RWA Oracle Hataları: Zincir Dışı Fiyatlar Yalan Söylediğinde

Bir RWA oracle'ı gerçekte ne yapar ve neden tek arıza noktasıdır

Bir gerçek dünya varlığını tokenize etmek, teknik olarak zincir üzerinde yaşamayan bir şeyin zincir üstünde bir temsilini inşa etmek demektir: bir özel kredi havuzu, kısa vadeli ABD Hazine bonolarından oluşan bir sepet, tokenize para piyasası fonu paylarındaki bir pay ya da gayrimenkule dayalı bir senet. Akıllı kontrat, teminat kurallarını uygulamak, pozisyonları piyasa fiyatıyla değerlemek ve tasfiyeleri tetiklemek için bir sayıya ihtiyaç duyar. Bu sayı bir oracle'dan gelir.

Kripto-yerel varlıklar için oracle'lar büyük ölçüde çözülmüş bir mühendislik sorunudur. Chainlink, düzinelerce borsadan anlık fiyatları çeker, bunları hacim ağırlıklı bir ortanca ile toplar ve her birkaç dakikada bir ya da fiyatlar bir eşiği geçtiğinde güncellemeleri iter. Pyth benzer bir şey yapar ama çekme tabanlı bir tasarımla çalışır: fiyat, piyasa yapıcıları tarafından zincir dışında imzalanır ve ancak bir DeFi protokolü talep ettiğinde zincir üzerine aktarılır. Her iki mimari de binlerce bağımsız fiyat alıcısının olduğu sürekli, likit piyasalar varsayar.

Gerçek dünya varlıkları bu varsayımları bozar. Bir özel kredi havuzunun NAV'ı, yavaş gelen kredi düzeyindeki verilerden bir fon yöneticisi tarafından haftalık olarak hesaplanır. Tokenize bir hazine ürününün NAV'ı, saniyelerle değil randevuyla işlem gören tahvil fiyatlarına göre hareket eder. Oracle artık bir piyasa fiyatı bildirmiyordur; çoğu zaman tek bir doğruluk kaynağından, gecikmeli bir kadransla yapılan bir hesaplamayı bildirir.

Risk açısından önemli olan ayrım da tam burada başlar. Bir fiyat oracle'ı, piyasanın şu an ödeyeceğini bildirir. Bir NAV oracle'ı ise fon yöneticisinin varlıkların ne kadar değer olduğuna dair inancını bildirir; bu inanç çoğu zaman yumuşatma, tahakkuklar ve bir raporlama gecikmesi içerir. Özel kredi havuzuna bir kredi olayı geldiğinde, fiyat oracle'ı (eğer varsa) anında çökebilirken NAV oracle'ı, yönetici pozisyonu henüz aşağı çekmediği için günlerce son iyi sayıyı bildirmeye devam eder.

Bir kredi olayı sırasında NAV oracle'ları ve fiyat oracle'ları nasıl ayrışır

Sağlıklı bir piyasada fark görünmez değildir. Her iki akış da kabaca aynı şeyi söyler ve akıllı kontrat ikisinden birini kullandığında mantıklı kararlar verir. Ayrışma, özel kredi havuzundaki bir borçlunun ödemeyi kaçırdığı, notunun düşürüldüğü ya da en kötü durumda temerrüde düştüğü anda açılır.

Goldfinch tarzı bir üst havuzda, dayanak kredilerden biri kötüye gittiğinde neler olduğuna bakalım. Zincir üstü havuz token'ı hâlâ, yöneticinin son güncellemesine dayanan ve kredinin tam olarak geri ödeneceğini varsayan bir NAV iddia eder. İkincil piyasada, yani gerçekte bir alıcının ödeyeceği fiyatta, o havuza yönelik alacakların değeri, temerrüt haberi kredi masalarına ulaşır ulaşmaz hemen düşer. Saatler ya da günler boyunca, zincir üstündeki oracle ile yatırımcıların kafasındaki oracle arasında onlarca yüzdelik puan fark olabilir.

Bu boşluk, tüm saldırı yüzeyidir. Ayrışmayı fark eden bir borçlu, havuz token'ını zincir üzerinde başka yerde teminat olarak gösterebilir, yapay olarak yüksek NAV'a karşı stablecoin borçlanabilir ve NAV oracle'ı gerçekliğe yetişmeden önce çekilip gidebilir. Yönetici, temerrüdü yansıtan yeni bir NAV yayımladığında, pozisyon zaten bu NAV'a karşı boşaltılmış olur. Bu varsayımsal bir durum değildir. Son iki yıldaki her özel kredi RWA istismarının yapısal biçimi budur.

Fiyat oracle'ları farklı davranır. Pyth ya da Chainlink'in aktif piyasalardan topladığı türden, piyasa tabanlı bir fiyat oracle'ı, yatırımcılar havuz token'ını anında yeniden fiyatlandırdığı için kredi olayını dakikalar içinde yansıtır. Buradaki risk tam tersidir: ikincil piyasa ince olduğu için oracle tam da o anda manipülasyona açık hale gelebilir ve birkaç büyük işlem, bildirilen fiyatı haksız tasfiyeleri tetikleyecek kadar oynatabilir.

Eski fiyat istismarları: tokenize kredide en yaygın başarısızlık biçimi

Eski fiyat istismarı, klasik anlamda bir hack değildir. Bir sisteme izinsiz girilmez, özel anahtarlar çalınmaz, yönetim oylaması ele geçirilmez. Oracle tasarlandığı şekilde çalışmaya devam eder. Sadece güncellenmeyi durdurur ya da o fiyat gerçek olmaktan çoktan çıktıktan sonra bilinen son fiyatı raporlamaya devam eder.

Bu durum, RWA piyasalarında sıradan operasyonel nedenlerle rutin olarak yaşanır. Fon yöneticisi hafta sonu için kapanır. Kredi düzeyindeki nakit akışlarını ileten veri akışı çöker. NAV raporunu imzalayan muhasebe firması son tarihi kaçırır. Bu olayların hiçbiri, altta yatan kredilerin bozulmasını engellemez. Sadece zincir üstündeki sayının bunu yansıtmasını durdurur.

Bu tokenlerin üzerine inşa edilen DeFi borç verme piyasaları, ki bunların hacmi şimdiden birkaç yüz milyon doları buluyor, oracle'ı mutlak doğru olarak kabul eder. Eğer oracle en son iki gün önce 1,02 dolarlık bir NAV raporladıysa ve borç alan %150 teminat yatırdıysa, borç verme protokolü pozisyonun güvende olduğuna inanır. Gerçek kurtarılabilir değer 0,80 dolara düştüyse, protokol bunu bilmez. Teminat oranı hâlâ iyi göründüğü için borç alanın daha fazla çekmesine izin verir.

2023'teki Maple Finance kredi olayları bunu net biçimde gözler önüne serer. Maple'in nakit havuzlarındaki birkaç büyük borç alan pozisyonu bozulduğunda, havuz tokenleri ikincil piyasalarda neredeyse anında ciddi iskontolarla işlem görmeye başladı. Yöneticinin verileriyle Maple'in oracle altyapısı üzerinden güncellenen zincir üstü NAV ise bu duruma günler sonra yetişti. Bu süre zarfında zaten zincir dışında ciddi şekilde suyun altında kalmış pozisyonlar zincir üstünde hâlâ güvenli teminatlı görünüyordu ve birkaç DeFi entegrasyonu duraklamak ya da pozisyonları manuel olarak aşağı işaretlemek zorunda kaldı.

Goldfinch vakası da benzer bir senaryoyu izledi. Kıdemli havuz NAV'ları, raporlanan kredi olaylarını günler ya da haftalar gecikmeyle takip etti ve kıdemli havuz tokenini kendi ikincil piyasa fiyat kontrolü olmadan teminat olarak entegre eden her protokol, zincir dışındaki hiçbir katılımcının üzerinde anlaşamayacağı bir sayıya güvenmiş oldu.

Chainlink ve Pyth mimarileri ve her birinin gizlediği başarısızlık kalıbı

Chainlink'in mimarisi toplama ve yedeklilik üzerine kuruludur. Veri, birden fazla borsa ya da veri sağlayıcıdan çeken birçok bağımsız düğüm operatöründen sağlanır ve ardından zincir üzerinde toplanır. Avantajı, herhangi bir tek kaynağın hatalı ya da kötü niyetli olmasına karşı dayanıklılıktır. Dezavantajı, toplamanın yalnızca üzerinden fiyat toplanabilecek gerçek, likit bir piyasa olduğunda işe yaramasıdır. Altta yatan piyasa ince olduğunda, bir Chainfeed akışı az sayıda yavaş hareket eden kaynağın konsensüsüne dönüşebilir ve bu gerçek bir piyasa fiyatıyla aynı şey değildir.

Yüksek hacimli kripto pariteleri için bu sorun değildir. Tokenize kredi, gayrimenkul ya da özel fonlar için Chainfeed akışları genellikle bir kalp atışı programına (örneğin birkaç saatte bir) ya da bir sapma eşiği aşıldığında güncellenecek şekilde yapılandırılır. İki koşul da tetiklenmezse, fiyat güncellenmez. "Bu fiyat üç günlük, muhtemelen bir sorun var" diyen yerleşik bir tazelik kontrolü yoktur. Bu sorumluluk tüketici protokole düşer ve birçok RWA entegrasyonu bunu basit bir şekilde uygulamaz.

Pyth farklı bir yaklaşım benimser. Fiyatlar bir piyasa yapıcı ve yayıncı paneli tarafından imzalanır ve ardından bir çekme modeliyle zincir üzerinde kullanıma sunulur. Tüketicinin her ihtiyaç duyduğunda taze bir fiyat için ödeme yapması gerekir, yani teknik anlamda eski bir Pyth fiyatı diye bir şey yoktur: her okuma tanım gereği tazedir. Risk, güven aralıklarına kayar. Pyth her fiyatla birlikte bir güven değeri yayınlar ve ince bir piyasa geniş bir güven aralığı üretir. Eğer tüketici protokol güven değerini yok sayıp medyan fiyatı mutlak doğru olarak ele alırsa, eski bir Chainfeed akışı kadar istismara açık olabilir.

Bir RWA entegrasyonunu değerlendiren herkes için pratik çıkarım: tazelik kontrolü olmayan bir Chainfeed akışı eski fiyat istismarlarına adaydır; güven kontrolü olmayan bir Pyth akışı ince piyasa istismarlarına adaydır. Her ikisi de yaygındır.

Zincir üstü tasfiye mantığı neden dünün verilerine güvenir

DeFi'deki tasfiye motorları, adli bir ortam için tasarlanmıştır. Her pozisyonun her an güvensiz hale gelebileceğini ve eğer öyle olursa harici bir tasfiye edenin onu kâr için kapatacağını varsayarlar. Bu, kripto yerli teminatlar için parlak biçimde çalışır, çünkü fiyat oracle'ı neredeyse gerçek zamanlı güncellenir ve tasfiye eden, protokolün gördüğü sayının aynısını görür.

RWA teminatları için aynı tasfiye mantığı, saatler ya da günler eskimiş olabilecek bir sayıya karşı çalışır. Protokol, "fiyat hareket etmedi" ile "fiyat akışı güncellenmeyi durdurdu" arasındaki farkı söyleyemez. İkisi de zincir üstünde özdeş görünür. Protokolün bakış açısından, iki gün önce %150 teminatla özel kredi tokeni yatıran bir borç alan bugün hâlâ %150'dedir ve pozisyon güvendedir.

RWA'daki oracle riskinin saf DeFi'deki oracle riskinden bu kadar farklı olmasının nedeni budur. Eski bir ETH fiyat akışı, kârcı botları çalıştıran profesyonel arama yapanlar tarafından saniyeler içinde arbitraj edilir. Tokenize bir özel kredi havuzu için eski bir NAV akışı aynı şekilde arbitraj edilemez. Pozisyon likit değildir, NAV insanlı bir süreçten gelir ve güncelleme zorlamak için zincir üstünde bir mekanizma yoktur. Tasfiye motoru başarısız olmuyor; farklı bir varlık türü için yazılmış kuralları sadakatle uyguluyor.

Sonuç, sessiz bir tür ödeme aczidir. Protokolün defterleri hâlâ dengelidir. Teminat oranı hâlâ doğru görünür. Borç alan hâlâ çekim yapabilir. Bu sırada, altta yatan kredilerin gerçek kurtarılabilir değeri yarı yarıya düşmüştür.

Tokenize krediye maruz kalan herkes için pratik çıkarımlar

Bir RWA tokenini doğrudan elinde tutuyorsanız, soru ihraççının NAV oracle'ının stres dönemlerinde gerçeklikten geri kalıp kalamayacağıdır. Dürüst cevap, evet, tasarım gereğidir. Özel kredi ve gayrimenkul NAV'ları, altta yatan varlıklar sürekli işlem görmediği için gecikmelerle raporlanır. Tokeni tutmak, raporlanan değeriniz ile tasfiye değerinizin bir kredi olayı sırasında keskin biçimde ayrışabileceğini kabul etmek anlamına gelir.

RWA tokenlerini teminat olarak kabul eden bir DeFi protokolüne likidite sağlıyorsanız, soru daha zordur. Artık hem ihraççının NAV oracle'ına hem de protokolün kendi fiyat kontrol mantığına maruz kalırsınız. Birçok protokol, ihraççının NAV'ı ile canlı piyasa arasındaki ayrışmayı yakalamak için ikincil bir piyasa fiyat kontrolü (Uniswap tarzı bir havuz, bir Pyth toplamı, bir Chainfeed referansı) uygular. Bazıları uygulamaz. Bu fark genellikle protokolün belgelerinde görünmez.

Bakılacak somut birkaç şey: ideal olarak pozisyonun duraklatıldığı sert bir kesme noktasıyla her oracle okumasında bir tazelik kontrolü; ihraççının NAV'ı ile en az bir bağımsız fiyat kaynağı arasında açık bir karşılaştırma; ikisi ayrıştığında ne olacağına dair belgelenmiş bir politika. Bu cevaplar kamuya açık değilse, protokol örtük olarak bunlara asla ihtiyaç duyulmayacağına bahse giriyor demektir.

RWA oracle riskini akıllıca nasıl takip edersiniz

RWA oracle riski genellikle herhangi bir haber başlığı ortaya çıkmadan önce sessizce hareket eder. Özel kredi havuzundaki bir kredi olayının, ihraççının resmi NAV'ına yansıması günler sürebilir ve tokeni gerçekten işlem gören platformları bilmiyorsanız ikincil piyasa sinyallerini yakalamak kolay değildir. Bunu manuel olarak takip etmek kaybeden bir oyundur. Zippfeed, büyük ihraççılara yayılmış RWA başlıklarını, oracle ile ilgili protokol güncellemelerini ve zincir üstü yönetişim tartışmalarını bir araya getirir; bunları duygu durumuna (boğa, nötr veya ayı) göre puanlar ve bir önem derecelendirmesiyle etiketler. Böylece ihraççının raporlanan NAV'ı ile piyasanın dayandığı krediye ilişkin gerçek görüşü arasındaki farkı, bu fark gerçekleşmiş bir zarara dönüşmeden önce tespit edebilirsiniz.