Hyperbridge köprüsünde 1 milyar adet sahte Polkadot(DOT) basıldı: Hacker düşük likidite nedeniyle sadece 240 bin dolar kazanabildi

크로스체인 köprü projesi ‘Hyperbridge’de yaşanan son hack olayı, piyasadaki *yapısal zafiyetleri* bir kez daha gözler önüne serdi. Saldırgan, teorik olarak 1,1 milyar dolar değerinde token ‘üretti’, ancak düşük piyasa likiditesi nedeniyle eline geçen gerçek kazanç yalnızca yaklaşık 240 bin dolar (yaklaşık 357 milyon won) seviyesinde kaldı.

Saldırı, pazar günü Ethereum(ETH) ağı üzerinde gerçekleşti. Hacker, Hyperbridge’in *cross-chain geçit* tasarımındaki açıktan faydalanarak 1 milyar adet Polkadot(DOT) basmayı başardı ve ardından bu varlıkları Ethereum(ETH) ile takas etmeye çalıştı. Ancak işlem sırasında karşı tarafta yeterli *likidite* olmadığı için, bu devasa ihraçtan beklediği gelirin çok küçük bir bölümünü realize edebildi.

Olayın kritik noktası, saldırının Polkadot(DOT) ağının kendisinden değil, köprü tarafındaki ‘bridge sözleşmesi’nden kaynaklanması. Polkadot(DOT) ana zinciri teknik olarak zarar görmedi, sorun Hyperbridge’in Ethereum tarafındaki *EthereumHost* kontratının cross-chain mesajları doğrulama şeklinde ortaya çıktı. Saldırgan, sahte mesajları sisteme enjekte etti; doğrulama mantığındaki hata yüzünden bu sahte istekler *geçerli işlem* gibi kabul edildi.

Bu aşamadan sonra hacker, *TokenGateway* üzerinden yönetici yetkilerini ele geçirdi ve tek bir işlemle 1 milyar adet Polkadot(DOT) bastı. Basılan token’lar, önce Odos Router V3 üzerinden yönlendirildi, ardından Uniswap V4 üzerindeki DOT-ETH havuzunda Ethereum(ETH) ile değiştirilmeye çalışıldı. Fakat ‘sınırlı likidite’ nedeniyle havuz bu büyüklükteki satış baskısını taşıyamadı; fiyat hızla çökerken, saldırgan da token’larını adeta ‘elden çıkarma fiyatına’ satmak zorunda kaldı.

Sonuç itibarıyla hacker’ın elinde kalan kâr yaklaşık 108,2 ETH, yani 237 bin–240 bin dolar bandında oldu. Birim fiyat üzerinden bakıldığında, bu rakam basılan token miktarıyla kıyaslandığında *“değerinin çok altında satış”* niteliğinde. *yorum Bu tablo, düşük likiditenin kimi zaman saldırıların gerçek zararını sınırlayan “paradoksal bir savunma katmanı”na dönüşebildiğini gösteriyor.* Eğer hedef, çok daha derin likiditeye sahip bir havuz ya da varlık olsaydı, kayıp miktarı katlanarak artabilirdi.

2026 yılına girilirken, *cross-chain köprü* zafiyetleri kripto ekosisteminde yinelenen bir tema haline gelmiş durumda. Geçen ay Solana(SOL) tabanlı Drift Protocol’de yaklaşık 270 milyon dolar büyüklüğünde fon çıkışı yaşanmış, bazı örneklerde ise saf teknik açıklar yerine *sosyal mühendislik saldırıları* öne çıkmıştı. Güvenlik firması CertiK, Hyperbridge vakasını inceleyerek sorunun köprünün *gateway sözleşmesindeki doğrulama mantığı*ndan kaynaklandığını belirledi. Özellikle yanlış durum doğrulama değeri (tam sıfır değerinin) filtreden geçmeden kabul edilmesi, olayda *çekirdek açık* olarak işaret ediliyor.

Şu ana kadar Hyperbridge ekibi resmi bir açıklama yayımlamış değil. Aynı altyapı modelini kullanan diğer köprü token’larının da benzer bir riskle karşı karşıya olup olmadığı ise henüz netleşmedi. Cross-chain köprüler, farklı blokzincirler arasında varlık transferi sağlayan *kritik altyapı* konumunda olsa da, mimarileri gereği çoğu zaman ‘tekil hata noktası’ haline geliyor. Bu son saldırı, *teknik tasarımda yapılacak küçük bir hata* ya da gözden kaçan bir doğrulama adımının, milyarlarca dolarlık potansiyel riske nasıl dönüşebildiğini bir kez daha ortaya koydu.