Blokzincir altyapısındaki kırılganlık 24,7 milyar dolarlık kayba yol açtı

‘Merkezsizleşme’ kavramı blokzincirin en temel ilkesi olsa da gerçek dünyadaki şartlar hâlâ ‘merkezileşmiş altyapıya’ bağlı kalınarak şekilleniyor. Kullanıcılar işlemlerini blokzincire yazmadan önce, bu verilerin iletimini sağlayan ağ ve servis yapısında bir sorun yaşandığında, merkezsizleşmenin sunduğu güvenlik ve özgürlük iddiası işlevsiz hale geliyor. Sorun blokzincir protokolünden ziyade, onun üzerinde çalışan ‘altyapı katmanında’ yani ‘plumbing’ sisteminde ortaya çıkıyor.

18’inde (yerel saatle), küresel web trafiğinin yüzde 20’sini yöneten CDN altyapı sağlayıcısı Cloudflare arızaya uğradı. Bu kesinti sonrası pek çok kullanıcı merkeziyetsiz finans(DeFi) panellerine ve blokzincir tarayıcılarına ulaşamazken, popüler kripto para borsalarına da erişim sağlanamadı. Aslında Solana(SOL) ve Ethereum(ETH) gibi blokzincirler çalışmaya devam ediyordu. Ancak bu zincirlerle kullanıcıyı buluşturan altyapı durunca, kimse kendi varlıklarına ulaşamadı.

Bu durum yalnızca teknik bir arıza olarak değil, blokzincir mimarisinin temel zayıf noktasını da gözler önüne serdi. FPBlock CEO’su Wesley Crook, “Merkezsizliğe ulaşmaya çalışırken bile hâlâ merkezileşmiş sistemlere bağımlı olmamız artık kabul edilemez,” diyerek durumu özetliyor.

Blokzincir sektörü son yıllarda Bizans hataları ya da Sybil saldırıları gibi protokol seviyesindeki risklere karşı ciddi teknolojik gelişmeler kaydetti. Ancak 2025’in ilk yarısında yaşanan en büyük mali kayıplar zincir seviyesinde değil, doğrudan altyapı (plumbing) sorunlarından kaynaklandı. API çalınmaları, bridge saldırıları ve yönlendirme hataları gibi toplam 344 olayda yaklaşık 24,7 milyar dolar (yaklaşık 3,65 trilyon TL) değerindeki dijital varlık kayboldu. Bunlara ek olarak, yılın üçüncü çeyreğinde 5,09 milyar dolar (yaklaşık 751,7 milyar TL) daha zarar oluştu. Özellikle 17,1 milyar dolar (yaklaşık 2,5 trilyon TL) cüzdan saldırılarından, 4,1 milyar dolar (yaklaşık 606,7 milyar TL) ise oltalama saldırılarından kaynaklandı.

Garden Finance saldırısı, bu alandaki en net örneklerden biri oldu. Protokol teknik olarak düzgün çalışırken ve kullanıcı varlıkları güvendeyken, sistem geçici olarak kapatıldı çünkü çözümleyici rolündeki ‘solver’ hedef alınarak işlem trafiği durduruldu. Bu da bağlantı noktalarındaki zaafları açıkça gözler önüne serdi.

Bu tür olaylar yalnızca Cloudflare ile sınırlı değil. Yıl boyunca yaşanan başka internet kesintileri de kullanıcıların DApp erişimini engelledi. Basit bir takas işlemi bile, kullanıcı arayüzü (CDN) → alan adı sistemi (DNS) → düğüm bağlantısı (RPC) → fiyat oracle’ı → cüzdan bağlantısı gibi bir dizi bileşene bağlı. Bu bileşenlerin herhangi birinde sorun yaşandığında blokzincir ne kadar sağlıklı çalışırsa çalışsın, işlem gerçekleşmiyor.

Köprüler (bridge) ise en kırılgan alanlardan biri. Zincirler arası varlık aktarımı için birden fazla katman gerektiğinden, yönlendirme mantığında ya da çözümleyici kodlarda meydana gelecek ufak bir kesinti bile büyük kayıplara yol açabiliyor. Garden Finance’da kullanıcı tüm işlemleri eksiksiz yerine getirmiş olsa bile, saldırı protokol dışı bir aşamada gerçekleştiği için blokzincir seviyesinde herhangi bir tepki verilemedi.

Özellikle son dönemde kurumsal yatırımcıların kripto varlık piyasasına girişinin hızlanmasıyla birlikte bu bağlantı temelli riskler daha önemli hale geldi. Fiziksel varlıkların tokenlaştırılması, saklama (custody) çözümleri ve sınır ötesi ödeme hizmetleri gibi tüm kurgu ‘sürekli erişim’ varsayımı üzerine kurulmuş durumda.

Gerçekte ise kilit sorular; hangi blokzincir kullanılıyor’dan ziyade, cüzdan API’leri çalışıyor mu, köprü altyapıları güvenli mi, CDN giriş sayfasını sağlayabiliyor mu gibi erişim odaklı konular etrafında şekilleniyor. Bu da riski, protokolün kendisinden çıkarıp, ‘erişim altyapısına’ taşıyor.

Wesley Crook bu sorunun çözümü için iki temel öneride bulunuyor. İlk olarak, mevcut yapının tüm bağımlılık haritası çıkarılmalı. Kullanılan CDN, DNS, RPC, indeksleyici, cüzdan API’leri ve bridge bileşenleri belirlenerek, her biri için en az iki alternatif sağlayıcı devreye alınmalı. Yapı, bağlantı sorunlarında otomatik geçiş yapabilecek şekilde yedekli düzenlenmeli.

İkinci olarak ise, ‘acil durum tatbikatları’ şart. Bir ödeme sistemi gibi, bridge ve yönlendirme katmanları belirli aralıklarla test edilmeli. Anahtar sızıntıları, yönlendirme bozuklukları ve bağlantı kopmaları gibi senaryolarda sistemin durması, yön değiştirmesi gibi durumlara hazır olup olmadığı denetlenmeli. Kurum yönetimleri, düzenleyiciler ve iş ortakları artık teknik dökümanlara değil, gerçekçi senaryo simülasyonlarına bakmalı.

Merkezsizliğin sürdürülebilir olması yalnızca zincir yapısına değil, ona ulaşabilmenin ne kadar güvenli ve kesintisiz olduğuna bağlı. Bu yüzden artık gözetim sadece konsensüs algoritmalarına değil, DApp sunucularının durumu, API’lerin performansı ve bridge güvenliğine de yöneliyor. Sonuç olarak, ‘bağlantı kalitesi’ kripto sistemlerin yeni rekabet alanı haline gelmiş durumda.