React’teki güvenlik açığı, Web3 cüzdanlarını hedef alan saldırılarda kullanılıyor

React’teki Kritik Açık, Kripto Cüzdanlarını Hedef Alan Saldırılara Yol Açtı

React’te tespit edilen kritik bir güvenlik açığı, kripto para dünyasında büyük bir alarma neden oldu. Şu sıralar Web3 projeleri ve kripto cüzdan sistemlerini hedef alan siber saldırılarda artış yaşanıyor. React altyapısını kullanan Web3 sitelerine entegre edilen bir zafiyet, kötü niyetli kişilerin cüzdanlarla iletişim kurarak kullanıcıların kripto varlıklarını ele geçirmesine olanak tanıyor.

Security Alliance, 29’unda yaptığı açıklamada saldırganların bu zafiyeti aktif şekilde istismar ettiğini ve CVE-2025-55182 olarak tanımlanan bu açığın özellikle cüzdan bağlantısı içeren Web3 uygulamalarında tehlikeli sonuçlara yol açabileceğini belirtti. Saldırılar sırasında kullanıcıların işlem imzalama süreci hedef alınıyor; burada zararlı yazılım araya girerek cüzdan ile ağ arasındaki iletişimi yönlendiriyor ve varlıkları saldırganlara aktarıyor.

Bu ciddi açık, React Server Components özelliğinde ortaya çıktı. 29 Kasım’da güvenlik araştırmacısı Lachlan Davidson tarafından keşfedilen açık, 3 Aralık’ta React ekibi tarafından resmen duyuruldu. CVSS üzerinden en yüksek güvenlik riski olan 10.0 seviyesinde sınıflandırılan bu açık, saldırganların kimlik doğrulaması olmaksızın yalnızca kötü niyetli bir HTTP isteği göndererek sunucuda her türlü komutu çalıştırmasına olanak sağlıyor. Bu senaryoda bir sunucunun tamamen ele geçirilmesi mümkün hale geliyor.

Zafiyet, React’in 19.0, 19.1.0, 19.1.1 ve 19.2.0 sürümlerini etkilerken, aynı zamanda react-server-dom-webpack, react-server-dom-parcel ve react-server-dom-turbopack gibi popüler paketleri içeren projeler de risk altında. Söz konusu açık, Next.js, React Router, Expo ve Waku gibi geniş çapta kullanılan çerçeveleri de etkiliyor. React ekibi; 19.0.1, 19.1.2 ve 19.2.1 sürümleriyle bu açığı gideren yamaları hızlıca yayınladı. Next.js tarafında da 14.2.35 ile 16.0.10 arasındaki versiyonlara destek veriliyor.

Ancak güvenlik uzmanlarına göre bu sadece başlangıç. Son güncellemeye rağmen en az iki yeni ciddi güvenlik açığının daha tespit edildiği bildirildi. Vercel, kendi platformlarındaki projeleri korumak amacıyla Web Application Firewall(WAF) kurallarını acilen aktif hale getirse de, sadece bir WAF ile tam güvenliğin sağlanamayacağı uyarısında bulundu.

Google Tehdit İstihbarat Grubu’na göre 3 Aralık’tan itibaren yeni bir geniş çaplı siber saldırı dalgası başladı. Çin menşeli hacker gruplarının da yer aldığı saldırganlar, Amazon Web Services(AWS) ve Alibaba Cloud gibi büyük bulut altyapılarını hedef alıyor. Bu saldırılarda arka kapılar kuruluyor, dosyalar gizleniyor ve sistemleri sürekli enfekte tutmak için gelişmiş yöntemler kullanılıyor. Bazı saldırganlar Cloudflare Pages ve GitLab gibi yasal platformları kötüye kullanarak iletişim trafiğini gizli hale getiriyor.

5’inden itibaren ise hedef doğrudan para kazanma amacıyla değişmeye başladı. Kullanıcı sistemlerine gizlice yüklenen zararlı yazılımlar Monero(XMR) madenciliği yaparak uzun vadeli gelir elde etmeyi hedefliyor. Bu ‘kripto madencilik’ saldırıları, kurbanların elektrik tüketimini artırarak onların haberi olmadan saldırganların kar elde etmesine neden oluyor.

Siber suçluların, yeraltı forumlarında bu saldırılarda kullandıkları kodları ve deneyimleri paylaşmaları sebebiyle, yeni saldırı teknikleri oldukça hızlı yayılıyor. Bu durum, daha önce 2023 Eylül ayında npm paket yöneticisi üzerinde yaşanan bir saldırı ile benzerlik gösteriyor. O dönemde popüler 18 npm paketine kötü amaçlı kod yerleştirilmiş, bu paketlerin haftalık indirme sayısı 2,6 milyarı aşmıştı. Bu kodlar arasında, kullanıcıların panoya kopyaladığı cüzdan adreslerini değiştirerek kripto varlıkları çalan ‘kripto klipper’ türü zararlı yazılımlar da bulunuyordu.

Razer CTO’su Charles Guillaume, bu güvenlik açığını ‘tedarik zincirinin tamamını tehdit eden büyük ölçekli bir saldırı’ olarak tanımladı. Guillaume özellikle yazılımsal cüzdanlar kullanan bireylerin mümkün olan her durumda on-chain işlem yapmaktan kaçınmaları gerektiğini belirtti. Daha önce yaşanan npm vakasında da saldırganların kimlik doğrulama bilgilerini ele geçirmek için sahte destek e-postaları gönderdiği ortaya çıkmıştı. Bu e-postalar ayrıntılı ön araştırmalar sonrası hedefe yönelik olarak hazırlandığı için, başarı oranları oldukça yüksek olmuştu.

Global Ledger’ın verilerine göre 2025 yılının yalnızca ilk altı ayında 119 siber saldırı sonucunda 3 milyar dolardan fazla kripto para çalındı. Bunların %70’i kamuya açıklanmadan önce fark edilmeden başka cüzdanlara aktarılmıştı. Fonların kurtarılabildiği oran ise yalnızca %4,2 seviyesinde. Bu da siber suçluların, blockchain ağları üzerindeki transferleri artık saniyeler içinde gerçekleştirebildiğini gösteriyor.

Şu an React veya Next.js kullanan tüm projelerin derhal güvenlik yamalarını uygulaması, web uygulama güvenlik duvarlarını aktif hale getirmesi ve kullanılan kütüphanelerin kaynak kodlarını dikkatlice yeniden gözden geçirmesi gerekiyor. Ayrıca, sunucularda wget ya da cURL gibi veri indirme komutlarının izlenmesi, şüpheli klasör veya kabuk ayarlarının tespit edilmesi, sistem güvenliği açısından kritik hâle geldi.

‘yorum’: Yazılım kaynaklı bu güvenlik açığı, merkeziyetsiz finans (DeFi) ve Web3 uygulamalarının bir kez daha ne kadar savunmasız olabileceğini ortaya koyuyor. Reaktif güvenlik önlemleriyle değil, proaktif koruma stratejileriyle hareket eden ekipler saldırılarda daha az hasar görüyor. Donanım cüzdanı kullanımı buradaki en güçlü savunma hattı olarak ön plana çıkıyor.