Polkadot'ta 1,38 milyon dolarlık XCM kaybı: DOT ve dotUSD sahipleri neyi kontrol etmeli?

Haber başlığındaki para kimin kaybı? Yaklaşık 1,381 milyon dolarlık tahmin, Asset Hub'daki DOT/dotUSD havuzunda kaybedilen DOT değerini anlatıyor. O sırada havuza yalnızca Hazine likidite sağlıyordu. Bu kapsamı çıkardığımızda haber, bütün DOT sahiplerinin hesaplarından para çekildiği gibi yanlış bir anlama dönüşebilir. İncelemede böyle bir tespit bulunmuyor.

PANews, 5 Kasım tarihli haberinde aynı tutarı, Hazine'nin tek likidite sağlayıcısı olduğunu ve sonraki düzeltmeleri aktardı. Kaynak: PANews haberi.

Odaily de yaklaşık 1,381 milyon dolarlık tutarı ve 24–26 Ekim aralığını haberleştirdi. İki haberin de dayanağı forumdaki inceleme. Aynı tutarın iki yayında görünmesi, birbirinden bağımsız iki zincir üstü zarar hesabı yapıldığı anlamına gelmiyor. Kaynak: Odaily haberi.

Asıl metin, kazancın kime gittiği konusunda da bir sınır çiziyor. Eldeki zincir üstü kanıtlar, XCM açığını kullanan kişinin sonraki arbitrajdan da kazandığını ortaya koymuyor. Bu yüzden tahmini havuz kaybını, kimliği belirlenmiş tek bir saldırganın kesin kazancı diye anlatmak doğru olmaz. Zararın ölçüsü ile kazanç sahibinin tespiti ayrı konular.

Bakiyeler değişmeden fiyat nasıl bozuldu? Açık, hesap bakiyeleri ile dotUSD'nin kayıtlardaki toplam arzı arasındaki ilişkiyi etkiledi. İncelemeye göre özel olarak hazırlanmış bir program hata verdiğinde hesaptan düşülen tutar geri alınıyor, fakat toplam arz kaydındaki azalma korunuyordu. Bu işlem tekrarlanarak hesapların dotUSD miktarı değişmeden kayıtlı arz azaltıldı.

Normalde toplam arz kaydının bütün hesap bakiyelerinin toplamına eşit olması bekleniyor. Bu ilişki bozulunca cüzdanındaki miktara bakan bir kullanıcı, havuz fiyatını etkileyen sorunu göremeyebiliyordu. Dolayısıyla bireysel bakiyelerin değişmemesi ile Hazine'nin likidite konumunda kayıp oluşması aynı incelemede birlikte yer alıyor.

Havuz, kullanılabilir dotUSD miktarını hesaplarken gerçek havuz bakiyesi ile kayıtlı arzın küçük olanını esas alıyordu. Arz kaydı havuz bakiyesinin altına düşünce fiyat bozuldu. Böylece dotUSD'yi yapay bir oranla DOT'a çevirmek mümkün oldu. İnceleme, bütün borsalardaki DOT bakiyelerinin yeniden yazıldığını söylemiyor.

İşlem yapacak kişi önce fiyatın nereden geldiğini belirlemeli. Cüzdandaki miktar, takas teklifi ve itfa ekranı farklı bilgileri gösterir. Eski bir fiyat farkını kullanmaya çalışmadan önce hangi havuzun ve hangi yolun söz konusu olduğunu kontrol edin. Ardından işlem yapmak istediğiniz gerçek miktar için yeni teklif alın.

Tam karşılık ile kullanılabilir kapasite farklı bilgiler İnceleme, dotUSD'nin olay boyunca tam karşılığının bulunduğunu söylüyor. Fiyat İstikrar Modülü'nün dotUSD ve USDT arasında bire bir oranla üretim ve itfayı desteklemeye devam ettiğini de belirtiyor. Aynı metinde, düşük kayıtlı arzın düzeltmeye kadar itfa kapasitesini kısıtladığı yazıyor.

Bu bilgileri birlikte okumak gerekiyor. Varlığın karşılığına ilişkin ifade, operasyonel kapasite sorununu ortadan kaldırmıyor. İtfa yapmak isteyen kişi, kullandığı yolun o anda gösterdiği koşulları ve kapasiteyi ayrıca incelemeli. Haberdeki oran, okuyucunun bugünkü işlemi için alınmış bir fiyat teklifi değil.

Açılan kaynaklar bütün borsaların dotUSD yatırmayı desteklediğini veya bugün her yolun açık olduğunu doğrulamıyor. Bu nedenle burada bire bir oran, olayın mekanizmasını açıklıyor. Her hesapta uygulanabilecek bir işlem ya da süresiz bir likidite sözü olarak kullanılmıyor.

Kod düzeltmesi neden yeterli olmadı? Açık Haziran 2026'da Parity'nin hata ödülü programına bildirildi. İncelemeye göre kod düzeltildi, fakat stable-2606 sürümünün son tarihine yetişmedi ve etkilenen üretim çalışma sürümlerinde yer almadı. Düzeltme daha sonra stable-2609 içine alındı. Başlangıçta orta olarak belirlenen önem derecesi olaydan sonra kritik seviyeye çıkarıldı.

Bir varlık sahibi için buradaki kontrol, düzeltmenin kodda bulunmasıyla ağ üzerinde etkinleşmesini ayrı tarihler olarak okumak. Geliştirme kaydı tek başına, belirli bir işlemin düzeltilmiş sürüm altında gerçekleştiğini kanıtlamıyor. Bunun için incelemedeki ağ yükseltmesi zaman çizelgesine bakmak gerekiyor.

Metin, 20 Ekim'de düzeltmeye atıf yapan açık bir forum yorumunun fark edildiğini de söylüyor. Parity, bunun saldırganlara yeterli bağlam sağlamış olabileceğini düşünüyor. Bu, olası bir ipucuna ilişkin değerlendirme. Yorumun saldırıya neden olduğu veya belirli bir kişinin saldırgan olduğu şeklinde kesinleştirilemez.

Müdahalenin sırası 24 Ekim'de ekosistem ortakları şüpheli etkinliği bildirdi. İncelemeye göre ekipler sorunu saatler içinde yeniden üretti. Snowfork kendi konsensüs aktarıcılarını durdurdu; bu, saldırganın yeni mesajlarını geciktirerek saldırıyı geçici olarak durdurdu.

XCM düzeltmesini içeren Runtime 2.5.1, 24 Ekim'de önerildi. Saldırgan 26 Ekim'de kendi aktarıcısını kullanarak devam edebildi. Bu, yükseltmenin zincirde uygulanmasından yaklaşık altı saat önceydi. Yükseltme sonrasında kalan havuz likiditesini kurtaran bir işlem yapıldı ve DOT/dotUSD havuzunda çok az likidite kaldı.

Runtime 2.5.2, 30 Ekim'de kabul edilip uygulandı. Mevcut hesap bakiyelerini kullanarak dotUSD'nin kayıtlı arzını düzeltti; bireysel bakiyeleri değiştirmedi. İnceleme, kurtarılan dotUSD'nin Hazine'ye döndüğünü söylüyor. Bu ifadeyi, DOT cinsinden hesaplanan kaybın bütünüyle geri alındığına ilişkin bir açıklama olarak sunmuyor.

Mesajlar Ethereum'dan Snowbridge üzerinden geldi. Buna karşılık metin, temel açığın XCM yürütücüsünde olduğunu ve köprü kullanılmadan da yeniden üretilebildiğini belirtiyor. Mesajın izlediği yolu, muhasebe hatasının bulunduğu bileşenle karıştırmamak gerekiyor.

Bugün transferden önce yapılacak kontroller Önce işleminizi tanımlayın: borsaya yatırma, borsadan çekme, havuzda takas veya dotUSD itfası mı? Varlığı, ağı ve hedefi aynı kayda yazın. Geçmiş olay incelemesi, belirli bir borsa hesabının bugünkü yatırma iznini doğrulayamaz.

OKX hesabında DOT tutuyorsanız, transfer başlatmadan önce o hesabın DOT yatırma veya çekme ekranında ağı ve mevcut durumu inceleyin. Bekleyen transferin referansını saklayın ve platformda görünen işlemle karşılaştırın. Bunlar okuyucunun yapacağı kontrollerdir; yolun şu anda açık veya kapalı olduğuna ilişkin bu makalede yapılmış bir tespit değildir.

Havuz takasında, incelemenin adını verdiği havuzu kontrol edip kullanacağınız miktar için güncel teklif alın. Kalan likiditenin kurtarıldığı bilgisi, olay öncesinden kalma ekran görüntüsünü kullanmamak için somut bir neden. İtfada ise o yolun gösterdiği kapasite ve koşulları ayrıca okuyun.

Pozisyon tasfiyeleri sayfası ve fonlama oranları sayfası farklı piyasa gözlemlerini gösterir. Bu makalede güncel DOT piyasa verisi açılmadığı için olayın fiyat hareketine veya tasfiye dalgasına neden olduğu ileri sürülmüyor. Doğrulanan kayıp, belirtilen havuz ve dönemle sınırlı.

Parity neyi değiştireceğini söylüyor? Parity, haziranda birleştirilen düzeltmenin etkilenen üretim çalışma zamanlarına ulaşmadığını ve dotUSD gibi yeni işlevler eklendikçe açığın olası etkisinin değiştiğini kabul ediyor. İncelemeye göre açık ilk başta orta önem derecesinde sınıflandırıldı; olaydan sonra kritik olarak yeniden sınıflandırıldı.

Açıklanan iyileştirmeler şunlar: güvenlik bulgularının yeni işlevlerle etkileşimini yeniden değerlendirmek, XCM hata senaryolarını daha kapsamlı test etmek ve düzeltmelerin dağıtılmış çalışma zamanlarına ulaştığını doğrulamak. İzleme tarafında, varlık arzındaki olağandışı değişikliklerin daha erken tespit edilmesi ve daha net olay müdahale prosedürleri hedefleniyor.

Bunlar açıklanmış planlar. İnceleme bir tamamlanma tarihi vermiyor ve tamamlanmış bir dış denetim sonucu sunmuyor. Varlık sahibi için izlenecek yeni bilgi, bu adımların uygulandığını gösteren tarihli kayıtlar olur.

Açık kalan Sorular Kaynaklar, XCM açığını kullanan tarafın doğrulanmış net kazancını vermiyor. Bu makalede güncel havuz derinliği ölçülmedi ve her borsanın DOT ya da dotUSD durumu kontrol edilmedi. Bu boşluklar nedeniyle bütün hizmetlerin yeniden çalıştığı sonucuna varılamaz.

5 Kasım'daki haber dolaşımı, Ekim ayındaki saldırıyı yeni bir olaya dönüştürmüyor. Yeni bir saldırı iddiası için yeni etkinliği anlatan tarihli bir kaynak gerekir. Mevcut inceleme ise geçmiş olayın kapsamını ve müdahale adımlarını açıklıyor.

Kullanıcıların cüzdan miktarı azaldı mı? İnceleme kullanıcıların fon kaybetmediğini, Hazine'nin tek likidite sağlayıcısı olduğunu söylüyor. İtfa kapasitesi kısıtını da aynı değerlendirmede korumak gerekiyor.

Geri dönen dotUSD bütün zararın karşılığı mı? Kaynak, geri dönen dotUSD ile tahmini DOT değer kaybını eşitlemiyor. Bunlar ayrı kalemler olarak okunmalı.

Bugünkü işlem için hangi yeni bilgi gerekli? Kullanılacak yolun güncel durumu, gerçek miktar için teklif ve bekleyen transfer hakkında hesaba özel yanıt. Tarihsel yükseltme kaydı bu bilgilerin yerine geçmiyor.