Gösterge fiyatı: Adil yargıç mı yoksa zincirleme tasfiyenin kıvılcımı mı?

2025 Mart'ında, işlem hacmi düşük olan JELLY adlı bir token, bir ticaret platformunda on milyonlarca dolarlık bir likidasyon fırtınası başlattı. Şaşırtıcı bir şekilde, saldırganlar geleneksel kod açıklarını kullanmadı, bunun yerine platformun temel güvenlik mekanizmasını - gösterge fiyatı - bir silah haline getirdi.

Bu bir siber saldırı değil, sistem kurallarına yönelik bir "uyum saldırısı". Saldırganlar, platformun kamuya açık hesaplama mantığını ve risk kontrol mekanizmalarını kullanarak, hem piyasa hem de yatırımcılar için son derece yıkıcı bir "kod içermeyen saldırı" oluşturdu. Gösterge fiyatı, piyasanın "nötr ve güvenli" bir sembolü olarak işlev görmesi gerekirken, bu olayda bir kalkan yerine bir kılıç haline geldi.

Bu makale, altcoinlerin sürekli sözleşme pazarındaki gösterge fiyatı mekanizmasının sistematik risklerini derinlemesine analiz edecek ve bu saldırı olayını detaylı bir şekilde gözden geçirecektir. Bu olay, yalnızca oracle tasarımının yapısal zayıflığını ve yenilikçi likidite havuzunun çift taraflı kılıç özelliğini sergilemekle kalmayıp, aynı zamanda mevcut ana akım tasfiye mantığının aşırı piyasa koşullarında kullanıcı fonlarını koruma konusundaki içsel asimetrisini de açığa çıkarmıştır.

Sürekli Sözleşmelerin Temel Paradoksu: Sahte Güvenlik Hissi ile Gelen Tasfiye Mekanizması Eğimleri

gösterge fiyatı: Bir güvenli olduğu düşünülen konsensüs oyunu

Gösterge fiyatının temel ilkesi, "endeks fiyatı" etrafında inşa edilen üç değerli medyan mekanizmasıdır. Endeks fiyatı, bu varlığın fiyatını birden fazla önde gelen spot platformdaki ağırlıklı ortalama ile hesaplayarak, platformlar arası ve coğrafi olarak adil bir referans fiyat sağlamayı amaçlar.

Bir tipik gösterge fiyatı hesaplama yöntemi aşağıdaki gibidir:

Gösterge fiyatı = Medyan (Fiyat1, Fiyat2, Son İşlem Fiyatı)

Medyanın getirilmesinin temel amacı, aykırı değerleri ortadan kaldırmak ve fiyat istikrarını artırmaktır. Ancak bu tasarımın güvenliği, tamamen giriş verisi kaynaklarının yeterli sayıda, makul dağılıma sahip, yüksek likiditeye sahip ve işbirliği içinde manipüle edilmesi zor olduğu varsayımı üzerine kurulmuştur.

Ancak, gerçekte, çoğu altcoin'in spot piyasası son derece zayıftır. Bir kez saldırganlar birkaç düşük likidite platformunun fiyatını kontrol edebildiğinde, gösterge fiyatını "kirletebilir" ve kötü niyetli verileri formül aracılığıyla yasal olarak markalı fiyatlara enjekte edebilirler. Bu tür bir saldırı, minimum maliyetle büyük ölçekli kaldıraç tasfiyelerini tetikleyebilir ve zincirleme reaksiyonlara neden olabilir.

Başka bir deyişle, birleştirme mekanizmasının amacı riskleri dağıtmaktır, ancak likiditenin düşük olduğu piyasalarda, saldırganların kontrol edebileceği "merkezileşmiş zayıflıklar" oluşmaktadır. Türev ürün platformları kurallarının şeffaflığı ve öngörülebilirliğini ne kadar vurgularsa, saldırganlar o kadar "programatik olarak kuralları kullanabilmekte" ve uyumlu bir tahrip yolu inşa edebilmektedir.

Tasfiye motoru: platformun kalkanı, aynı zamanda da bıçağı

Piyasa fiyatı olumsuz bir yönde hızlı bir şekilde değiştiğinde, yatırımcıların teminatı kayıplar tarafından aşındırılacaktır. Kalan teminat "sürdürme teminat oranını" aştığında, tasfiye motoru devreye girecektir.

Bu süreçlerde en temel tetikleme standardı gösterge fiyatıdır, platformun kendisinin en son işlem fiyatı değil. Bu, mevcut piyasa işlem fiyatı likidasyon sınırınıza henüz ulaşmamış olsa bile, o "görünmez" gösterge fiyatı ulaştığında, likidasyonun hemen tetikleneceği anlamına gelir.

Dikkat edilmesi gereken bir diğer husus ise "zorunlu tasfiye" mekanizmasıdır. Birçok borsa, marj çağrısı riskini önlemek için daha temkinli tasfiye parametreleri kullanmaktadır. Zorunlu tasfiye tetiklendiğinde, tasfiye fiyatı gerçek zarar sıfırlama fiyatından daha iyi olsa bile, platform genellikle bu "zorunlu tasfiye fazlasını" iade etmez, bunun yerine doğrudan platformun sigorta fonuna aktarır. Bu durum, yatırımcıların "henüz marjım varken, neden erken tasfiye ediliyorum" gibi bir yanılsama yaşamalarına neden olur ve hesap doğrudan sıfırlanır.

Bu mekanizma, likiditesi düşük varlıklarda özellikle yaygındır. Platform, kendi riskini hedge etmek için likidasyon hattını daha temkinli ayarlayarak, fiyat dalgalanmaları sırasında pozisyonların "erken kapatılmasını" kolaylaştırır. Mantığı makul olsa da, sonuç, platform ile yatırımcılar arasında aşırı piyasa koşullarında çıkarların ince bir şekilde kaymasına neden olur.

Likidasyon motoru, tarafsız bir risk kontrol aracı olmalıydı, ancak kazanç mülkiyeti, parametre seçimi ve tetikleme mantığı açısından platformun kâr elde etme eğilimlerini gösteriyor.

gösterge fiyatı'nın geçersizliği, tasfiye motorunun bozulmasına neden olur.

Platformda kayıptan kaçınma eğilimi altında, gösterge fiyatı ve markalı fiyatın sert dalgalanması bu zorunlu tasfiye hattının önündeki ( ve sonrasındaki ) kaymasını daha da artırdı.

Gösterge fiyatı teorisi, çoklu kaynak verilerini ve medyan algoritmasını birleştirerek adil, manipülasyona dayanıklı bir fiyat referansı sunar. Bununla birlikte, bu teori, likiditesi bol ana varlıklara uygulandığında geçerli olabilir, ancak likiditesi düşük ve işlem yerlerinde yoğunlaşmış alternatif kripto paralara karşı karşıya geldiğinde, etkinliği ciddi bir meydan okumayla karşılaşacaktır.

Medyanın başarısızlığı: Veri kaynaklarının merkezileşmesi nedeniyle istatistiksel zorluk

• Büyük veri kümesindeki geçerlilik: Farz edelim ki bir fiyat endeksi 10 bağımsız, yüksek likiditeli veri kaynağı içeriyor. Eğer bu veri kaynaklarından biri bir nedenle aşırı bir teklif verirse, medyan algoritması bunu kolayca aykırı değer olarak tanıyıp görmezden gelebilir; böylece ortalama değeri nihai fiyat olarak alarak endeksin istikrarını korur.

• Küçük veri setlerindeki zayıflık: Şimdi, tipik bir altcoin senaryosunu ele alıyoruz.

• Üç veri kaynağı senaryosu: Eğer bir altcoinin gösterge fiyatı endeksi yalnızca üç borsa (A, B, C)'ün spot fiyatlarını içeriyorsa. Bu durumda, medyan üç fiyat arasında ortada olanıdır. Eğer kötü niyetli bir aktör aynı anda iki borsa (, örneğin A ve B)'nın fiyatlarını manipüle ederse, o zaman C'nin fiyatı ne kadar gerçekçi olursa olsun, medyan A ve B'nin manipüle edilmiş fiyatları tarafından belirlenecektir. Bu durumda, medyan algoritmasının koruma etkisi neredeyse sıfırdır.

• İki veri kaynağı senaryosu: Eğer gösterge fiyatı yalnızca iki veri kaynağını içeriyorsa, medyan matematiksel olarak iki fiyatın ortalaması ile eşdeğerdir. Bu durumda, algoritma anormal değerleri dışlama yeteneğini tamamen kaybeder. Herhangi bir veri kaynağındaki sert dalgalanmalar, gösterge fiyatına doğrudan ve kesintisiz şekilde iletilecektir.

Çoğu altcoin için, işlem derinliği ve listelendiği borsa sayısı oldukça sınırlıdır, bu da fiyat endekslerinin yukarıda bahsedilen "küçük veri seti" tuzağına düşmesini kolaylaştırır. Bu nedenle, borsaların iddia ettiği "çoklu kaynak endeksi" ile sağlanan güven duygusu, altcoin dünyasında çoğu zaman sadece bir yanılsamadır. Çoğu zaman, en son işlem fiyatı genellikle gösterge fiyatı ile eşdeğerdir.

Tahminci İkilemi: Spot Likidite Tükenmesi Silah Haline Geldi

Gösterge fiyatının temeli endeks fiyatıdır ve endeks fiyatının kaynağı ise oracle'dır. Hem CEX hem de DEX'te, oracle'lar zincir içi ve zincir dışı arasındaki bilgi iletim köprüsü rolünü üstlenir. Ancak, bu köprü kritik olmasına rağmen, likidite kıt olduğunda son derece kırılgandır.

oracle: zincir üzerindeki ve zincir altındaki zayıf köprüleri bağlar

Blok zinciri sistemleri esasen kapalı ve belirleyicidir, akıllı sözleşmeler dış veri kaynaklarına aktif olarak erişemez, örneğin varlıkların piyasa fiyatları. Fiyat oracle'ları ortaya çıkmıştır, bu bir ara katman sistemidir, güvenli ve güvenilir bir şekilde dış verileri zincir üzerine iletmekle sorumludur, akıllı sözleşmelerin çalışması için "gerçek dünya" bilgi girişi sağlar.

Sonsuz sözleşme ticaret platformları veya borç verme protokolleri gibi temel DeFi altyapılarında, oracle'ların sağladığı fiyat verileri neredeyse risk yönetimi mantığının temelini oluşturur. Ancak, sıkça göz ardı edilen bir gerçek şudur: "dürüst" bir oracle, rapor ettiği fiyatın "makul" olduğu anlamına gelmez. Oracle'ın görevi, gözlemleyebildiği dış dünya durumunu gerçeğe uygun bir şekilde kaydetmektir; fiyatın temel değerlerden sapıp sapmadığını yargılamak değildir. Bu özellik, iki tamamen farklı saldırı yolunu ortaya koyar:

• Oracle saldırısı: Saldırganlar, teknik yollarla oracle veri kaynaklarını veya protokollerini değiştirerek, yanlış fiyat bildirmesine neden olurlar.

• Piyasa manipülasyonu: Saldırganlar, dış piyasalarda gerçek işlemler yaparak fiyatları kasıtlı olarak yükseltir veya düşürürken, normal çalışan oracle'lar bu "manipüle edilmiş" piyasa fiyatını doğru bir şekilde kaydeder ve raporlar. Zincir üzerindeki protokol ihlal edilmemiştir, ancak "bilgi zehirlenmesi" nedeniyle beklenmedik tepkiler ortaya çıkmaktadır.

İkincisi, Mango Markets ve Jelly-My-Jelly olaylarının özüdür: kehanet cihazlarının hacklenmesi değil, "gözlem penceresinin" kirlenmesidir.

Saldırı Noktası: Likidite Açıkları Silah Haline Geldiğinde

Bu tür saldırıların özü, hedef varlığın nakit piyasasındaki likidite dezavantajını kullanmaktır. İnce ticarete sahip varlıklar için, küçük miktardaki emirler bile fiyat dalgalanmalarına neden olabilir ve bu da manipülatörlere fırsat sunar.

2022 Ekim'de Mango Markets'a yapılan saldırı "örnek" olarak nitelendirilebilir. Saldırgan Avraham Eisenberg, yönetim tokeni MNGO'nun aşırı likidite kıtlığını ( o dönemdeki günlük işlem hacminin 100.000 dolardan az olduğu ), yaklaşık 4 milyon doları birden fazla borsa üzerinde yoğunlaştırarak alım yaparak, MNGO fiyatını çok kısa bir sürede %2300'den fazla yükseltmeyi başardı. Bu "anormal fiyat" oracle tarafından tamamen kaydedildi ve zincir üzerindeki protokole beslenerek, borçlanma limitlerinin fırlamasına sebep oldu ve nihayetinde platformun tüm varlıklarını ( yaklaşık 116 milyon dolar ) "yasal olarak" boşaltmış oldu.

Saldırı Yolu Detayları: Protokol Savunmasını Beş Adımda Aşmak

1. Hedef Seçimi: Saldırganlar öncelikle hedef tokenleri süzgeçten geçirir, genellikle aşağıdaki koşullara sahip olur: belirli bir ana akım türev platformunda sürekli sözleşmeler yayınlanmış; oracle fiyatı birkaç bilinen, düşük likiditeye sahip spot borsalardan gelmektedir; günlük işlem hacmi düşük, emir defteri seyrek, kolayca manipüle edilebilir.

2. Sermaye Toplama: Çoğu saldırgan, "flash loan" aracılığıyla geçici devasa fonlar elde etmektedir. Bu mekanizma, tek bir işlemde varlıkların borç alınmasına ve geri ödenmesine olanak tanır, herhangi bir teminat gerektirmeden manipülasyon maliyetlerini önemli ölçüde azaltır.

3. Spot piyasa saldırısı: Saldırgan, çok kısa bir süre içinde, tüm oracle tarafından izlenen borsalarda senkronize olarak büyük miktarda alış emri verir. Bu emirler, satıcıların askıya aldığı emirleri hızla temizler ve fiyatı yüksek seviyelere iter - gerçek değerinden çok uzak.

4. Oracle kirliliği: Oracle, yukarıda manipüle edilen borsalardan fiyatları sadakatle okur; hatta medyan, ağırlıklı ortalama gibi dalgalanma önleyici mekanizmalar kullanılsa bile, aynı anda birden fazla kaynaktan yapılan manipülasyona karşı koymak zordur. Sonuç olarak elde edilen endeks fiyatı ciddi şekilde kirlenir.

5. Gösterge fiyatı enfeksiyonu: Kirli endeks fiyatı türev platformuna girer, gösterge fiyatı hesaplamasını etkiler. Likidasyon motoru risk aralığını yanlış değerlendirir, büyük ölçekli "likidasyon" tetikler, tüccarlar büyük kayıplar yaşar, saldırganlar ise ters pozisyon alarak veya borçlanma işlemleriyle arbitraj yapabilir.

Saldırganın "hareket kılavuzu": şeffaflığın çift taraflı kılıcı

CEX veya DEX protokolleri genellikle "açık kaynak ve şeffaflık" gibi erdemleri öne çıkararak, kullanıcı güvenini tesis etmek amacıyla oracle mekanizmaları, veri kaynaklarının ağırlığı, fiyat güncelleme sıklığı gibi detayları açıklamaktadır. Ancak, saldırganlar için bu bilgiler, saldırı planları oluşturmanın bir "kılavuzu" haline gelmektedir.

Bir ticaret platformunu örnek alırsak, oranın oracle mimarisi tüm veri kaynakları borsalarını ve bunların ağırlıklarını açıkça listelemektedir. Saldırganlar buna dayanarak, her en düşük likiditeye sahip borsaya ne kadar fon yatıracaklarını hassas bir şekilde hesaplayabilir, böylece nihai ağırlıklı endeksi maksimum ölçüde çarpıtabilirler. Bu tür bir "algoritma mühendisliği" saldırıları kontrol edilebilir, tahmin edilebilir ve maliyetler en aza indirilmiş hale getirir.

Matematik çok basit, ama insanlar çok karmaşık.

Av Sahası —— Bir Ticaret Platformunun Yapısal Risk Analizi

Saldırı prensiplerini anladıktan sonra, "saldırgan" şimdi uygulamak için uygun bir "saha" seçmelidir - bir ticaret platformu. Tahminciyi manipüle etmek yaygın bir saldırı yöntemi olmasına rağmen, "Jelly-My-Jelly" olayının bu platformda meydana gelmesi ve ciddi sonuçlar doğurmasının temel nedeni, bu platformun kendine özgü likidite yapısı ve tasfiye mekanizmasıdır. Kullanıcı deneyimini ve sermaye verimliliğini artırmayı amaçlayan bu tasarımlar, yenilikle dolu olsalar da, beklenmedik bir şekilde saldırganlara ideal bir "av alanı" sağlamıştır.

HLP Kasası: Demokratik Piyasa Yapıcılar ve Likidite Sağlayıcıları

Bir borsa platformunun temel yeniliklerinden biri, protokol tarafından merkezi olarak yönetilen ve çift işlevli bir fon havuzu olan HLP kasasıdır.

Öncelikle, HLP platformun aktif piyasa yapıcısı olarak görev yapar. Topluluk kullanıcılarının USDC'yi hazineye yatırmalarına, platformun otomatik piyasa yapma stratejisine katılmalarına ve kazanç( veya kayıpları) orantılı olarak paylaşmalarına olanak tanır. Bu "demokratik" piyasa yapma mekanizması, HLP'nin birçok likidite eksikliği çeken altcoin için sürekli alım satım panelleri sağlamasını mümkün kılar. Bu nedenle, JELLY gibi piyasa değeri düşük ve likiditesi son derece az olan token'lar bile bu platformda milyonlarca dolarlık kaldıraç pozisyonlarını destekleyebilir - ki bu geleneksel borsa için zor bir durumdur.

Ancak, bu tasarım değil