Liquid Network Saldırısı: Elements Açığıyla 4.000 Dijital Varlık Kanaldan Çekildi

Liquid'de Sahte Arz

Eylül ayının başında saldırganlar, Liquid Network üzerinde karşılıksı yaklaşık 4.000 L-BTC basarak bunları bire bir gerçek Bitcoin'e çevirdi; o anki kur değeriyle ele geçirilen miktar 320 milyon dolara yaklaşıyordu. Blockstream'in geliştirdiği Liquid, Bitcoin taraf zinciri (sidechain) olarak çalışıyor ve altında yatan altyapı, Bitcoin yan zincirleri için açık kaynak platformu olan Elements. İşte tam bu kodda bulunan bir enflasyon açığı, saldırganların zincirin sarmal Bitcoin tokenı olan L-BTC'den sahte birimler basmasına ve bunları çıkış mekanizmasından geçirip ana zincirin gerçek coinlerine dönüştürmesine izin verdi. Kritik bir ayrıntı var: federasyon anahtarları hiç ele geçirilmedi; hata, ihraç kodunun kendisindeydi. Yani coinler birinin cüzdanı çalındığı için değil, zincir sahte bir arzı kabul ettiği için hareket etti. Sonrasında yaşananlar herkesin önünde, iki tarafın da okuyabildiği tek yerde gelişti: zincirin kendisinde. Kendilerini beyaz şapkalı (white hat) olarak tanımlayan aktörler, işlemlerin içine gömülü OP_RETURN mesajlarıyla (harcanamaz olarak işaretlenmiş, yani sonradan değiştirilemeyen ya da silinemeyen çıktılar) masaya oturdu ve geri çekilen toplamdan 3.400 BTC'yi iade ederek yaklaşık 600 BTC'yi kendinde tuttu. Sahte arz da çıkış da Liquid'in blok geçmişinde hâlâ görünür durumda. Samson Mow, olayı daha sonra Liquid'e ulaşmadan önce başka Bitcoin yan yazılımlarına da sıçramış bir "yapay zekâ destekli saldırı dalgasının" parçası olarak niteledi. Bu ihlal, yılın en büyük ikinci tekil kaybı olarak kayda geçiyor; önünde sadece üç hafta sonra Bitget'te yaşanan borsa tahliyesi var. Olay aynı zamanda 2026'nın daha geniş kayıp defterine de yazılıyor. Araştırmacı Stacy Muur, bu yıl 50.000 doların üzerinde zarara uğrayan 230 hacked protokol saydı; dondurma ve iadeler sonrasında net zarar yaklaşık 2,35 milyar dolar. Bu rakamın net olması önemli: dondurulan ya da iade edilen fonlar brüt hasardan düşülüyor. Muur'un Eylül verisi tek başına kabaca 768 milyon dolara ulaşıyor ve zararın ana yükü, tamamen kendin-tut cüzdanlarından (self-custody) çok merkezi borsalar ile DeFi'da geliyor. Muur, listenin yanına "Kripto güvenliği tamamen çökmüş durumda" notunu düşmüştü.

Bitget ve DeFi Kayıpların Merkezinde

Yılın en büyük tekil kaybı 24 Eylül Perşembe günü geldi: Bitget'in sıcak cüzdan ve warm cüzdan altyapısından kabaca 387,5 milyon dolar çekildi. Chainalysis, Elliptic ve TRM Labs gibi adli analiz firmaları olayı Kuzey Kore'ye bağladı; gerekçe olarak, daha önce DPRK'ya atfedilen altyapıyla örtüşen VPN kullanım desenleri ile Lazarus Group ve TraderTraitor'e, 2025'teki Bybit soygununa da uzanan cüzdan örtüşmeleri gösterildi. Saldırganlar sahte çekim komutlarını üçüncü taraf güvenlik ürünlerini istismar ederek enjekte etti; özel anahtarlara hiç dokunmadılar. DeFi platformlarında da kayıplar benzer biçimde yüksek değerlerde yoğunlaştı. Drift Protocol, Nisan ayında aylarca süren sosyal mühendislik sonrası yönetişim ve multisig kontrollerinin ele geçirilmesiyle tahminen 285 milyon ile 296 milyon dolar arası zarar etti; projenin kendisinin görevlendirdiği soruşturma bu operasyonu Kuzey Kore'li aktörlere bağladı. KelpDAO'nun LayerZero altyapısını kullanan rsETH köprüsü (bridge), tek doğrulayıcılı tasarımının aşılmasıyla karşılıksız token olarak yaklaşık 292 milyon dolar çekildi; LayerZero, ilk göstergelerde DPRK'nın Lazarus Group'unu, özel olarak da TraderTraitor'u işaret etti. Cronos üzerindeki Tectonic ise Ağustos ayının sonunda manipüle edilmiş teminat üzerinden kabaca 120,4 milyon dolar borç aldı. Validatörler zinciri geri sardı ve büyük kısmı kurtardı; ama ağ dışına köprüyle çıkarılmış birkaç milyon dolar geri gelmedi. Donanım tarafındaki olaylar daha çok haber değeri gördü, rakamlar ise daha küçüktü. Galaxy Research, Coinkite'teki rastgele sayı üreteci (RNG) açığını 1.596 ile 1.789 BTC arasında, yani kabaca 100 ile 130 milyon dolar bandında ölçtü; üst sınır tahminleri 2.055 BTC'ye dayanıyor. Ledger kaynaklı 86 milyon ile 102 milyon dolar arası kayıplar ise Güneydoğu Asya'daki yetkili satıcı CryptoBilis üzerinden satılan cihazlara iz sürüldü: cihazlara kurulum sırasında izinsiz yerleştirilen bir donanım implantı, kurtarma ifadelerini kaydediyordu. Şirket, doğrulanmış vakaların yalnızca o satıcının tedarik zinciriyle sınırlı olduğunu açıkladı; ama doğrulanmamış raporlar, hileli cihazların Alman pazarına da ulaştığını anlatıyor. Bu yıl araçların arka planı da değişti: Şubat'ta GPT-5.3-Codex ve Claude Opus 4.6 gibi modellerin yayımlanmasıyla kod açığı sömürüsü hızlandı. Bu modeller akıllı sözleşme hata testlerini yüksek oranlarda ve düşük maliyetle geçti; Muur, yapay zekânın açıkları bulmayı ve sömürmeyi çok kolaylaştırdığı konusunda uyararak anı ciddi bir siber güvenlik silah yarışı olarak tanımlıyor.

Zincir Üstü İzler ve 600 BTC'lik Açık

Zincir üstü kayıt sonucu herkesin doğrulamasına izin veriyor: OP_RETURN pazarlık dizisi, iade edilen 3.400 BTC ve elde tutulan 600 BTC, işlem geçmişinde tek tek izlenebiliyor. Ekipin olay sonrası değerlendirmesi de kök nedeni ele geçirilmiş bir anahtar olarak değil, Elements'teki enflasyon açığı olarak konumlandırıyor. Ağ yeniden çalışıyor ve zararlar karşılandı; büyük olasılıkla yatırımcılar üzerinden. Bizim okumamız şöyle: Liquid, büyüyen Bitcoin DeFi yığınının içinde yer alıyor ve kodundaki bu çökme, o katmanın EVM köprüleriyle aynı sömürü riskini taşıdığını gösteriyor. Yılın hasarının ise Bitcoin'in iş kanıtı (proof-of-work) temel katmanında değil, borsa altyapısı ve protokol tasarımında yoğunlaştığı açık. Operasyonel olarak ihlal noktası kapandı; geri dönmeyen 600 BTC artık bu olayın bakiyesi.