MakerDAO'nun eski bir keeper sözleşmesinde tespit edilen erişim kontrolü eksikliği nedeniyle 200 ETH (CertiK analiziyle 542.982 dolar) saldırganlar tarafından çekildi. Olayın 2020 Black Thursday tasfiyelerine dayandığı belirtilirken, varlıkların Tornado Cash üzerinden aktarıldığı bildirildi.
Merkeziyetsiz finans (DeFi) ekosisteminin köklü protokollerinden MakerDAO'nun eski bir keeper (otomatik işlem yürütücü) sözleşmesi hedef alındı. Güvenlik firması CertiK'in raporuna, ayrıca Odaily Planet Daily ve KuCoin kaynaklı bilgilere göre, 6 Ekim 2026 tarihinde gerçekleşen istismarda 200 adet Ethereum (ETH) yetkisiz bir şekilde çekildi.
Olay, UTC saatine göre 6 Ekim 2026 sabahı saat 06:13:11'de gerçekleşti. CertiK, saldırının temel sebebinin keeper uygulama sözleşmesinde yer alan 0x8804d1de tanımlı fonksiyonda erişim kontrolünün bulunmaması olduğunu belirtti. Söz konusu eksiklik, saldırganın herhangi bir yetkilendirme doğrulamasına takılmadan fonksiyonu tetiklemesine ve sözleşmede kalan varlıkları dışarı aktarmasına olanak tanıdı.
Değer Uyumsuzluğu ve CertiK'in Netleştirmesi
Saldırı anında çekilen 200 ETH'nin piyasa değeri konusunda bazı veri uyumsuzlukları da raporlara yansıdı. KuCoin kaynaklı ilk değerlendirmelerde rakamın 500 bin doların üzerinde olduğu belirtilirken, bazı metinlerde tutarın 5 milyon doları aştığı öne sürüldü. Ancak CertiK’in resmi analizi, exploit anındaki varlık değerini 542.982 dolar olarak netleştirdi.
2020 Kara Perşembe Mirası
Çalınan fonların kökeni, DeFi tarihinin en kritik krizlerinden birine dayanıyor. Sözleşme, Mart 2020'de piyasaları sarsan ve 'Black Thursday' (Kara Perşembe) olarak bilinen çöküş sırasında MakerDAO'nun tasfiye subastalarında görev almıştı. O dönem keeper, sıfır tekliflerle ETH kazanmış; raporlara göre, tasfiye süreçlerinden arta kalan ve her biri 50 ETH değerinde olan dört teklif pozisyonu likide edilmeden sözleşmede kalmıştı. Yıllarca bu eski altyapıda bekleyen toplam 200 ETH, söz konusu güvenlik açığı sayesinde saldırganlar tarafından hedef alındı.
Uzmanlar, yaşanan bu olayın güncel MakerDAO veya Sky ekosistemini doğrudan etkilemediğinin altını çiziyor. Hedef alınan bileşen, protokolün eski mimarisine ait 'legacy' (miras) bir sözleşme niteliği taşıyor ve güncel sistem operasyonlarında yer almıyor. Dolayısıyla mevcut akıllı sözleşmelerin bu açıktan etkilenmediği teyit edildi.
Tornado Cash Üzerinden Transferler
Saldırganın izi, varlıkların transfer güzergahı üzerinden takip edildi. CertiK raporlarına göre, çalınan ETH varlıkları gizlilik protokolü Tornado Cash aracılığıyla her seferinde 10 ETH'lik parçalar halinde aktarıldı. Olayın ardından saldırganın kimliği tespit edilemezken, çalınan varlıkların geri alınmasına yönelik resmi bir kurtarma operasyonu duyurulmadı.
Eski Sözleşmeler İçin Güvenlik Uyarısı
Buna karşın CertiK, benzer şekilde eski altyapılarda veya kullanılmayan sözleşmelerde unutulmuş fonların hâlâ barınıyor olabileceğine dikkat çekerek ekosisteme bir uyarı yayımladı. Protokollerin kullanımdan kaldırdığı ancak varlık tutmaya devam eden eski sözleşmelerin potansiyel riskler barındırdığı vurgulanırken, benzer diğer eski sözleşmelerin somut olarak tehlikede olup olmadığı ise belirsizliğini koruyor.
