Arkadiko Finans Saldırısı: Bir DAO Yönetim Saldırısı Nasıl $1.09M Boşalttı?

Arkadiko Finance istismarı 22 Ekim 2026'da, bir saldırganın bir DAO oylaması manipüle etmesi sonucunda merkeziyetsiz yönetişimde ciddi bir zayıflığı ortaya çıkardı.

Olay, yaklaşık 1,09 milyon dolarlık kayba, stSTX ve sBTC teminatının çalınmasına ve USDA stablecoin'in değerinde keskin bir düşüşe yol açtı. Geleneksel akıllı sözleşme saldırılarının aksine, saldırgan Arkadiko'nun meşru yönetişim sürecini kötü niyetli kodu yetkilendirmek için kullandı.

Saldırının nasıl geliştiğini, mevcut güvenlik önlemlerinin neden başarısız olduğunu ve olayın DeFi güvenliği ve toparlanması için ne anlama geldiğini inceleyeceğiz.

Anahtar Noktalar

• Arkadiko Finance istismarı 22 Ekim 2026'da, bir saldırganın 12 No'lu Teklif'i kullanarak kötü niyetli bir sözleşmeyi yetkilendirmesi ve yaklaşık 1,09 milyon dolarlık varlık boşaltmasıyla gerçekleşti.
• Saldırgan, 4,57 milyon DIKO yönetişim oyunu kontrol etti, stSTX ve sBTC teminatını çekti ve yaklaşık 1,5 milyar teminatsız USDA token'ı mintleyerek bir stablecoin depeg'ini tetikledi.
• Arkadiko, ardından kötü niyetli sözleşmeyi devre dışı bıraktı, etkilenen vault teminatını yeniden doldurdu ve meşru vault işlemlerini geri getirdi, ancak bu önlemler tam finansal toparlanmayı sağlamadı veya USDA'nın peşini tekrar geri getirmedi.

Arkadiko Finance İstismarı'nda Ne Oldu?

(görüntü kaynağı: bitquery.com)

Arkadiko kripto saldırısı, Stacks'te faaliyet gösteren merkeziyetsiz bir kredi ve stablecoin protokolü olan Arkadiko Finance'a yönelik bir yönetişim ele geçirimi olarak ortaya çıktı.

Arkadiko, kullanıcıların kripto para birimini teminatlı vaultlara yatırmasına ve kendisine bağlı olan USDA, dolar pejeli stablecoin'i borç almasına olanak tanır. DIKO token'ı yönetişim hakları sağlar, sahiplerinin protokol işlemlerini değiştiren teklifleri onaylamalarını sağlar.

22 Ekim'de, bir saldırgan bu karar verme sistemini, kötü niyetli bir vault işlemleri sözleşmesi getiren 12 No'lu Teklif'i geçerek istismar etti. Onaylanan sözleşme, teminatı aktarma ve USDA mintleme yetkisi olmadan işlevler içeriyordu.

Bitquery ve BlockintAI tarafından gerçekleştirilen blockchain araştırmaları, olayı Stacks blockchain konsensüsünün bir ihlali yerine bir yönetişim saldırısı olarak tanımladı. Saldırganın bir yöneticinin özel anahtarını çalması gerekmedi. Bunun yerine, yönetişim mekanizması, kötü niyetli sözleşmeye hassas protokol işlemleri üzerinde yetki verdi.

Arkadiko Yönetişim Saldırısı Nasıl Çalıştı?

Arkadiko yönetişim istismarı birkaç gün boyunca gelişti, başlangıçta görünüşte meşru bir protokol yükseltme teklifinin yapılmasıyla başladı ve teminatın hızlı bir şekilde çıkarılmasıyla sona erdi.

1. Kötü Niyetli Bir Teklif Gönderildi

17 Ekim 2026'da, bir saldırgan tarafından kontrol edilen cüzdan, "AIP 32 - Ödül Dağıtımı için Vault İşlemleri Güncellemesi" başlıklı 12 No'lu Teklif'i sundu. Teklif, ödül dağıtımına dair rutin bir iyileştirme tanımlaması yapıyordu.

Ancak, "arkadiko-vaults-operations-v2-1" adı verilen ek sözleşme, vault teminatını taşımaya ve yeterli erişim kısıtlamaları olmadan USDA yaratmaya uygun işlevler tanıttı. Teklif, bu sözleşmeyi Arkadiko'nun yetkili vault işlemleri bileşeni olarak kaydetmeyi amaçlıyordu.

2. Saldırgan DIKO Oy Gücünü Elde Etti

Arkadiko'nun yönetişim kuralları, bir teklifi onaylamak için yeterli DIKO katılımını gerektiriyordu. Zincir içi araştırmalara göre, saldırgan yaklaşık 4,573,197 DIKO topladı, bunların yaklaşık 3,39 milyon DIKO'sunu oylama öncesinde satın aldı.

Bitquery, oy-token alımlarının yaklaşık 51,000 dolar maliyetinde olduğunu tahmin etti. Saldırgan, 22 Ekim'de oy kullandı. Karşıt oy kaydedilmedi, bu da teklifin gerekli onay koşullarını sağlamasına izin verdi.

3. Teklif 12 Vault Kontrolünü Verdi

22 Ekim'de UTC ile yaklaşık 16:04'te, teklif gerçekleşti. Yönetişim süreci kötü niyetli sözleşmeyi yetkili vault işlemleri bileşeni olarak kaydetti.

Kritik olarak, sistem, başarılı yönetişim yürütmesi ile sözleşmenin yeni yetkilerini alması arasında ayrı bir bekleme süresi getirmedi. Bu da demektir ki, saldırgan DAO oylaması üzerinden onaylanan işlevleri hemen kullanabiliyordu.

4. Saldırgan Teminatı Çekti ve USDA Mintledi

Gerçekleşmenin üzerinden birkaç dakika içinde, saldırgan kötü niyetli sözleşmeyi kullanarak teminatı çekti ve teminatsız USDA mintledi. Zincir içi araştırmalar, vault havuzundan yaklaşık 2,07 milyon stSTX ve 1,65 sBTC çekildiğini belirledi.

Saldırgan ayrıca yetkisiz bir ihraç ile yaklaşık 1,5 milyar USDA mintledi. Bu yeni oluşturulan token'ların bir kısmı diğer varlıklarla takas edildi ve Arkadiko'nun likidite havuzlarından ek değer çekildi.

5. Çalınan Varlıklar Ağlar Arası Taşındı

İstismardan sonra, saldırgan varlıkları birden fazla blockchain ağı üzerinden dönüştürdü ve transfer etti. Bitquery, STX, Bitcoin, USDCx, Ethereum ve Tornado Cash ile ilgili transferleri izledi.

Araştırması, Bitcoin'e transfer edilen yaklaşık 4,86 BTC ve sonrasında Tornado Cash'e yatırılan yaklaşık 213.3 ETH belirledi. Bu işlemler, zincirler arası transferlerin ve varlık dönüşümlerinin çalınan kripto paraları izleme ve kurtarma çabalarını nasıl karmaşıklaştırabileceğini göstermektedir.

Arkadiko Hack'inde Ne Kadar Kayıp Olundu?

Bitquery, Arkadiko Finance istismarının, olayın etrafındaki varlık değerleri kullanılarak yaklaşık 1,09 milyon dolarlık kayba yol açtığını tahmin etti. Tahmin edilen kayıplar, teminat çekimleri ve likidite havuzu işlemleri arasında dağıtıldı.

Saldırgan ayrıca yaklaşık 1,5 milyar USDA mintledi, ancak bu rakam çalınan fonlar olarak 1,5 milyar dolar olarak yorumlanmamalıdır. Yetkisiz USDA arzının çoğu daha sonra dolaşıma girmeden yakıldı.

Ekonomik kayıp hesaplaması, alınan gerçek teminatı ve takaslar yoluyla çıkarılan varlıkları içermektedir. Bazı araştırmalarda ortaya çıkan daha geniş 1.16 milyon $'lık tahmin, Arkadiko'nun doğrudan kayıplarından ayırt edilmesi gereken StackSwap ile ilgili olayları içermektedir.

USDA Neden Dolar Paritesini Kaybetti?

USDA, istismar teminat desteğini ve geri ödeme mekanizmalarına olan güveni zedelediği için dolar paritesini kaybetti. USDA, teminatlı borçlanma ve geri ödeme teşvikleri yoluyla 1 $ civarında bir değer korumak üzere tasarlanmıştır.

Normal koşullar altında, kullanıcılar protokolün geri ödeme mekanizması aracılığıyla USDA'yı teminat değerinde değiştirebilir, bu da piyasa sapmalarını düzeltmeye yardımcı olur. Yönetim saldırısı bu ilişkiyi iki şekilde bozdu.

İlk olarak, saldırgan vault sisteminden önemli bir teminat çıkardı. İkincisi, yetkisiz USDA ihracı, mevcut likidite için potansiyel olarak rekabet eden token miktarını artırdı. Saldırgan, yeni basılan USDA'nın bir kısmını satmış ve daha fazla satış baskısı eklemiştir.

Bitquery, bazı saldırganla ilgili USDA satışlarının olay sırasında token başına yaklaşık 0.13 $ civarında gerçekleştiğini bildirdi. Arkadiko, daha sonra yetkisiz ihracın %99'unundan fazlasını yaktı, ancak tokenların yanması otomatik olarak çalınan teminatı geri iade etmedi veya normal geri ödeme işlevselliğini geri getirmedi.

Bu nedenle, USDA fiyat çöküşü, yalnızca sıradan kripto para volatilitesi değil, aynı zamanda temel bir güven ve teminat krizini yansıtmaktadır.

Arkadiko Finans Kurtarma Planları ve Vault Kontrolünün Restorasyonu

(görüntü kaynağı: daemontechnologies.co)

Arkadiko'nun ilk tepkisi, daha fazla yetkisiz etkinliği durdurmaya ve teminat eksikliğini gidermeye odaklandı. İstismardan sonra ekip,  kötü niyetli sözleşmeyi, yönetimi durdurmayı ve geri ödemeleri ve tasfiyeleri askıya almayı rapor etti.

Protokol ayrıca, potansiyel olarak çalınan fonlar hakkında borsalarla iletişime geçtiğini ve kolluk kuvvetlerinden yardım talep ettiğini bildirdi.

Teminat Yenileme ve Vault Erişimi

25 Ekim güncellemesinde Arkadiko, etkilenen vault sözleşmelerine ek teminatın yatırıldığını belirtti. Bu güncellemelere göre, vault'lar çekimler için yeterli teminata sahipti ve kullanıcılar borçlarını geri ödeyebilirdi.

Ancak, USDA geri ödemeleri askıda kalmaya devam etti ve ekip, o sırada USDA'nın 0.30 $ civarında işlem gördüğünü bildirdi. Bu ayrım önemlidir çünkü protokol kaynakları kullanarak vault teminatını yenilemek otomatik olarak saldırganın çalınan varlıkları geri getirdiği anlamına gelmez.

Teklif 14 Geçerli Vault İşlemlerini Geri Getirdi

27 Ekim 2026'da Arkadiko yönetimi "AIP 32.2 - Vault İşlemlerini Geri Getir" başlıklı Teklif 14'ü yürürlüğe koydu. Teklif, yetkili vault işlemleri bileşeni olarak geçerli arkadiko-vaults-operations-v1-3 sözleşmesini geri getirdi.

Bu yönetim kararı, Teklif 12 aracılığıyla tanıtılan kötü niyetli sözleşme kaydını tersine çevirdi. Ancak, sözleşme kontrolünün geri getirilmesi, USDA'nın tekrar paritesini kazandığını veya etkilenen her katılımcının tazminat aldığını bağımsız olarak kurmamaktadır.

3 Kasım itibarıyla, halka açık olarak incelenen bilgiler çalınan varlıkların tam olarak geri alındığını veya USDA geri ödemelerinin tamamen normalleştiğini belirlemedi.

Arkadiko Güvenlik Modülü Kayıpları Karşıladı mı?

Arkadiko'nun belgeleri, protokol kötü borcuna karşı sınırlı koruma sağlamayı amaçlayan bir Güvenlik Modülü tanımlamaktadır. Belgeye göre, modülde stake edilen DIKO tokenlarının %30'una kadar olan miktar, yönetim onaylı eylemlerle nitelikli kayıpları karşılamak için kullanılabilir.

Ancak, bu mekanizmanın varlığı tazminat garantisi vermez. Ne zaman etkinleştirilebileceği, sağladığı değer miktarı ve yönetimin bu olay için kullanımını onaylayıp onaylamayacağı ayrı bir doğrulama gerektirir.

İstismar Arkadiko TVL'yi ve Stacks Ekosistemini Nasıl Etkiledi?

Saldırı, Arkadiko'nun toplam değerinin, ya da TVL'nin, DeFi protokolü akıllı sözleşmeleri içerisinde tutulan varlıkları ölçen belirgin bir azalmasına neden oldu.DeFi protokolünün akıllı sözleşmeleri. DefiLlama'nın tarihi verilerine göre, Arkadiko'nun TVL'si 22 Ekim'de yaklaşık 1.43 milyon $'dan 23 Ekim'de 141,585 $'a düştü ve bu, yaklaşık %90'lık bir düşüşü temsil etmektedir.

25 Ekim itibarıyla, izlenen değer yaklaşık 131,714 $'a düşmüştü. Ardışık teminat yenileme, rapor edilen TVL'yi artırmış olmasına rağmen, bu değişiklikler yalnızca kullanıcı güveninin veya protokol işlevselliğinin tam geri dönüşünü göstermemektedir.

Arkadiko ve StackSwap Arasındaki Bağlantı

Araştırmacılar ayrıca Stacks üzerinde faaliyet gösteren başka bir merkeziyetsiz borsa olan StackSwap'a yönelik ilgili bir yönetim saldırısı tespit etti. StackSwap olayı, saldırganla ilişkilendirilen cüzdanların likidite havuzları üzerinde kontrol kazanmak için yanıltıcı bir yükseltme önerisi kullanarak gerçekleşti.

Bitquery, iki StackSwap yönetim ele geçirmesinden toplamda yaklaşık 70,500 $'lık kayıplar üzerinde bir tahminde bulundu. Bir ele geçirme, cüzdan finansmanı ve varlık transferleri yoluyla sonraki Arkadiko saldırısına bağlandı.

Araştırmacılar, ayrı StackSwap olaylarına karışan her cüzdanın aynı saldırgana ait olduğunu belirlemedi. Bu olaylar, temel Stacks ağının bir tehlikede olduğunu göstermeden, tekil uygulama yönetim sistemlerindeki zayıflıkları ortaya çıkardı.

Arkadiko İstismarı, DAO Yönetim Güvenliği Hakkında Ne Gösteriyor?

Arkadiko Finans istismarı, merkeziyetsiz oylamanın otomatik olarak güvenli karar verme garantisi vermediğini göstermektedir. Bir yönetim önerisi, teknik oylama gereksinimlerini karşılayabilirken zararlı akıllı sözleşme davranışlarını yetkilendirebilir. Bu olaya katkıda bulunan birkaç zayıflık bulunmaktadır:

• Yoğunlaşmış oylama gücü: Bir saldırgan, anlamlı bir muhalefet olmadan sonuç doğuran bir öneriyi geçirecek kadar DIKO aldı.
• Sınırlı oylama katılımı: Teklif 12, yürürlüğe girmeden önce hiçbir muhalefet oyu tarafından sorgulanmadı.
• Yetersiz sözleşme korumaları: Onaylanan sözleşme, uygun çağrı yetkilendirmesini içermeyen işlevler içeriyordu.
• Ayrı yürütme gecikmesi yok: Saldırgan, teklif yürürlüğe girdikten hemen sonra yeni yetkilendirilmiş sözleşmeyi kullanabiliyordu.
• Zayıf yönetim incelemesi: Bir rutin güncelleme olarak sunulan bir öneri, varlık yönetimi ve mintleme izinlerinde son derece hassas değişiklikler getirdi.

DeFi protokolleri için, olası güvenlik önlemleri tarihsel oy gücü anlık görüntüleri, zaman kilitleri, bağımsız öneri incelemeleri, kısıtlı sözleşme izinleri ve aktif yönetişim izlemeyi içerebilir.

Bu kontroller belirli saldırı fırsatlarını azaltır ancak her potansiyel zafiyeti ortadan kaldıramaz. Kullanıcılar için, bir DeFi projesinin güvenliğini değerlendirmek, yalnızca akıllı sözleşme denetimlerine güvenmek yerine yönetişim yoğunluğunu, güncelleme süreçlerini, likidite koşullarını ve olay yanıtlama yeteneklerini değerlendirmek anlamına gelir.

Sonuç

Arkadiko Finance istismarı, meşru bir DAO oylama sisteminin, yönetişim yetkisi yetersiz şekilde kısıtlandığında nasıl bir saldırı vektörü haline gelebileceğini göstermektedir. 22 Ekim olayında yaklaşık 1.09 milyon dolarlık kayıplara yol açtı, USDA'nın dolar paritesini bozdu ve sözleşme yetkilendirmesi ile yönetişim katılımındaki zayıflıkları açığa çıkardı.

Arkadiko'nun sonraki eylemleri meşru kasanın kontrolünü yeniden sağladı ve etkilenen teminatı yeniledi, ancak sözleşme kurtarma ve finansal kurtarma ayrı sonuçlardır.

Kullanıcılar, Arkadiko veya benzeri DeFi protokolleri ile etkileşime girmeden önce güncel geri ödeme erişilebilirliğini, stabilcoin likiditesini, yönetişim korumalarını ve resmi kurtarma duyurularını doğrulamalıdır.

Kriptopara piyasalarını izlemekle ilgilenen okuyucular Bitrue Borsası’nı keşfedebilirler, ayrıca ek blok zincir güvenlik güncellemeleri ve eğitim kaynakları Bitrue Blogu aracılığıyla mevcuttur.

SSS

Arkadiko Finance istismarına ne sebep oldu?

Arkadiko Finance istismarı, bir saldırgana DAO yönetişimini kullanarak kötü niyetli bir kasa işlemleri sözleşmesini yetkilendiren bir saldırgan tarafından gerçekleştirildi. Öneri 12, saldırgan kontrolündeki DIKO oylarıyla geçti ve sözleşmeye teminat yönetimi ve USDA mintleme işlevlerine erişim verdi.

Arkadiko'dan ne kadar kriptopara çalındı?

Bitquery, 22 Ekim 2026 tarihindeki olay sırasında yaklaşık 1.09 milyon dolarlık varlığın kaybolduğunu tahmin etti. Etkilenen varlıklar, yetkisiz USDA ihraçları içeren takaslar yoluyla elde edilen stSTX, sBTC ve STX'i içeriyordu.

Arkadiko hack'inden sonra USDA neden paritesini kaybetti?

Saldırgan, destekleyici teminatı boşaltıp büyük miktarda teminatsız tokenlar mintlediği için USDA, paritesini kaybetti. Ortaya çıkan satış baskısı, özümleme işlevselliğini etkiledi ve teminat erişilebilirliği konusundaki belirsizlik, piyasa güvenini sarstı.

Arkadiko yönetişim oyu kasa kontrolünü yeniden sağladı mı?

Evet. 27 Ekim 2026'da, Öneri 14, Arkadiko'nun meşru kasa işlemleri sözleşmesini yeniden sağladı. Ancak, bu yönetişim değişikliği, çalınan varlıkları geri kazanmaya ya da USDA geri ödemelerinin ve fiyatlamalarının normale dönüp dönmediğini garanti etmedi.

Arkadiko Finance, istismardan tamamen kurtuldu mu?

Tam bir kurtarma, 3 Kasım 2026 itibariyle bağımsız olarak kurulmamıştı. Arkadiko, kasa teminatını yenilediğini ve meşru sözleşme kontrolünü yeniden sağladığını bildirdi, ancak tam çalınan varlık geri kazanımı, USDA parite restorasyonu ve kapsamlı tazminat halen çözümsüz veya yetersiz bir şekilde doğrulanmıştı.

Açıklama: İfade edilen görüşler yalnızca yazara aittir ve bu platformun görüşlerini yansıtmaz. Bu platform ve iştirakleri, sağlanan bilgilerin doğruluğu veya uygunluğu konusunda herhangi bir sorumluluk kabul etmez. Bu bilgiler yalnızca bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak düşünülmemektedir.