Ethereum'un Kelp DAO'su 940 Milyon Dolarlık İlk Yarı Kripto Saldırı Kayıplarında Zirvede

Kripto Haberleri

Ethereum (ETH) ağı, 2026'nın ilk yarısında tek bir güvenlik ihlalinde yaşanan en büyük kayba sahne oldu. Kelp DAO'nun rsETH adlı likit restaking (yeniden stake etme) tokenı, saldırganların LayerZero zincirler arası mesaj doğrulama mekanizmasını taklit etmesi sonucu 292 milyon dolar kaybetti. Bu olay, güvenlik araştırmacısı ack3'ün Ocak-Haziran döneminde kaydettiği 135 saldırı arasında en büyüğüydı. Araştırmacının kamuya açık veri seti, ilk yarıda toplam 939,86 milyon dolarlık kripto kaybını ele geçirilen anahtarlar, altyapı zafiyetleri ve mesaj doğrulama açıklarına bağlıyor. Ortalama olay başına maliyet yaklaşık 6,96 milyon dolar olarak hesaplanırken, hasarın büyük bölümü iki olayda yoğunlaştı; bu iki olay birlikte yarı yıl kayıplarının yaklaşık yüzde 61'ini oluşturdu. Veri setine göre, en az bir denetimden geçmiş projelerdeki kayıpların yüzde 94,4'ü denetim kapsamı dışında kalan bileşenler üzerinden gerçekleşti. Bu durum, sektörde yaygın bir güven sinyali olarak kullanılan denetim rozetini dar bir onay belgesine dönüştürüyor; geniş çaplı bir operasyonel güvenlik garantisi sunmuyor. Kelp'in çöküşü, yedek kontrol noktası olmayan tek bir doğrulayıcıdan kaynaklandı ve zincirler arası mimarinin zayıf bir entegrasyonu nasıl sistem geneline yayılan bir tahliyeye dönüştürebileceğini gösterdi. İki hafta önce Solana türev platformu Drift, araştırmacıların Kuzey Kore ile bağlantılı olduğunu değerlendirdiği operatörlerin aylar süren bir operasyonla yönetici anahtarlarını ele geçirmesi sonucu 285 milyon dolar kaybetti. Bu vakalar, en maliyetli saldırıların temel kriptografik matematiği değil, operasyonel güveni kırdığını açıkça ortaya koyuyor. Daha küçük çaplı saldırılar da aynı kalıbı izledi: Step Finance 40 milyon dolar, Humanity Protocol 32 milyon dolar ve Resolv'ün USR stablecoin'i (sabit coin) 24,5 milyon dolar kaybetti. Zincirler arası köprüler de tekrarlayan hedefler arasındaydı; Verus 11,5 milyon dolar, Syscoin 8 milyon dolar ve Taiko 1,7 milyon dolar zarara uğradı. Tanınmış platformlar bile etkilendi: Polymarket mayıs ayında 700 bin dolarlık bir iç cüzdan tahliyesi, haziran ayında ise 3,1 milyon dolarlık bir ön uç tedarik zinciri saldırısı yaşadı. Otomatik ticaret stratejileri kategorisi de risk altında kaldı; jaredfromsubway.eth, bir honeypot (bal küpü) token üzerinden 7,5 milyon dolar kaybetti. Herhangi bir altcoin tutan yatırımcılar için raporun temel uyarısı şu: temiz bir akıllı sözleşme denetimi, fonları fiilen hareket ettiren altyapıyı kapsamayabilir.

Ack3'ün bulgularının ikinci bölümü, Ethereum tabanlı protokoller ve bağlantılı ağları da kapsayarak, güvenlik incelemelerinin kayıpları neden durduramadığı sorusuna odaklanıyor ve cevap büyük ölçüde kapsam meselesi. Veri seti, denetlenmiş projelerin 681 milyon doları incelenen kod veya altyapının dışında kalan saldırı yolları üzerinden kaybettiğini gösteriyor; bu rakam, toplam kayıplarının yüzde 94'üne eşit. Saldırıya uğrayan projelerle bağlantılı en ilgili 20 denetim raporundan 17'si, saldırı anında en az altı ay yaşındaydı; yani incelenen sürüm, canlı sistemle eşleşmiyor olabilir. Rapor, resmi akıllı sözleşme incelemelerinin gerekli olmaya devam ettiğini, ancak genellikle sözleşme sınırında durduğunu; üretim sistemlerinin ise yönetici anahtarları, imzalama sunucuları, köprü doğrulayıcıları, alan adı yapılandırması ve ön uç koduna bağımlı olduğunu savunuyor. Bu operasyonel katmanlar belirleyici başarısızlık noktaları haline geldi. Step Finance, Humanity Protocol ve Resolv'ün USR'si, denetlenmiş sözleşme mantığındaki bir kusurdan değil, ele geçirilen özel anahtarlar ve imzalama altyapısı üzerinden tahliye edildi. Bu kontrol listesi çoklu imza (multisig) imzacıları, doğrulayıcı operatörleri ve köprü aktarıcıları için de geçerli; çünkü her biri ayrıcalıklı yürütmeye giden bir insan veya makine yolunu temsil ediyor. Stablecoin kullanıcıları için bu ayrım kritik önem taşıyor; çünkü sabitlik güvenliği, parasal tasarım kadar saklama ve kontrole de bağlı. Daha yeni modelleri değerlendiren okuyucular, kod odaklı mekanizmaların rezerv destekli iddialardan nasıl farklılaştığını anlamak için algoritmik stablecoin rehberimize başvurabilir. Rapor ayrıca ön uç tedarik zinciri saldırılarının riskini de vurguluyor; bu saldırılarda meşru bir web sitesi değiştirilerek kullanıcı etkileşimleri cüzdan onaylarına dönüştürülüyor. CoW Swap'ın alan adı ele geçirmesi ve Polymarket'in haziran olayı, kullanıcıların zincir üstü bir sözleşme açığı olmadan da zarar görebileceğini gösteriyor. Ack3 kurucusu Josef Gattermayer, yapay zeka araçlarının birbirine bağlı sistemlerdeki zayıf noktaları bulma ve bunları çok katmanlı saldırılara zincirleme maliyetini düşürdüğü konusunda uyardı; bu nedenle güvenlik incelemelerinin tüm sistemi değerlendirmesi gerekiyor. Pratik açıdan veri seti, kullanıcıları neyin incelendiğini, ne zaman incelendiğini ve ayrıcalıklı anahtarları şu anda kimin kontrol ettiğini sormaya yönlendiriyor; özellikle herhangi bir yapay zeka kripto cüzdanı veya otomatik saklama katmanı için bu sorular hayati önem taşıyor.

COINOTAG'ın ack3 veri setine ilişkin değerlendirmesi, kripto güvenliğinin bir kod kalitesi sorunundan operasyonel kontrol sorununa evrildiği yönünde. En büyük kayıplar tekil güven noktalarından geldi: bir doğrulayıcı, bir yönetici anahtarı yolu, bir ele geçirilmiş ön uç. Bu sonuç bugün özellikle önemli; çünkü COINOTAG toplu piyasa verileri savunmacı bir duruşa işaret ediyor. Korku ve Açgözlülük Endeksi (Fear and Greed Index) 100 üzerinden 27 seviyesinde, Bitcoin izlediğimiz piyasanın yüzde 69,6'sını elinde tutuyor ve toplam izlenen değer 1.817.069.893.163 dolar düzeyinde. Ethereum ve diğer akıllı sözleşme platformları için saldırı riski, anlatı odaklı yükseliş potansiyelini gölgede bırakabilir. Pratik sinyal basit: denetim rozetlerini yalnızca bir girdi olarak kabul edin, ardından kapsam güncelliğini, anahtar dağılımını, çoklu imza eşiklerini ve olay müdahale planını para yatırmadan önce doğrulayın. Otomatik ticaret stratejileri kullananlar için yapay zeka ticaret botu rehberimiz, bu tür operasyonel risklerin nasıl yönetilebileceğine dair ek bağlam sunuyor.