Edel, wGOOGLx Manipülasyonuyla 403 Bin Dolar Kaybetti

Edel, tokenize hisse senetlerini teminat olarak kabul eden bir DeFi borç verme protokolü, tokenize Google hissesinin sarmalayıcı ve oracle katmanlarını vuran bir exploit sonucu yaklaşık 403 bin dolar kayıp açıkladı. Saldırgan, Edelin tokenize Google hissesinin sarılı versiyonu olan wGOOGLx ile dayanak GOOGLx arasındaki kur oranını manipüle ederek teminat değerini yaklaşık 78 kat şişirdi ve ardından bu teminata karşı borçlandı. Çalınan fonlar arasında 384.215 USDC ile SPYx, QQQx, MSTRx, NVDAx ve TSLAx’te sarılı pozisyonlar yer alıyordu. Güvenlik firmaları manşet rakamı farklı biçimde verdi: Cyvers yaklaşık 353 bin dolar, GoPlus yaklaşık 403 bin dolarlık kayıp ve yaklaşık 305 bin dolarlık saldırgan kârı, CertiK ise yaklaşık 204 bin dolarlık çekim bildirdi; aradaki fark, kötü borç, brüt kayıp ve net kârın farklı ölçülmesinden kaynaklanıyordu.

Edel, hiçbir mevduat sahibinin zarar görmeyeceğini söyledi. Ekip kötü borcu üstlenecek, etkilenen bakiyeleri birebir eski hâline getirecek ve bir versiyon iki sürümü için oracle mimarisini yeniden kuracak. SlowMist, kök nedeni Edelin fiyat kaynağına kadar izledi; bu kaynak, ERC-4626 tarzı kasaya ait convertToAssets() oranını okumak için latestAnswer() çağrısını kullanıyordu. Bu dönüşüm oranı, dayanak akışının yeterince büyük bir kısmını kontrol eden bir saldırgan tarafından hareket ettirilebilir. GoPlus, saldırganın wGOOGLx/GOOGLx dönüşüm oranını çarpıtmak için bir flaş kredi kullanarak arka arkaya teminat yatırıp borçlandığını belirtti; CertiK ise aynı açığı borç verme tarafından tarif etti: şişirilmiş wGOOGLx teminatı, ardından gerçek ödünç alınan varlıkları destekledi.

Neden önemli

Yenilik, varlık sınıfında; teknikte değil. Flaş krediler, ERC-4626 kur oranı saldırıları ve oracle manipülasyonu yıllardır DeFi exploitlerinde görülüyor; Edelin eklediği şey, bir tokenize hisse senedinin etrafına inşa edilmiş bir sarmalayıcı, bu da hissenin üstüne ikinci bir fiyatlama sorunu ekliyor. Artık bir borç verme piyasasının hisseyi, üstündeki sarılı versiyonu, kasaya ait convertToAssets oranını ve bir değer bildiren oracle yolunu ayrı ayrı fiyatlaması gerekiyor. Alphabet hissesinin fiyatı exploit sırasında hareket etmedi. İhraççı düzeyindeki destek ile zincir içi fiyatlama arasındaki kopukluk, saldırganın geçtiği boşluktu.

Tokenize hisseler, teminat alanına hızla büyüdü. RWA.xyz, tokenize hisselerin zincir içi değerini 1,7 milyar dolar, aylık transfer hacmini 8,92 milyar dolar ve yatırımcı sayısını 396 binden fazla olarak veriyor. xStocks ise 50’den fazla platformda 100’den fazla hisse ve ETF listeliyor; toplam işlem hacmi 25 milyar dolar.