Web3 2025'te 33.5 milyar dolarlık saldırı yaşadı: En büyük tehdit Ice Phishing

2025 yılında Web3 ekosistemi, teknoloji alanındaki gelişmeler, düzenleyici çerçevenin genişlemesi ve kullanıcı tabanındaki artış sayesinde büyük bir büyüme yaşadı. Ancak bu büyümenin gölgesinde, güvenlik tehditleri hem daha karmaşık hem de daha derinleşen bir seyir izledi. 24’ünde, CertiK Research tarafından yayımlanan yıllık araştırma raporuna göre, yıl boyunca blockchain üzerindeki güvenlik olayları toplam 630 vakaya ulaştı ve bunların yol açtığı zarar yaklaşık *33.53 milyar dolar* olarak kaydedildi. Bu rakam, bir önceki yıla göre %37.06'lık bir artışı ifade ediyor.

2025'teki her bir olay başına ortalama zarar 532.19 milyon dolar ile geçen yıla oranla %66.64 arttı. Ancak bu artışta 2 Şubat’ta yaşanan Bybit olayının etkisi büyük. Aynı raporda yer alan verilere göre, *Lazarus Grubu* olarak bilinen Kuzey Koreli hacker oluşumu, üçüncü taraf bir cüzdan hizmeti olan Safe{Wallet}'in geliştiricisinin dizüstü bilgisayarını ele geçirdikten sonra zararlı bir JavaScript kodu yerleştirerek çoklu imza güvenlik sistemini devre dışı bıraktı. Bu olayda çalınan miktar yaklaşık *14.47 milyar dolar* oldu ve bu tek vaka, yıllık toplam kaybın %40’ından fazlasını oluşturdu.

Bybit olayını dışarda bırakacak olursak, toplam çalınan fon miktarı aslında *azalma* eğiliminde. Uzmanlara göre bu durum, Web3 güvenlik tehditlerinin artık çok sayıda küçük saldırı yerine, daha az sayıda fakat daha büyük ve sofistike saldırılarla şekillendiğine işaret ediyor. Gerçekten de yalnızca iki tedarik zinciri saldırısı toplamda *14.51 milyar dolar* zarara yol açtı ve bu saldırılar hem karmaşıklıkları hem de etkileriyle dikkat çekti.

En sık kullanılan yöntem ise *oltalama (phishing)* saldırılarıydı. 248 vaka ile başı çeken bu saldırılar, toplamda *7.23 milyar dolar* zarara yol açtı. Bu miktar, 240 olayla ikinci sırada yer alan yazılım açıklarına dayalı saldırılardan (5.55 milyar dolar zarar) biraz daha fazla oldu. Raporda oltalama saldırılarının düşük maliyet, yüksek tekrar stratejisiyle kullanıcı psikolojisini kandırmaya odaklandığı; yapay zeka destekli arayüzler, çok dilli kampanyalar ve blokzincir verilerine göre özelleştirilmiş mesajlarla desteklendiği belirtildi.

Bu saldırıların çoğu “Ice Phishing” olarak bilinen bir yöntemle gerçekleştirildi. Bu teknik, kullanıcılardan varlık transfer yetkisi vermelerini sağlayarak imza sızıntısı olmadan token’ların saldırganın cüzdanına aktarılmasına olanak tanıyor. Saldırganlar bu süreçte sahte akıllı kontratlar ve yanıltıcı cüzdan pencereleri oluşturuyor; bu da kullanıcıların sahte işlemleri gerçek zannederek onaylamasına yol açıyor.

Saldırıların büyük bölümü *Ethereum(ETH)* ağına yöneldi. Raporda, Ethereum’un 310 farklı hack, dolandırıcılık ve açıklık istismarına maruz kaldığı ve toplamda *16.98 milyar dolar* kaybettiği belirtiliyor. Olay başına ortalama zarar ise 578.52 milyon dolar olarak kayda geçti. *Bitcoin(BTC)* de 22 olayda toplam *5.28 milyar dolar* zarar ile hedef haline geldi.

Öne çıkan diğer olaylar arasında, Cetus Protocol’ün yaşadığı *2.25 milyar dolarlık* kayıp, bir kullanıcı olan ‘bc1qxjp’nin uğradığı *3.3 milyar dolarlık* oltalama zararı ve Balancer protokolündeki fiyat hesaplama hatasının yol açtığı *1.13 milyar dolarlık* kayıp bulunuyor. Bu vakalarda, kısmen varlık kurtarımı sağlansa da, büyük oranda zararların hâlâ telafi edilemediği ifade ediliyor.

Kripto piyasasının hızlı büyümesi, *bireysel kullanıcıları* da ciddi hedef haline getirmeye başladı. Rapora göre, güven ilişkisini suiistimal eden "domuz kesimi" (pig butchering) gibi dolandırıcılıklar ile baskıcı yatırım teşvikleri artıyor. Ayrıca deepfake ve ses taklit teknolojilerinin kullanımıyla inandırıcılığı artırılan dolandırıcılık girişimlerinin yaygınlaştığına dikkat çekiliyor. Hatta geleneksel borsalardan sızan kullanıcı verileriyle konum bilgilerinin dahi kötüye kullanılabildiği, bu nedenle fiziksel saldırılar içeren "ranch attack" tarzı tehditlerin de büyümekte olduğu belirtiliyor.

Buna karşılık, CertiK Research kullanıcılar için yedi temel güvenlik önlemi öneriyor. Bunlar arasında cüzdan izinlerinin iptali, çok faktörlü kimlik doğrulama, mesajlar konusunda dikkatli olmak ve resmi duyuruların karşılıklı kontrol edilmesi gibi önlemler yer alıyor. Kurumsal düzeyde ise güvenlik denetimleri, formal doğrulamalar, saldırı simülasyonları ve Skynet Enterprise gibi izleme araçlarının kullanımı tavsiye ediliyor.

Öte yandan, *küresel düzenlemelerdeki gelişmeler* de dikkat çekiyor. ABD, GENIUS adı verilen yasa tasarısı ile dijital varlıklar için kapsamlı bir düzenleyici çerçeve oluşturdu. Avrupa Birliği MiCA düzenlemesini aktif hale getirirken, Singapur ve Hong Kong gibi ülkelerde token menkul kıymetler ve sınır ötesi ödeme çözümlerini kapsayan pilot projeler uygulanmaya başlandı. Bu gelişmeler, Web3’ün geleneksel finansal sisteme entegrasyonunu hızlandırıyor.

Uzmanlara göre, 2026 yılında *AI sahtekârlıkları, daha karmaşık tedarik zinciri saldırıları* ve *altyapı düğümlerine yönelik ihlaller* öne çıkan tehditler olacak. Buna bağlı olarak, gerçek zamanlı izleme sistemlerinin güçlendirilmesi, net yasal çerçevelerin oluşturulması ve AI tabanlı güvenlik araçlarının yaygınlaştırılması, Web3 endüstrisinin geleceğini şekillendirecek üç temel unsur haline gelecek. Bu dönüşümde öne çıkacak projeler ise güvenliği yalnızca kontrol listesi değil, *faaliyetlerinin temel ilkesi* olarak benimseyen projeler olacak yorum.