Truebit(TRU), akıllı sözleşme açığıyla 26 milyon dolarlık saldırıya uğradı

Blokzincir altyapı protokolü Truebit, akıllı sözleşme tasarımındaki bir açık nedeniyle yaklaşık 26 milyon dolar (yaklaşık 383 milyar TL) değerinde bir saldırıya uğradı. Bu olayın ardından Truebit Token(TRU) yalnızca bir gün içinde neredeyse %99 oranında değer kaybederek adeta tamamen çöktü.

Varlık kaybına yol açan zafiyet, Truebit’in ‘Purchase’ adlı akıllı sözleşmesinden kaynaklandı. Blokzincir güvenlik firması SlowMist’in yayımladığı rapora göre, saldırganlar çok az miktarda Ethereum(ETH) ödeyerek yüksek sayıda TRU token basabildi. Nedeni ise sözleşmede tamsayı toplama işlemleri sırasında taşma (overflow) hatasına karşı koruma olmamasıydı.

Truebit’in kullandığı Solidity sürümü 0.6.10, tamsayı taşmalarını otomatik olarak kontrol etmeyen eski bir sürüm. Bu nedenle hesaplama sınırı aşıldığında, değer tekrar sıfıra yakın küçük bir değere ‘sarılıyor’. Saldırgan da bu açığı kullanarak TRU fiyatını sıfır olarak hesaplatmayı başardı ve böylece tokenleri neredeyse bedavaya üretmiş oldu.

Truebit, 2021 Nisan’ında Ethereum ana ağına entegre edilen uzun süredir faaliyette olan bir protokol. Ancak böylesine ciddi bir zaafiyetin bulunması, akıllı sözleşme güvenliğinin hâlâ blokzincir ekosisteminin *zayıf halkası* olduğunu gösteriyor.

SlowMist’e göre, 2025 yılında kripto para endüstrisinde yaşanan güvenlik olaylarının %30,5’i, akıllı sözleşmelerdeki teknik açıkların istismarıyla gerçekleşti. Bu oran, diğer tüm tehditlerin önünde geliyor. Onu, hesap ele geçirme (%24) ve özel anahtar sızıntısı (%8,5) izliyor.

Öte yandan, yapay zekâ destekli akıllı sözleşme saldırıları da artık gerçek bir tehdit haline geliyor. Yapay zekâ şirketi Anthropic, kendi modelleri Claude Opus 4.5 ve Sonnet 4.5 ile birlikte OpenAI'nin GPT-5 testleriyle yürüttüğü bir çalışmada, yapay zekânın toplam 4,6 milyon dolarlık akıllı sözleşme açıklarını tespit edip saldırı senaryoları oluşturabileceğini ortaya koydu.

Bu tür teknik tehditlerin yanı sıra, kullanıcıların dikkatsizliğini hedef alan *oltalama (phishing)* dolandırıcılıkları da hızla artıyor. Güvenlik platformu CertiK, 2025’te gerçekleşen 248 olayda phishing kaynaklı toplam kaybın 722 milyon dolar olduğunu belirtti. Bu dolandırıcılıkların büyük kısmı kullanıcıyı cüzdan özel anahtarını veya yedekleme kodlarını paylaşmaya ikna eden sahte bağlantılarla gerçekleşti.

Olumlu tarafta ise güvenlik bilinci giderek yaygınlaşıyor. Phishing kaynaklı zararlar 2024’e kıyasla %38 oranında azaldı; bu da bazı yatırımcıların artık daha dikkatli davrandığını gösteriyor.

Truebit saldırısı, sadece bir protokolün hatası olarak kalmadı; uzun süredir çalışan hizmetlerde bile temel güvenlik açıklarının bulunabileceğini bir kez daha hatırlattı. Akıllı sözleşmelerin teknik denetimi ve güvenlik önlemleri konusundaki tartışmaların önümüzdeki dönemde daha da yoğunlaşması bekleniyor.