline geliyor. 24 milyon dolarlık USDC tutan bağımsız saklama mantığına sahip bir köprü, on sekiz ay önce 2 milyon dolar tutan bir köprüden çok daha fazla sofistike saldırgan ilgisi çekiyor.

Makro ortam bu dinamiği güçlendiriyor. ABD kripto mevzuatı ilerleme kaydederken yenin tarihsel olarak risk varlığı girişleriyle ilişkilendirilen zayıflığıyla birlikte sermaye L2 ekosistemlerine geri akıyor. Daha fazla sermaye, daha fazla köprü hacmi anlamına geliyor. İstismarın zamanlaması ile piyasa koşulları birbirinden bağımsız değil.

Risk nerede gizleniyor

Çalınan 12.467 ETH'nin Arbitrum'dan Ethereum'a geçişi, herhangi bir dondurma işlemi mümkün olmadan tamamlandı. Bu hız, modüler L2 yığınlarındaki temel riski tanımlıyor: zincirler arası çıkışlar, olay müdahalesinden daha hızlı gerçekleşiyor.

ForkLog'a göre AFX Trade olayı tespit ederek köprü operasyonlarını derhal askıya aldı; bu adım ek kayıpları sınırlıyor ancak çoktan çıkan fonlar için hiçbir şey değiştirmiyor. Yapısal sorun tam da bu: rollup dolandırıcılık kanıtları ve sıralayıcı tasarımı temel katmanı koruyor, ancak üçüncü taraf saklama köprüleri tamamen farklı güven varsayımları altında çalışıyor.

• Köprü yoğunlaşma riski: büyük stabilcoin pozisyonları tutan saklama köprüleri, herhangi bir L2 ekosistemindeki en yüksek riskli noktalardır. Rollup'ın yerel uyuşmazlık mekanizmasının tam güvenliği olmadan değer biriktirirler.
• Üçüncü taraf akıllı sözleşme riski: kullanıcılar Arbitrum'un yerel köprüsü ile onun üzerine inşa edilmiş protokol köprüleri arasında güvenilir biçimde ayrım yapamıyor. AFX köprüsü, Arbitrum'un güvenlik garantileri olmaksızın Arbitrum markasıyla ilişkilendiriliyordu.
• Zincirler arası çıkış hızı: fonlar bir L2'den Ethereum mainnet'e geçtiğinde kurtarma, nadiren zamanında gerçekleşen zincir düzeyinde koordinasyon gerektiriyor. ETH takası, olay kamuoyuna duyurulmadan tamamlandı.
• Ödül yorgunluğu: 24 milyon dolar üzerinden yüzde 30'luk iade teklifi bile saldırgana 16,8 milyon dolar bırakıyor. Çalınan fonlardaki geri kazanım oranları düşük kaldığı sürece beklenen değer hesabı dürüst davranışı desteklemiyor.

Önümüzdeki 30 günde izlenecekler

Tek bir köprüden 24 saatte 24 milyon dolarlık USDC çalınmasının ardından, önümüzdeki iki ile dört hafta içinde Arbitrum tabanlı protokollerden gönüllü güvenlik açıklamalarını bekleyebiliriz. Üçüncü taraf saklama sözleşmelerinde büyük stabilcoin pozisyonları tutan ekipler, denetim geçmişlerini yayımlamaları ya da köprü TVL sınırlarını düşürmeleri yönünde kullanıcı baskısıyla karşılaşacak.

Mevzuat cephesinde, ABD kripto mevzuatında herhangi bir somut komite oylaması L2 sermaye girişleri için birincil katalizör olacaktır. Bir yasa tasarısı komisyondan geçerse Arbitrum ve Optimism TVL'sinin anlamlı bir değer kazanımı yaşamasını, köprü aktivitesinin de buna paralel artmasını bekleriz. Bu da köprü güvenliğini daha az değil, daha acil kılıyor.

40 yılın en düşük seviyesindeki yen, bağımsız olarak takip edilmesi gereken bir makro sinyal. Japonya Merkez Bankası'nın yeni güçlendirme müdahaleleri tarihsel olarak risk varlıklarında sert geri çekilmelere yol açtı. Bu örüntüyü Ağustos 2024'teki carry trade çözülmesinde gördük. BoJ harekete geçerse, temel göstergelerdeki ilerlemeye bakılmaksızın L2 tokenları ve TVL hızla geri çekilebilir. Temmuz sonu ve Ağustos sonunda planlanan BoJ politika toplantılarını takip edin.

Arbitrum yönetiminde sıralayıcı ve hazine teklifleri DAO sürecinde ilerlemeye devam ediyor. Ağustos'ta gündeme gelebilecek herhangi bir önemli ARB hazine dağıtım oylaması, geniş piyasadan bağımsız olarak tokeni etkileyebilir. Oy penceresi yaklaşırken Arbitrum forumundaki aktif teklifleri takip edin.

Bizim değerlendirmemiz

Offchain Labs, Arbitrum'un yerel köprüsünün bu olaydan sağlam çıktığını doğruladı. Bu tek gerçek hesaplamalarımızı değiştiriyor: Arbitrum'un kendi köprüsü ve rollup altyapısı üzerinden maruz kalınan risk profili 22 Temmuz öncesiyle aynı. Herhangi bir L2 üzerindeki üçüncü taraf köprülere maruz kalım artık açıkça işaretlendi.

ARB tutuyorsanız veya Arbitrum'un yerel protokollerine sermaye yatırdıysanız, AFX olayı pozisyonunuzla ilgili temel hiçbir şeyi değiştirmiyor. Ancak ayrı saklama köprüleri aracılığıyla 10 milyon dolar veya daha fazla stabilcoin tutan protokollerde pozisyonunuz varsa denetim geçmişini inceleyin ve köprü TVL sınırının herhangi bir kısıtlaması bulunup bulunmadığını kontrol edin. Tek bir sözleşmede 24 milyon dolar tutan üçüncü taraf bir köprü, döngü zirvesinde taşımak istediğimiz bir pozisyon değil.

Büyüklüklendirme açısından: yalnızca mevzuat iyimserliği anlatısına dayanarak mevcut seviyelerde L2 token maruziyeti eklemeyiz. Makro tablo gerçek, ancak yen zayıflığı ve yapay zeka hisseleri rotasyonu temele değil duyarlılığa dayalı. ARB'nin hacimle birlikte son aralığının üzerine kırılmasını bekliyoruz. Net bir kırılma, ortalamanın üzerinde hacim ve doğrulanmış bir Arbitrum yönetim katalizörü, aradığımız giriş sinyali.

Daha net fırsatı şurada görüyoruz: köprü saklama güvenine dayanmadan organik kalıcı DEX ve DeFi aktivitesinden gerçek sıralayıcı ücreti geliri üreten protokoller. Sıralayıcı ücreti getirisi benimsemeyle birlikte ölçekleniyor. Köprü getirisi ise yığına eklediğiniz tek başarısızlık noktalarının sayısıyla ölçekleniyor. Bu haftaki istismar, hangisinin baskı altında daha iyi ölçeklendiğini somut biçimde ortaya koydu.

SSS

AFX istismarında Arbitrum ağı kendisi saldırıya uğradı mı?

Hayır. Offchain Labs, Arbitrum'un yerel köprü altyapısının etkilenmediğini doğruladı. 24 milyon dolarlık istismar, Arbitrum üzerine inşa edilmiş bir kalıcı DEX olan AFX Trade'in bağımsız olarak işlettiği USDC saklama köprüsünü hedef aldı; Arbitrum'un kendi rollup altyapısını değil.

AFX Trade'den çalınan 24 milyon dolara ne oldu?

PeckShield, saldırganın çalınan USDC'yi Arbitrum'dan Ethereum'a köprüleyip 12.467 ETH'ye dönüştürdüğünü takip etti. AFX Trade daha sonra kalan fonların iade edilmesi karşılığında saldırgana çalınan miktarın yüzde 30'unu ödül olarak teklif etti.

AFX istismarı ARB tutan veya Arbitrum DeFi kullanan kullanıcıları nasıl etkiliyor?

Arbitrum'un yerel köprüsüne dayanan protokollerdeki kullanıcılar bu olaydan etkilenmiyor. Risk, Arbitrum'un kendi rollup ve uyuşmazlık mekanizmasından farklı güvenlik varsayımları altında çalışan ayrı saklama köprülerine sahip üçüncü taraf protokollerde yoğunlaşıyor.