Çalınan 290 milyon, üçüncü taraflar arasında uzlaşma yok, KelpDAO Olayı'nın faturasını kim ödemelidir?

Bu makaleyi okumak için 15 Dakika

Şu anda en tehlikeli senaryo, ETH'nin aniden düşmesi durumunda, Aave'in takipteki borcu daha da artabilir.

Orijinal Başlık: "2.9 Milyar Dolarlık Boşlukta Üç Taraf Oyunu: Aave, L0, Kelp Kimin Faturayı Ödeyecek?"
Orijinal Yazar: Azuma, Odaily Planet Daily

Kelp DAO'nun rsETH köprü sözleşmesinin hacklenmesinin üzerinden 30 saatten fazla zaman geçti. İlgili taraflar (LayerZero, Kelp DAO, Aave) zaman içinde bazı açıklamalar yapmış olsalar da (genellikle sorumluluğu atmaya odaklanarak, kendi hatalarını vurgulayarak), şu anda hala nihai çözümü sunamadılar.

Bu nedenle, bu makale, olayın karşısındaki tarafların mevcut duruşunu ve tutumunu tartışmayı, çözümün neden geciktiğini araştırmayı ve olayın en sonunda nasıl çözülebileceğini tahmin etmeyi amaçlıyor.

Not: Önceki olaylara dair özet bilgi için "Kod Sorunu Olmadan Hackedilen ve 2026'nın En Büyük Hacker Olayının Baş Nedeni Olan 'DVN Yapılandırma Açığı' Ne Anlama Geliyor?" makalesine bakılabilir.

Sorumluluk Kimde?

Öncelikle sorumluluk konusunu tartışalım.

LayerZero tarafından yapılan detaylı açıklamaya göre, olayın doğrudan nedeni oldukça açık hale geldi; yani LayerZero'nun işlettiği merkezi olmayan doğrulayıcı ağı (DVN), altta yatan RPC altyapısının bir saldırıya uğraması (aşağıdaki grafikte SlowMist kurucu Ortalama Ho'nun analizine bakınız) ve Kelp DAO'nun köprü sözleşmesinin 1/1 DVN'yi kullandığından, saldırganın sahte bir ileti doğrulaması yapmasıyla saldırıyı başarabilmesi yeterli oldu.

LayerZero, 1/1 DVN yapısını kullanan Kelp DAO'nun bu olaydaki en doğrudan sorumlusu olduğunu düşünüyor. Bu tartışmaya kapalı bir konu, bu kadar açık bir "tek nokta hatası" gerçekten kabul edilemez.

Ancak altta yatan çapraz zincir protokolü LayerZero da kısmi sorumluluk taşımalıdır. LayerZero, her üst katman uygulamanın kendi DVN sayısını ve eşik değerlerini yapılandırmasına izin verir. 1/1 DVN'nin Kelp DAO'nun kendi seçimi olmasına rağmen, altta yatan mimariyi tasarlayan taraf olarak, açıkça kusurlu bir yapılandırmadan kaçınmalıydı.

Son olarak, Aave gibi borç verme protokolleri de (burada özellikle Aave'den bahsedilmektedir), dolaylı olarak zarar gören taraflardan biri olmalarına rağmen, nesnel anlamda Aave, rsETH gibi LRT varlıklarına yüksek kredi izni vererek genişleme amacıyla hareket etti ve mevcut pasif duruma düşmesinin doğrudan nedeni oldu. Ayrıca belirtmekte fayda var ki, Aave'nin eski risk kontrol ekibi BGD Labs (şu anda Aave ile yollarını ayıran) geçen yılın ocak ayında Kelp DAO'nun DVN sorununu açıkça belirtti ve Kelp o zaman öneriyi kabul etti, ancak açılan ortada belirgin bir değişiklik görünmemektedir... Aave, denetlemeye ve uygun önlemleri almaya devam etmedi ve sonuçlarına katlandı.

Bu nedenle sorumluluk oldukça açıktır, Kelp DAO ana sorumlu, LayerZero ikincil sorumlu, Aave de dolaylı olarak sorumludur.

Zor Durumun Gerçeği

Gerçekler her zaman teorik beklentiden daha karmaşıktır. En önemli sorun, ana sorumluluğu üstlenmesi gereken Kelp DAO ekibinin bu kadar parayı deliği kapatmak için ortaya koyamamasıdır... Tüm rsETH'lerden doğrudan kesilerek kaybı hesaplayabiliriz, Layer 2 token sahiplerini satabiliriz, bu temelde çıkmaz bir sokaktır.

Peki, kimin parası var? İlk olarak, bu olaydan zarar gören ünü zedelenmiş ve Bitgo, Tron, Ethena, Curve, ether.fi gibi birçok kurum ve protokol tarafından geçici olarak devre dışı bırakılan, büyük olasılıkla büyük miktarda çapraz zincir varlık kaybeden LayerZero; ikinci olarak, potansiyel büyük miktarda kötü borcu olan ve zaten yüz milyarlarca dolarlık TVL kaybeden Aave.

Dolayısıyla şimdi tarafların "işbirliği" çok açıktır. Ana sorumlu Kelp DAO neredeyse felç olmuş durumda, ilerideki tazminat işini yürütemez durumda, ne yapacaklarını iki büyük abiyle görüşmeliler; aynı zamanda, tazminat gücüne sahip ikincil sorumlu ve dolaylı sorumluluk sahibi LayerZero ve Aave, kendi protokollerinde açık bir güvenlik açığı olmadığını belirttiler ve bu kadar büyük bir sorumluluğu kolayca üstlenmek istemediklerini açıkça belirttiler... Dolayısıyla şu anda durum biraz kilitlenmiş gibi görünüyor.

Ancak bu durumun uzun sürmeyeceğine inanmıyorum, çünkü her iki protokolün de sorunu mümkün olan en kısa sürede çözme ihtiyacı var - LayerZero kendi OFT çapraz zincir ekosistem haritasını terk edemez; Aave ayrıca devam eden fon çıkışını görmezden gelemaz.

Taraflar Arasındaki Oyunun Anahtarı

Bu sabah, Aave bu olayla ilgili bir güncelleme açıklaması yaptı ve açıklamada en önemli bir bilgi noktası olan — Aave, "rsETH'nin Ethereum ana ağı üzerinde yeterli destek aldığını" vurguladı.

Bu ifadeyi nasıl anlamalıyız? rsETH'nin tasarımından bahsetmeliyiz.

rsETH esasen Kelp DAO tarafından ihraç edilen bir likidite yeniden teminatlı belge jetonudur, 1 rsETH'nin altında yatan her birinin destek olduğu bir ETH, işte bu yolculuklarıdır: "ETH - Lido - EigenLayer - Kelp DAO - rsETH".

Ana Ağ üzerinde bulunan rsETH, Kelp DAO'nun Ethereum'da çıkardığı orijinal belge tokenidir; daha sonra Layer 2 ekosistemi içinde genişlemek için, Kelp DAO, Ana Sıfır'ın köprü sözleşmesine dayanarak (bu olayın meydana geldiği şey) Ana Ağ rsETH'yi büyük Layer 2'lerine eşlemek için çalışacak. Her bir Layer 2'de çıkarılan 1 rsETH ile birlikte, Ana Ağ rsETH de Kelp DAO'nun güvenlik sözleşmesine yatırılacaktır ve Layer 2'deki rsETH Ana Ağ'a geri geldiğinde serbest bırakılacaktır.

Şimdi, hadisenin kendisine geri dönelim. Önceki metinde, hırsızlık nedeninden bahsedildi, yani hacker'ın DVN'yi aldatarak cross-chain mesajı sahteleştirmesi sonucunda köprü sözleşmesinin 116.500 rsETH'yi "yanlışlıkla" serbest bıraktığı belirtildi—dikkat, bu yeni jetonların havadan basılmadığı, ana ağdan alınan asıl belge tokeninin serbest bırakılması gerekmeyen bir jeton olduğu.

Sorun burada, bu kısımdaki jetonlar zaten Layer 2 üzerinde eşlemeli bir şekilde dolaşımda olmaları gerekirken, ana ağdaki jetonlar mühürlenmiş durumdadır, ancak hacker başarılı olduktan sonra bunları Aave gibi borç verme protokollerine yatırdı ve likidite sağlam WETH'e ödünç vererek kaçmayı başardı—tekrar vurgulamak gerekirse, hacker'ın yatırdığı rsETH gerçektir, bu nedenle Aave bu tokeni teminat olarak destekliyor.

Şimdi Aave'nin açıklamasına tekrar bakmak ilginç olacaktır. "Ana Ağ'daki rsETH yeterli desteğe sahiptir," cümlesi aslında şunu demektir: "Bu paralar gerçek, Kelp DAO, bu paraları alttaki ETH'yi geri almak için desteklemeni bekliyorduk (sözleşme askıya alındı, şu anda geri alınmıyor)... Ancak, Ana Ağ rsETH desteğini kaybeden Layer 2 eşleme sürümü rsETH'larla ilgilenemem!"

Bu Aave'nin yaklaşımı olmalı. Ana Ağ rsETH'nin değerini vurgulamak, Layer 2 eşlemesi rsETH'nin değerini görmezden gelmek anlamına gelir ve Aave'nin Layer 2 üzerindeki borç verme ürünlerinde belirli bir rsETH borç pozisyonu da(vi) vardır (anlık olarak yaklaşık 3.59 milyar ABD Doları). Bu da belirli bir kötü alacağa neden olacak. Ancak, zararı en aza indirmenin Aave'nin en büyük çıkarına olduğunu düşündüğünden, büyük olasılıkla iki seçeneğin potansiyel etkilerini değerlendirmiştir.

Ancak bu sadece Aave'nin bir pozisyonudur, olayın sonunda nasıl çözüleceğine bakmak, Ana Sıfır ve Kelp DAO ile uzlaşılıp uzlaşılamasına bağlı olacaktır.

Her ne kadar ikincisi şu anda daha fazla açıklama yapmamış olsa da, ben şahsen LayerZero'nun bu çözümü kabul etmesinin zor olacağını düşünüyorum, çünkü Layer 2 haritalama jetonundan vazgeçmek, LayerZero'nun cross-chain itibarını doğrudan tehdit edecektir.

Potansiyel Çözüm

Sorun çözülmek zorundadır. Bu günlerde sosyal medyadaki çeşitli uzmanlar da Aave, LayerZero ve Kelp DAO'ya önerilerde bulunmaktadır.

DefiLlama Kurucusu 0xngmi, üç olası yol üzerine bir analiz yapmış, ancak üç yolun da belirgin kusurları olduğunu belirtmiştir. İlk yol, tüm rsETH sahiplerinin %18.5'ini (kayıp jeton/çıkarılan jeton oranı) değer düşüşü ile paylaşmasıdır, Kelp DAO kendi sorumluluğunu üstlenir, Aave de ana ağda yaklaşık 216 milyon dolarlık kötü borcu üstlenir; İkinci yol, tüm Layer 2 haritalama versiyonu rsETH'nin değerini yok saymaktır, böylece Aave'nin ana ağ ürünü korunurken, Layer 2 versiyonunun muhtemelen çökeceği ve Kelp DAO'nun itibarının sıfırlanacağıdır; Üçüncü yol, hacker saldırısı gerçekleşmeden önceki rsETH sahiplerine anlık olarak tam geri ödeme yapar, ancak saldırı sonrası fonların büyük ölçüde hareket etmiş olması nedeniyle, bu operasyonun pratikte neredeyse imkansız olduğu göz önüne alındığında.

OneKey Kurucusu Yishi ise şunları söylemiştir: "Şu anda en iyi sonuç, hacker ile müzakere edebilmektir, %10–15 bounti vererek ana kısmı geri almak, herkes mutlu olur. Anlaşamazsak, LayerZero ekosistem fonu büyük kısmı verir, çünkü en zengin ve en uzun vadeli çıkarı olan odur, zararı karşılayabilir ve OFT ekosistemi korunabilir.Kelp DAO en fakiridir, ya jeton + gelecekteki gelir telafi edilir, ya da bütün proje LayerZero veya Bitmine'a satılır. Aave'nin Umbrella'sı ve stkAAVE, son katmanı destekler, ancak WETH mevduat sahipleri kesinlikle değer kaybı almamalıdır, aksi takdirde Morpho, Spark, Fluid, Euler tamamen yeniden fiyatlandırılır, LRT rotası genel olarak siyah listelenir, tüm DeFi sektörü üç yıl geriye gider."

Her durumda, tarafların şüphesiz bir süre daha tartışmaya devam edecekleri kesindir, sonuçta yüz milyarlarca dolarlık gerçek para söz konusu, kimse bu durumu görmek istemez.

Çözümün ne kadar sürede ortaya çıkacağına dair bir bilgi vermek gerekiyorsa, önce bahsedildiği gibi, her iki dev de fazla oyalanmaktan korkarlar.Şu anda LayerZero, tüm büyük işbirliği kurumları ve protokoller tarafından zorla durduruldu, işbirliği partnerleri uzun süre bekletilirse kesinlikle cross-chain yolunu değiştireceklerdir; Aave'nin durumu da pek parlak değil, birkaç fon havuzu kullanım oranı zaten %100'e ulaşmış durumda, mevduat sahipleri "hapiste" durumunda... Eğer ETH aniden büyük bir düşüş yaşarsa, Aave, etkin bir şekilde teminatı tasfiye edemediği (şu anda gerçekten böyle) için daha fazla kötü kredi ortaya çıkabilir, bu da nihayetinde sorunu kar gibi büyütebilir ve sonuçta endüstride kökten bir yıkıma neden olabilir—kesinlikle kimse bu durumu görmek istemez.