65.340 riskli adreste kayıp 574,8 milyon dolara ulaştı

Ethereum(ETH) ve BNB Chain(BNB) ağlarında adres kötüye kullanımı olarak sınıflandırılan 65.340 yüksek riskli adres tespit edildi ve buna bağlı kayıplar 574,8 milyon doların üzerinde hesaplandı. Araştırmaya göre asıl sorun akıllı kontrat açıklarından çok, adres tekrar kullanımı, özel anahtar sızıntısı ve zincir karışıklığı gibi temel yönetim hatalarından kaynaklanıyor.

USENIX Security '26'da kabul edilen 'Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact' başlıklı makale, 63.004 GitHub deposu ve Stack Exchange verilerini inceleyerek bu sonuca ulaştı. Araştırmacılar 10.312.572 benzersiz adres ile tekilleştirilmiş 16.305.399 özel anahtarı ayıklayıp Ethereum ve BNB Chain işlemleriyle karşılaştırdı.

Makale adres kötüye kullanımını iki ana başlıkta topladı: 'CA kötüye kullanımı' ve 'EOA kötüye kullanımı'. CA kötüye kullanımı, kontrat olmayan bir adresin kontrat adresi gibi ele alınması durumunu kapsıyor. EOA kötüye kullanımı ise özel anahtarı ifşa olmuş harici sahipli hesaplarla (EOA) etkileşime girildiğinde ortaya çıkıyor.

Tespit edilen vakaların 49.344'ü CA kötüye kullanımı, 15.996'sı ise EOA kötüye kullanımı olarak kayda geçti. Kayıp tutarları CA kötüye kullanımında 22.738,41 ETH ve 8.681,41 BNB, EOA kötüye kullanımında ise 104.244,53 ETH ve 9.045,29 BNB olarak belirlendi.

Toplamda 2,5 milyon işlem incelendi ve kayıplar 126.982,94 ETH ile 17.726,7 BNB olarak hesaplandı. Araştırmacılar, Mayıs 2025'teki 4.408 dolarlık ETH ve 847 dolarlık BNB fiyatlarını baz alarak toplam kaybı 574,8 milyon doların üzerine denk getirdi.

Bu rakamın işlem anındaki gerçek zarar olmadığının altı çiziliyor. Araştırmacılar, aynı referans fiyatı kullanmanın amacının güncel ekonomik ciddiyeti kıyaslanabilir hale getiren standart bir gösterge sunmak olduğunu belirtti. Analiz kapsamının EVM tabanlı ağlar ve yerel tokenlerle sınırlı olması nedeniyle sonucun muhafazakâr bir alt sınıra yakın olduğu değerlendiriliyor.

Makalede öne çıkan iki yeni saldırı vektörü ayrı değerlendirilmeyi hak ediyor. Bunlardan ilki, test ağı (testnet) ile ana ağ (mainnet) arasındaki adres tekrarını hedef alan CA kötüye kullanımı. Saldırganlar, test ağında kullanılan adresle aynı ana ağ adresine kötü amaçlı kontrat yerleştirerek kilitli kalan fonları çekti; bu yöntemle 469 vakada 3.446,37 ETH ve 431,79 BNB kaybı doğrulandı.

İkinci vektör ise EIP-7702 standardını kullanan EOA kötüye kullanımı. Saldırganlar, ifşa olmuş bir EOA'yı kötü amaçlı bir kontrata yetkilendirerek gelen fonları anında boşaltıyor. Bu tür 17.270 vakada 25,86 ETH ve 33,45 BNB kayba yol açtı.

Kripto haber sitesi CryptoSlate, iki yeni vektörün doğrudan kaybını yaklaşık 15,7 milyon dolar olarak ayrıca hesapladı. Bu rakam, genel tahmin olan 574,8 milyon dolardan farklı bir kapsamı yansıtıyor; yalnızca yeni saldırı vektörlerinde doğrudan gözlemlenen aktif saldırı payını gösteriyor.

Makalenin odak noktası tek bir hack vakası değil. Açık depolardaki örnek kodlar, soru-cevap platformlarında unutulan anahtarlar, test ağı ile ana ağ karışıklığı ve zincirler arası adres çakışması gibi unsurların gerçek fon kaybına dönüştüğü yapısal bir sorun ele alınıyor.

Blockchain güvenliği tartışmaları genellikle akıllı kontrat kod hatalarına ve köprü (bridge) ihlallerine odaklanıyordu. Bu araştırma, kontrat dışında yaşanan adres ve anahtar yönetimi hatalarının da zincir üstü kayıpların bağımsız bir kaynağı olduğunu ortaya koydu.

Geliştiricilerin örnek adresleri koduna bırakması ya da kullanıcıların gayriresmi kaynaklardan kopyaladığı adresleri kullanması da güvenlik riski doğurabiliyor. Farklı zincirlerin aynı adres formatını paylaştığı ortamlarda, kullanıcının hedeflediği ağ ile fonun gerçekte gönderildiği ağ arasında sapma yaşanma ihtimali de artıyor.

Araştırmacılar, cüzdan sağlayıcıları ve borsalarla sorumlu açıklama (responsible disclosure) süreci yürüttüklerini belirtti. Önerilen önlemler arasında cüzdan tarafında uyarı sistemleri, yanlış zincire gönderim uyarıları ve adres oluşturma sürecine zincir kimliğinin (chain ID) dahil edilmesini öngören protokol iyileştirmeleri yer alıyor.

Bu araştırma, cüzdan adresi doğrulama ve doğru ağı seçme sürecinin önemini bir kez daha gözler önüne seriyor. Merkezi borsalarda çekim ağı seçmek ya da kişisel cüzdanda adres yapıştırmak gibi rutin işlemler, gerçek varlık kaybıyla doğrudan bağlantılı olabiliyor.

Söz konusu çalışma, USENIX'in resmi sayfasında USENIX Security '26 kabul edilen makaleler arasında yer alıyor. Makalenin resmi sunumu ve sektörün buna vereceği yanıtlarla birlikte cüzdan uyarı sistemleri ve zincir tanımlama yöntemlerine ilişkin tartışmaların süreceği belirtiliyor.