Compound Vakfı emanete ihanet mi etti?

Yazar: Eric, Foresight News

28 Eylül'de, "Vakıf v2 DAI Rezervlerini Kötüye Kullandı" başlıklı bir gönderi Compound yönetişim forumunda yayınlandı.

Yazar ugurmersin, Compound Vakfı'nı yönetişim yetkisini ihlal etmekle, DAO tarafından emanet edilen 8,42 milyon DAI rezervini yönetişim tokeni COMP'a dönüştürmekle ve kritik bir teklifin oylama süresinin dolmasına 58 dakika kala oy haklarını vakfın kendi adresine devrederek toplam 52 milyon dolarlık V4 planını ve hazine yönetiminin devrini zorlamakla suçladı. Gönderi, eksiksiz zincir üstü işlem kayıtları içeriyor, sert bir dille yazılmış ve yasal yollara başvurmak üzere kanıtların saklandığını ima ediyor.

Yazarın doğrulamasına göre, gönderide açıklanan fon akışı büyük ölçüde doğru. Sorunun ortaya çıkmasının ardından COMP yalnızca yaklaşık %1'lik küçük bir düşüş yaşadı, bugün saat 11:00'de toparlanmaya başladı ve bu yazının yazıldığı sırada COMP fiyatı 24,55 dolar olup dünkü tüm kayıplarını geri kazanmış durumda.

10 Mart'ta, DAI'yi tutan vakfın 0x0F51 ile başlayan çoklu imza adresi, 8,42 milyon DAI'yi Spark PSM aracılığıyla 1:1 oranında eşit miktarda USDC'ye dönüştürdükten sonra Compound v3 USDC piyasasına yatırdı;

11-12 Mart tarihlerinde Compound Vakfı, OTC üzerinden yaklaşık 430.000 USDC harcayarak 25.000 COMP satın aldı. 9, 15 ve 25 Nisan'da: 7.988 milyon USDC üç işlemde v3'ten çekilerek 0xfb20 ile başlayan bir ara cüzdana aktarıldı ve ardından milyon dolarlık birimler halinde bir Binance para yatırma hesabına aktı;

Daha sonra, 0xb03e ile başlayan adres, Binance sıcak cüzdanından ve Wintermute adresinden toplamda yaklaşık 420.000 COMP çekti. 5 Mayıs'ta, 344.780 COMP, 0x729d ile başlayan bir ara adres üzerinden vakfın çoklu imza adresine geri döndü.

Üçüncü taraf veri sağlayıcısı Bitquery'nin bağımsız doğrulaması, bu DAI'lerin gerçekten USDC'ye dönüştürüldüğünü, bir alım satım masası aracılığıyla Binance'e aktığını, yaklaşık 345.000 COMP'un daha sonra borsadan çekilerek vakfın yönettiği çoklu imza cüzdanına geri döndüğünü ve varış zamanının teklif anlık görüntüsünden bir saatten az bir süre önce olduğunu, oy haklarının da zaten vakfın halka açık oylama adresine devredilmiş olduğunu doğruladı. Vakıf daha sonra işlemleri kabul eden bir açıklama yaptı, ancak bunun orijinal teklifte yönetişimin yürütülmesi için gereken COMP rezervlerini koruma yetkisi kapsamında olduğunu, varlıkların hâlâ DAO'ya ait olduğunu ve vakfın kendi harcamaları için kullanılmadığını savundu.

Hikâye burada bitseydi, bu bir mütevellinin yetkisini aşmasına dair tipik bir vaka gibi görünürdü. Ancak Bitquery'nin doğrulaması aynı zamanda gönderinin diğer yüzünü de ortaya çıkardı. Gönderiden beş gün önce, aynı yazar forumdaki başka bir gönderide şu cümleyi yazmıştı: "Buradaki herkes biliyor ki Humpy oylarını bana devrediyor." Bu cümle olayın doğasını tamamen değiştirdi.

Humpy, DeFi alanındaki en tartışmalı büyük yatırımcılardan biridir. 2022'de Balancer'da büyük miktarda oy ağırlığı biriktirerek yönetişim kontrolünü ele geçirdi ve yaklaşık bir yıl süren mücadelenin ardından bir uzlaşma anlaşması imzalamak zorunda kaldı. Mart 2024'te SushiSwap başkanı, onu token emisyonlarını kendi likidite havuzlarına yönlendirmeye çalışmakla açıkça suçladı. Aynı yılın Temmuz ayında, liderliğini yaptığı Golden Boys grubu, üç denemenin ardından Compound'un 289 numaralı teklifini geçirmeyi başardı ve 24 milyon dolar değerindeki hazine COMP'unu kendi kontrolündeki getiri ürünlerine aktarmaya çalıştı; bu, topluluk tarafından yaygın olarak bir yönetişim saldırısı olarak nitelendirildi ve sonunda teklif yürütme gecikmesinin artırılması ve bir staking ürünü kurulmasını içeren bir uzlaşmayla sonuçlandı. OpenZeppelin, Wintermute ve diğer güvenlik tarafları o dönemde bunu protokole yönelik yağmacı bir saldırı olarak tanımladı.

Zincir üstü kayıtlar, Mayıs 2026'dan sonra Humpy ile ilişkili adres kümelerinin yeniden aktif hale geldiğini gösteriyor.

Bitquery, toplamda yaklaşık 1,61 milyon oy hakkına sahip 33 cüzdanı takip etti; bu COMP token'ları Mayıs ile Eylül ayları arasında kademeli olarak tek bir adreste toplandı ve oy hakları bu adres tarafından birleşik olarak kullanıldı. 14 Eylül'de, yaklaşık 25.000 oyluk bir devir işlemi bu adresin teklif sunma eşiğini aşmasını sağladı. Beş gün sonra, 608 numaralı teklif zincire eklendi; içeriği, yeni bir kurumsal borç verme piyasasının kontrolünün DAO yönetişimine devredilmesiydi ve bu teklif bizzat ugurmersin tarafından 9 Eylül'de forumda taslak olarak hazırlanmıştı. İlişkili küme, 1,77 milyon oyla teklifin geçmesini sağladı; vakıf karşı oy kullandı ancak engelleyemedi. Hemen ardından gelen 609 numaralı rutin teklif ise aynı oy bloğu tarafından reddedildi.

Bu durum olayın seyrini tersine çevirdi. Vakfın rezervlerle satın aldığı COMP, 580 ve 582 numaralı teklifleri matematiksel olarak bu kümenin potansiyel karşı oylarını etkisiz hale getirdi; bu token'lar olmasaydı, kümenin o sırada sahip olduğu oy sayısı teklifleri bozabilirdi. Başka bir deyişle, bu tartışmalı satın alma, fiili etkisi bakımından tam olarak gönderiyi yazan kişiyle ilişkili güce karşı bir savunmaydı. Suçlama gönderisi yayınlandığında, bu küme kendi teklifiyle başarılı bir güç genişlemesi gerçekleştirmiş ve ilk kez başkalarının tekliflerini veto etme yeteneğini göstermişti.

Compound'un son altı aydaki temel görevi, kurumsal kredi altyapısı, RWA desteği, sermaye verimliliği artışı, tasfiye mekanizması yükseltmeleri ve iş ortağı entegrasyon araçlarına odaklanan v4 sürümünü geliştirmekti. Bu tartışmaya neden olan teklif, v2 sürümünün kullanımdan kaldırılmasının ardından piyasada kalan rezervlerin yönetimini vakfa devreden rutin bir teklifti.

Mayıs ayında Compound, Compound DAO'nun neredeyse tüm hazine varlıklarını yönetmekle sorumlu bir "Hazine Yönetim Komitesi" kurdu. Bu komite, çoklu imza ile kontrol edilen bir komite olup hazine fonlarını profesyonel varlık yöneticilerine (RFP ihalesi yoluyla) tahsis ederek sağlam varlık yönetimi gerçekleştirir.

Vakfın kullanımdan kaldırılmış bir sürümün kalan fonlarını kullanması, özünde protokolün "büyük planı" olan v4 sürümünün geliştirilmesinin sorunsuz ilerlemesini sağlamak için yapılan savunmacı bir operasyondu. Öte yandan, Compound'un hamlesi, DAO yönetişimindeki mevcut büyük bir eğilime de uyuyor: fon yönetim yetkisinin kısmen proje ekibine geri verilmesi, yani "büyük işler başarmak için güçleri yoğunlaştırmak".

8 Eylül'de Compound, v4 ile ilgili ilk ürünü olan Institutional Market'i başlattı; USDC borç verme piyasası sunuyor, ETH, wstETH, WBTC, cbBTC gibi varlıkları teminat olarak kabul ediyor, maksimum LTV %87'ye ulaşıyor ve daha yüksek tasfiye eşiği sağlıyor. Ürünün lansmanından sonraki bir hafta içinde mevduat yaklaşık 20 milyon dolar, borçlanma ise yaklaşık 14,8 milyon dolar oldu.

Vurgulamak gerekir ki, suçlamanın dayandığı zincir üstü gerçekler bu nedenle çürütülmüş değil. DAI'nin COMP'a dönüştüğü doğru, vakfın kendi adresine devredildiği doğru, anlık görüntüden 58 dakika önce hesaba ulaştığı doğru ve vakfın operasyonunun yetki amacına tam olarak uygun olup olmadığı konusunda topluluğun hâlâ soru sormak için nedenleri var. Ancak aynı şekilde doğru olan bir şey daha var: Suçlamayı başlatan kişi, Humpy gibi birden fazla yönetişim saldırısı geçmişi olan bir büyük yatırımcının kendisine devrettiği oyları açıkça kabul ediyor, kendi hazırladığı teklif bu oy bloğunun desteğiyle geçti ve suçlamanın zamanlaması tam da güç dengesinin tersine döndüğü ana denk geldi. Bunu tarafsız bir topluluk denetimi olarak görmek zor; daha çok, iki yıldır süren bir kontrol savaşındaki bir kamuoyu saldırısı gibi görünüyor.