Kuzey Koreli Lazarus, DeFi’de 500 Milyon Dolarlık ‘İmzalanmış Yalan’ Açığını Ortaya Çıkardı: Cross-Chain ve Restaking Mimarisi Mercek Altında

Kuzey Kore bağlantılı ‘Lazarus’ tipi hacker gruplarının DeFi altyapısına yönelik art arda gerçekleştirdiği saldırılar, piyasadaki ‘yapısal zafiyetleri’ net biçimde ortaya çıkarıyor. Drift’in ardından Kelp’in de hedef alınması, bunun tekil bir ‘hack’ değil, planlı ve çok katmanlı bir ‘sermaye ele geçirme stratejisi’ olduğunu gösteriyor.

3 haftadan kısa sürede yaşanan iki büyük saldırıda toplamda yaklaşık 500 milyon dolar (yaklaşık 7,36 trilyon won) sistem dışına çıktı. Son Kelp vakasında, LayerZero’nun ‘cross-chain’ altyapısıyla ilişkili bir ‘restaking’ protokolünün hedef alınmış olması özellikle dikkat çekiyor. Zincirler arası varlık transferi ve yeniden kullanımını yöneten bu ‘çekirdek katman’ baskı altına girince, hasarın yayılma hızı da katlanarak arttı.

Bu saldırının en kritik yönü, klasik anlamda bir ‘şifre kırma’ operasyonu olmaması. Ne özel anahtarlar çalındı ne de kriptografik algoritmalar aşıldı. Bunun yerine sistemin normalde güvenliği sağlamak için kullandığı ‘güven modeli’ manipüle edildi. Hackerlar, işlenmek üzere gönderilen veriyi baştan bozdular ve protokol bu veriyi ‘doğrulama yapmadan’ kabul etti. Sonuçta, gerçekte olmamış işlemler onaylanmış gibi kayda geçti ve fonlar meşruymuş gibi hareket ettirildi.

ENS Labs’ten Alexander Arbellis, bu yapıyı “imzalanmış yalan” olarak tanımlıyor. Ona göre ‘imza’ sadece işlemi kimin başlattığını kanıtlıyor, içeriğin doğruluğunu garanti etmiyor. Blockchain güvenlik şirketi SVRN’den David Schwed de saldırının “kriptografiyle değil, sistem mimarisiyle ilgili bir zaafı hedef aldığını” vurguluyor.

Olayın merkezinde ‘tekil doğrulayıcı’ya dayalı mimari bulunuyor. Kelp, zincirler arası mesajları onaylamak için tek bir ‘validator’a güvenecek şekilde kurgulanmıştı. Bu, hız ve kullanım kolaylığı avantajı sağlarken, kritik bir güvenlik katmanını da ortadan kaldırdı. LayerZero sonrasında projelere birden fazla bağımsız doğrulayıcı kullanmalarını tavsiye etti, ancak sektörde asıl tartışma ‘varsayılan ayarların’ bizzat riskli olması üzerine yoğunlaşıyor. Schwed’e göre “eğer bir yapılandırma doğası gereği tehlikeliyse, bu son kullanıcıya bir seçenek olarak bile sunulmamalı; herkesin teknik dokümantasyonu kusursuz okuyacağı varsayımı gerçekçi değil.”

Saldırının etkisi Kelp’in sınırlarını hızlıca aştı. Kelp tabanlı varlıklar çeşitli DeFi protokollerinde yer alıyordu ve bunların bir kısmı Aave(AAVE) benzeri borç verme platformlarında ‘teminat’ olarak kullanılıyordu. Böylece ‘tek bir zayıf halka’, tüm ekosisteme yayılan bir ‘zincirleme şoka’ dönüştü. ‘Cross-chain’ mesaj katmanındaki arıza, teminat kalitesini, borç pozisyonlarını ve likidite havuzlarını eşzamanlı baskı altına aldı.

Bu tablo, ‘merkeziyetsizlik’ iddialarıyla gerçek uygulama arasındaki farkı da ortaya koyuyor. Tek bir doğrulayıcıya dayalı yapı, pratikte oldukça ‘merkezileşmiş’ bir kontrol noktası yaratıyor. Schwed, “Tekil doğrulayıcıya güvenmek, merkeziyetsizlik değil” derken; Arbellis “Merkeziyetsizlik sistemin doğal bir özelliği değil, tasarım tercihlerinin sonucu. Güvenlik seviyesini, sistemin en fazla merkezileşmiş noktası belirler” değerlendirmesini yapıyor.

Dahası, saldırı yüzeye yakın, kullanıcıların doğrudan gördüğü arayüzlere değil; veri besleme, zincirler arası mesajlaşma ve altyapı katmanlarına yöneldi. Bu yönelim, Kuzey Kore bağlantılı ‘Lazarus’ grubunun son yıllardaki strateji değişimiyle uyumlu. Artık klasik borsa saldırıları ya da akıllı sözleşme hatalarından çok, varlıkların ‘hareketini ve bağlanırlığını’ yöneten altyapı bileşenleri odakta. Buradaki bir açık, birden fazla protokolü eşzamanlı olarak zora sokabiliyor.

Kelp örneği, aslında tamamen yeni bir açık türü keşfedildiğini değil, yıllardır bilinen risklerin ‘uyarı seviyesinde’ bırakıldığını gösteriyor. Güvenlik önlemlerinin sadece ‘öneri’ düzeyinde kalması, özellikle DeFi gibi birbiriyle iç içe geçmiş yapılarda, aynı hatanın tekrar tekrar yaşanmasına zemin hazırlıyor. ‘Yorum’ Bu durum, regülasyon ve zorunlu güvenlik standartlarına yönelik baskıyı da artırabilir. yorum

Uzmanlara göre saldırılar daha sofistike hale geldikçe asıl belirleyici olan, tek tek zafiyetlerin varlığından çok, ‘tasarım tercihleri’ ve ‘tepki hızları’ olacak. Cross-chain çözümler ve restaking modelleri büyüdükçe, bu katmanlardaki herhangi bir güvenlik boşluğunun faturası da katlanarak büyüyecek. Görünen o ki DeFi ekosistemi, “hız ve verimlilik” lehine verilen her kararın, ‘güven ve dayanıklılık’ cephesinde ne kadar maliyeti olduğunu yeniden hesaplamak zorunda kalacak.