Kripto sektörü 2026'ya siber saldırılarla girdi: 27,3 milyon dolarlık 'multisig' cüzdan vakası

Kripto endüstrisini sarsan büyük bir güvenlik ihlali yaşandı: bir ‘multisig’ cüzdanın ele geçirilmesi sonucunda toplamda 27,3 milyon dolar (yaklaşık 395 milyar Kore wonu) değerinde dijital varlık çalındı. Güvenlik şirketi PeckShield’ın 24’ünde (yerel saatle) tespit ettiği saldırıda, bu meblağın en az 19,4 milyon dolarlık kısmı ‘Tornado Cash’ aracılığıyla aklandı. ‘Tornado Cash’, gizlilik odaklı Ether transferi sağlayan bir karıştırıcı ve piyasa dolandırıcılarının sıkça başvurduğu *anonimlik aracı* olarak biliniyor.

PeckShield’ın verdiği bilgiye göre saldırganlar ilk olarak merkeziyetsiz finans (DeFi) protokolü Aave üzerinden 1.000 Ethereum(ETH) çekerek Tornado Cash’e aktardı. Böylece toplamda 6.300 ETH (yaklaşık 30,2 milyon dolar) bu mikser yolu ile hareket ettirilmiş oldu. Saldırgan yalnızca varlıkları çalmadı, aynı zamanda bunları teminat olarak göstererek 9,75 milyon dolar değerinde kaldıraçlı işlem pozisyonu açtı. Bu yapı, yaklaşık 20,5 milyon dolarlık ETH için *long* pozisyonlandırmayı; karşılığında ise 10,7 milyon dolarlık DAI borç alıp kullanmayı içeriyor.

Bu olay, 2026 yılının başında kripto sektörünü hedef alan bir dizi siber suç dalgasının yalnızca bir tanesi. PeckShield, aynı zaman diliminde başka bir cüzdan adresini (0xB8b4…3714) inceleyerek, bu adresin önce Tron(TRX) ağına ait bir cüzdandan fon aldığını, ardından Ethereum ağına ‘köprüleme’ işlemiyle geçiş yaptığını, sonrasında da 2.479 ETH’yi (yaklaşık 11,9 milyon dolar) Tornado Cash aracılığıyla akladığını tespit etti.

Üstelik bu saldırılardan bazıları yalnızca teknik hedeflemeye dayanmıyor. Olaylardan biri, ‘Pig Butchering’ adıyla bilinen sosyal mühendislik bazlı dolandırıcılık şemasıyla ilişkilendirildi. Bu taktikle saldırganlar, sahte duygusal ilişkiler kurarak hedefleri kripto yatırımına ikna edip sonrasında varlıklarını ele geçiriyor.

Yine PeckShield, Eylül 2025’te gerçekleşen UXLink saldırısının devam hamlelerinin de izini sürdü. Söz konusu saldırıda, failler 248 wrapped Bitcoin(wBTC)’yi 23 milyon DAI’a çevirmiş; ardından yetkisiz şekilde yaratılan milyarlarca tokenı boşaltmıştı.

Öte yandan, blockchain güvenlik firması CertiK, Arbitrum(ARB) üzerinde çalışan TMXTribe adlı projede denetlenmemiş akıllı sözleşme zafiyetinin kötüye kullanıldığını bildirdi. Saldırganın, USDT’yi kullanarak TMX LP oluşturduğu, ardından swap, stake ve unstake işlemlerini hızlıca tekrar ederek toplamda 1,4 milyon doları aştığı belirtildi. Sürecin, Wrapped ETH(WETH) ve Solana(SOL) gibi farklı varlıkları da içeren karmaşık bir yapı sergilediği vurgulandı.

Teknolojik saldırılar kadar tehlike arz eden bir başka durum ise fiziksel güvenlik riski. Donanım cüzdan üreticisi Ledger, 5 Ocak’ta ödeme altyapı sağlayıcısı Global-e’nin hacklenmesi sonucu müşteri adları, adresleri, e-posta ve telefon bilgileri gibi kişisel verilerin sızdırıldığını duyurdu. Şirket, şifreler ya da özel anahtarların etkilenmediğini belirtse de, kullanıcıların *oltalama* saldırısı ve sosyal mühendislik kaynaklı tehdide açık hale geldiğini kabul etti.

Ledger geçmişte, 2020 yılında da bir veri ihlali yaşamış ve 1 milyon e-posta ile yaklaşık 270 bin kişinin fiziksel bilgilerini sızdırmıştı. Bu yeni sızıntıyla birleştiğinde, kötü niyetli aktörlerin gelişmiş yapay zekâ araçları sayesinde ‘yüksek bakiye’ sahibi cüzdan sahiplerini tanımlayarak *fiziksel saldırılar* düzenleme ihtimali gündeme geliyor.

Blokzincir analisti Ignas, kişisel veri sızıntılarının artık dijital ortamla sınırlı kalmadığını, insanların fiziksel şiddet görme olasılıklarının da arttığını belirtti. Yatırımcı Haseeb Qureshi de içeriden aldığı ‘wrench attack’ (şiddetle anahtar ele geçirme) vakalarının artışta olduğunu, bu trendin hem kurban hem saldırgan sayılarında belirginleştiğini açıkladı. Kullanıcı Rezo ise “Ledger doğrudan hacklenmese de, üçüncü taraflara olan bağımlılık nihayetinde merkezileşme riski yaratıyor” yorumunu yaptı.

Öte yandan, PeckShield, Aralık 2025’te tespit edilen toplam zarar miktarının 76 milyon dolara ulaştığını belirtti. Bu rakam bir önceki aya göre %60 düşüş anlamına gelse de, içinde adres zehirleme (address poisoning) ile yapılan 50 milyon dolarlık dolandırıcılık, 27,3 milyon dolarlık özel anahtar hırsızlığı ve Trust Wallet’tan çalınan 7 milyon dolar gibi ciddi olayları barındırıyor.

Güvenlik uzmanları, “Artık yalnızca dijital güvenlik yeterli değil. Fiziksel yaşantıya da önleyici adımlar entegre edilmeli” diyerek, bilgi sızan kullanıcıların ikamet adresi değişikliği, geçici gönderim noktası belirleme, kimlik avı e-postalarına karşı dikkat gibi önlemleri vurguladı.