Skip to content
AV
DeFi

Cronos'un Tectonic Exploit Geri Alması Değişmezlik Efsanesini Bitiriyor

By Anurag Verma•September 1, 2026
Cronos'un Tectonic Exploit Geri Alması Değişmezlik Efsanesini Bitiriyor

30 Ağustos 2026'da biri, TONIC fiyatını şişirerek ve şişirilmiş teminata karşı borç alarak Crypto.com'un Cronos zincirindeki en büyük borç verme piyasası Tectonic'ten yaklaşık 75 milyon dolar boşalttı. Saatler içinde doğrulayıcılar tüm blok zincirini durdurmak için oy kullandı. Uygulamayı değil. Zinciri.

Cronos'un Tectonic istismarına verdiği geri alma yanıtı, modern bir L1'in ciddi para yanlış tarafa aktığında gerçekte ne yapacağına dair yıllardır gördüğümüz en temiz testlerden biri. Decrypt'in zincir durdurmasına ilişkin haberine göre, ekip saldırı öncesi duruma koordineli bir fork gerçekleştirirken blok üretimi de durdu. İstismar bloğunun ardından gerçekleşen her pozisyon, her işlem, her alakasız transfer onunla birlikte geri alındı.

Bu yılın en önemli yönetişim olayının bu olduğunu düşünüyorum ve neredeyse kimse bunu doğru çerçevelemiyor. Bu bir skandal değil. Bu bir ihanet değil. Bu, doğrulayıcı setinin her zaman izin vereceği şekilde çalışan üründür. Yeni olan tek bilgi, artık elimizde kamuya açık bir makbuzun olmasıdır.

TONIC fiyat manipülasyonu saldırısı gerçekte ne yaptı

Mekanik, 2026 DeFi istismarlarının çoğunun sıkıcı olduğu şekilde sıkıcı. Bir Solidity sözleşmesinde sıfırıncı gün açığı yoktu. Ortada ince likiditeye sahip bir token'a karşı cömertçe ayarlanmış bir teminat faktörüne sahip bir borç verme piyasası ve oracle'ın piyasa fiyatına, piyasa fiyatının hak ettiğinden daha fazla güveneceğini anlayan bir saldırgan vardı.

CoinDesk'in olaya ilişkin yazısı, ele geçirilen miktarı yaklaşık 75 milyon dolar olarak veriyor; bunun büyük bölümü, kısa bir süreliğine yapay olarak olması gerekenden çok daha değerli hale getirilen TONIC teminatına karşı alınan borçlardan oluşuyor. Saldırgan yatırdı, fiyatı şişirdi, borç aldı ve ayrıldı. Ders kitabında yer alır.

Ders kitabında yer almayan ise sonrasında yaşananlardır.

Ağustos 2026'nın blok zinciri durdurması

Canlı bir üretim L1 üzerinde doğrulayıcı koordinasyonlu bir durdurma, gerçek kurumsal kullanıcılarla bu ölçekte nadiren görülür. Client hatası olmayan bu türdeki son örnek 2022'deki BNB Chain'di. Cronos'un bunu 2026'da, sektörün iddia ettiği olgunlukla yapması, tartışmayı başa sıfırlıyor.

Birkaç konuda kesin olmak gerekiyor:

  • Durdurma bir akıllı sözleşme duraklatması değildi. Tectonic'in zararı sınırlayabilecek çalışan bir devre kesici yoktu. Zincirin kendisi durduruldu.
  • Geri alma kullanıcıya bırakılmış bir seçenek değildi. Cronos üzerindeki her adresin durumu yeniden yazıldı; Tectonic ile hiçbir ilgisi olmayan adresler de dahil.
  • Karar döngüsü saatler içinde tamamlandı, haftalar değil. Bu, doğrulayıcı anahtarlarını elinde bulunduranların fiilen bir acil durum komitesi işlevi gördüğü anlamına geliyor.

Buna ne ad verirseniz verin. Ben buna sansür dirençli demezdim.

Crypto.com Cronos yönetişimi bir hata değil, bir özellik

İşte tam burada odanın yarısını kaybediyorum muhtemelen. Cronos özelinde bu kararın yanlış olduğunu düşünmüyorum aslında. Zincirin en büyük kullanıcısı, perakende müşterilere hizmet veren düzenlenmiş bir borsadır. Koordineli bir fork ile geri kazanılabilecekken 75 milyon doların kapıdan çıkmasına izin vermek, o paydaş kitlesi için operasyonel açıdan akıl dışı olurdu.

Dürüst bir okuma şunu söylüyor: Cronos, küçük ve uyumlu bir doğrulayıcı kümesine ve marka riski kritik önem taşıyan kurumsal bir sponsora sahip, izne dayalı bir L1. Böyle inşa ettiğinizde tam olarak şunu elde ediyorsunuz: hızlı kurtarma, gerçek hesap verebilirlik ve devreye girecek bir yönetişim katmanı. Meşru bir tasarım. Son dört yılda Cronos pazarlamasının ima ettiği tasarım değil.

Aynı olayın Ethereum mainnet'te nasıl sonuçlanacağıyla kıyaslayın. Sonuçlanmazdı. Sosyal katman aylarca tartışırdı, fonlar ise doksan saniyede gitmiş olurdu.

Asıl mesele DeFi teminat faktörü riski

Burada tekrar edecek olan kısım durdurma değil. Durdurmanın zorunlu hale gelmesini sağlayan kurulum.

TRM Labs, DeFi kredi piyasalarına yönelik fiyat manipülasyonu saldırılarının 2026'da tüm zamanların en yüksek seviyesine ulaştığını ve Tectonic'in artık bu kategorideki en büyük tek olay olduğunu raporladı. Bu saldırılar özgün kriptografi gerektirmiyor. İnce likiditeli bir varlığı listeleyen ve aynı ince piyasayı takip eden bir oracle kullanan bir kredi piyasası gerektiriyor. Bu, insanlar tarafından verilen bir tasarım kararı; çoğunlukla TVL büyütme baskısı altında alınan.

İnşaacıların kendine sorması gereken birkaç rahatsız edici soru:

  1. Protokolünüz zincir düzeyinde bir kurtarma operasyonu olmaksızın maksimum ne kadar düşüşe dayanabilir?
  2. Listelediğiniz teminat varlıklarından hangisini 2 milyon dolarlık bir baskıyla yüzde 30 hareket ettirebilirsiniz?
  3. L1'iniz sizi kurtarmak için yarın blok üretimini durdursaydı, kendinize hâlâ DeFi der miydiniz?

(3)'ün cevabı evetse, bunu dökümantasyonunuzda dürüstçe belirtin.

Kurumların sessiz sedasız istediği şey

İşin rahatsız edici kısmı bu. Son iki yılda konuştuğum her düzenlenmiş masanın, Cronos'un yaptığının bir versiyonunu istediğini görüyorum. Bir duraklama düğmesi. Bir geri alınabilirlik penceresi. Kötü bir blok kesinleştiğinde arayabilecekleri isimli bir muhatap. Kamuya açık zincirler on yıldır bu kitleye bunun imkânsız olduğunu söyledi; bu hafta Cronos, kendi ağlarında bunun hem çok mümkün hem de çok hızlı olduğunu kanıtladı.

Denetim altyapısının neden bozuk olduğunu birkaç hafta önce yazdım; bu olay da aynı sorunun bir yansıması. Güvenlik ağınız sonradan yapılan bir validator oyuysa, elinizde güvenlik ağı yok, bir kurtarma politikası var. Kurtarma politikaları sorun değil. Merkez bankalarının da var. Sadece adını doğru koyun.

Önümüzdeki asıl soru, diğer orta ölçekli L1'lerin kendi amiral gemisi uygulamalarından biri bir dahaki sefere soyulduğunda aynı oyun kitabını kopyalayıp kopyalamayacağı. Tahminim, çoğunun bunu yapacağı yönünde. On iki ay içinde en az bir büyük L1, bir komite, bir eşik değer ve yazılı bir SLA ile acil durum geri alma prosedürünü kamuoyu önünde resmileştirecek. O noktada "merkeziyetsiz" kelimesinin her zincirde aynı anlama geldiğini iddia etmeyi bırakabilir ve zincirleri piyasaların zaten fiyatladığı şekilde tanımlamaya başlayabiliriz: kararı kimin verdiğine göre.

Bu yazı yorum niteliğindedir; finansal veya hukuki tavsiye değildir. İstismar ve geri alma işlemine ilişkin bilgiler aşağıda belirtilen kaynaklardan alınmıştır.

Kaynaklar