CertiK: Stablecoin riskleri büyüyor, A7A5 yaptırım delme aracı olarak öne çıkıyor

Küresel stablecoin piyasası temel finans altyapılarından biri haline gelirken, bu alandaki tehditler de klasik teknik saldırıların ötesine geçiyor. CertiK’in son raporuna göre riskler artık sadece akıllı sözleşme açıklarıyla sınırlı değil; yaptırım delme girişimleri, paralel finans ağları ve ödeme altyapısına yönelik zafiyetler de öne çıkıyor. Raporda özellikle rubleye endeksli A7A5, devlet destekli yaptırım aşma mekanizmasının en görünür örneklerinden biri olarak gösteriliyor.

CertiK’e göre son 18 ila 24 ay içinde stablecoin ekosistemine yönelik tehditler, basit sözleşme açıklarının sömürülmesinden birbirine bağlı finans altyapılarının hedef alınmasına kaydı. Çapraz zincir köprüleri, saklama hizmetleri ve ödeme API’leri yeni saldırı yüzeyi olarak öne çıktı. 2026 itibarıyla yalnızca cross-chain bridge kaynaklı güvenlik olaylarında 328 milyon doları aşan kayıp yaşandı. Nisan ayında meydana gelen Kelp DAO cüzdan ihlali ise tek başına 291,3 milyon dolarlık zarara yol açtı. Bu tablo, saldırganların odağını zincir üstü mantıktan operasyonel güvenliğe, cüzdan kontrolüne ve saklama sistemlerine çevirdiğini gösteriyor.

Stablecoin altyapısının geleneksel finansla daha sıkı bağ kurması, tehdit alanını da genişletti. Uyum sistemleri, KYC sağlayıcıları, ödeme entegrasyon API’leri ve yaptırım tarama mekanizmaları artık doğrudan hedef alınabiliyor. Rapora göre bu değişim, erken dönem kripto piyasasındaki teknik açık odaklı saldırılardan farklı olarak daha çok klasik finans suçlarını andırıyor. Stablecoin’lerin kredi protokolleri, likidite havuzları, türev ürünler ve otomatik piyasa yapıcılarla derin biçimde entegre olması da tek bir zafiyetin başka protokollere sıçrama ihtimalini artırıyor.

Raporda dikkat çekilen bir diğer başlık, ödeme odaklı zincirler ile stablecoin’e özel ağların yükselişi oldu. Hızlı işlem ve düşük ücret vaadiyle öne çıkan bu ağlar, çoğu zaman güvenlik ve merkeziyetsizlik yerine verimliliği önceliklendiriyor. Bunun sonucu olarak ‘doğrulayıcı yoğunlaşması’, merkezi sıralayıcı yapıları ve görece zayıf uzlaşma mekanizmaları kalıcı yapısal risklere dönüşüyor. CertiK, stablecoin’ler internet ölçeğinde finans altyapısına dönüştükçe saldırıların da küresel ödeme ağlarını ve çekirdek finans sistemlerini hedef alan bir forma evrildiğini belirtiyor.

Raporda en çok öne çıkan örnek A7A5 oldu. A7A5, Ocak 2025’te Rusya’nın sınır ötesi ödeme şirketi A7 LLC adına Kırgızistan merkezli Old Vector LLC tarafından çıkarılan ruble bağlantılı bir stablecoin. A7 LLC’nin, yaptırım altındaki Ilan Şor ile Rus devlet destekli savunma finans kurumu Promsvyazbank tarafından ortak şekilde kontrol edildiği ifade ediliyor. A7A5, piyasaya çıktıktan sonraki ilk yıl dolmadan zincir üstü toplam işlem hacminde 110 milyar doları aştı ve küresel dolar dışı stablecoin pazarının yaklaşık yüzde 43’ünü oluşturdu. Rapora göre varlık, Rus kripto ödeme ağında özellikle Garantex’in kapanmasının ardından yeniden şekillenen Grinex çevresinde temel araçlardan biri haline geldi.

A7A5’e yönelik asıl endişe, büyüklüğünden çok yapısından kaynaklanıyor. İhraççı Old Vector LLC, teminat bankası PSB ve işlem platformu Tokeon’un; ABD, Birleşik Krallık ve Avrupa Birliği yaptırımlarıyla kesişen yapılara bağlı olduğu belirtiliyor. Ayrıca bağımsız rezerv doğrulamasına dair net bir sistemin bulunmadığı vurgulanıyor. A7A5, Ethereum(ETH) ve Tron(TRX) ağlarında dolaşımda olsa da toplam arzın yaklaşık yüzde 99’u Tron üzerinde bulunuyor. Teknik yapısının Tether(USDT) ile benzer şekilde kara listeye alma, fon yakma, ihraç ve geri çekme, transfer durdurma ve rebase tabanlı getiri dağıtımı gibi özellikler taşıdığı aktarılıyor. Başka bir deyişle, merkezi stablecoin modelinin temel araçları korunurken kontrol alanı Batılı uygulama mekanizmalarının dışına taşınmış görünüyor.

Rapora göre A7A5 yalnızca teorik bir risk değil, pratikte de belirgin kullanım alanı bulmuş durumda. Varlık; Rus şirketlerinin sınır ötesi ödemelerinde, Garantex ile Grinex arasında likidite köprüsü olarak, getiri üreten ödeme aracında ve dolaylı kara para aklama maruziyetinde rol oynuyor. CertiK, Garantex’in daha önce Conti, Black Basta ve LockBit gibi fidye yazılımı gruplarının para aklama kanalı olarak kullanıldığını, ayrıca 2023’teki Horizon Bridge saldırısından gelen 30 milyon doları aşan Kuzey Kore bağlantılı fon akışıyla da ilişkilendirildiğini belirtiyor. A7A5’in doğrudan suç gelirlerinin ihraç aracı olduğuna dair açık kanıt bulunmadığı not edilse de, aynı likidite ağı ve işlem platformlarını paylaşmasının AML riskini ciddi biçimde artırdığı değerlendiriliyor.

Zincir üstü veriler de bu tabloyu destekliyor. Tron tabanlı A7A5, 25 Aralık 2025’te tek günde yaklaşık 1,7 milyar dolarlık token hareketi kaydetti. 14 Mayıs 2026’da ise 102,7 milyardan fazla token transfer edildi. Bu tarihler, Avrupa Birliği yaptırım paketlerinin yürürlüğe girdiği dönemlerle çakışıyor. Ancak raporda daha dikkat çekici bulunan veri, kullanıcı sayısındaki artış oldu. Şubat 2025’te yaklaşık 13 bin olan cüzdan sahibi sayısı, Mayıs 2026’da yaklaşık 29 bine yükseldi. Yaptırım tarihlerinde belirgin bir gerileme ya da kırılma görülmedi. Bu durum, rebase temelli getiri modeli ile Batı dışı piyasalardaki kalıcı talebin yaptırım baskısını önemli ölçüde sınırladığı şeklinde yorumlanıyor.

Uluslararası tepki de giderek sertleşti. OFAC, Ağustos 2025’te Old Vector LLC, Grinex ve A7 ağının kilit isimlerini yaptırım listesine aldı. Birleşik Krallık da bağlantılı kişi ve kurumlara benzer adımlar attı. Avrupa Birliği ise daha ileri giderek 19. yaptırım paketinde A7A5’i doğrudan işlem yasağı kapsamına alınan ilk kripto varlık olarak tanımladı. 20. pakette ise yaptırım çerçevesi Rusya merkezli sanal varlık hizmet sağlayıcılarının geneline genişletildi. Merkeziyetsiz borsa Uniswap da Kasım 2025’te ön yüzünde A7A5 ve sarılmış versiyonu wA7A5’i engelledi. Buna rağmen rapor, ağın tamamen çözülmediğini ve müdahalelerin daha çok yayılımı sınırlama düzeyinde kaldığını söylüyor.

CertiK’in dikkat çektiği bir başka hassas alan Afrika oldu. Rapora göre Rusya, A7 ödeme ağını Afrika ülkelerine aktif biçimde öneriyor. Nijerya ve Zimbabve’de ofis açıldığı, ileride Togo ve Madagaskar gibi ülkelere yayılım ihtimalinin de konuşulduğu belirtiliyor. Buradaki ana risk, bu ülkelerdeki birçok finans kuruluşunun hâlâ ABD ve Avrupa bankalarıyla muhabirlik ilişkisini sürdürüyor olması. Yerel bankaların A7 bağlantılı yapılarla para trafiğine aracılık etmesi halinde olası ikincil yaptırımlarla karşı karşıya kalabileceği ifade ediliyor. Ancak şimdiye kadar OFAC, Birleşik Krallık Hazinesi ya da AB kurumlarının Afrika’daki düzenleyicilerle açık bir eşgüdüm yürüttüğüne dair somut bir örnek görülmedi.

Rapora göre stablecoin güvenliği artık iki ayrı riski aynı anda yönetmek zorunda. İlki, köprüler, saklama sistemleri, ödeme API’leri ve mutabakat katmanlarına yönelen altyapı saldırıları. İkincisi ise yaptırım altındaki aktörlerin stablecoin modelini stratejik araç olarak kullanması. Bu nedenle uyum ve risk ekiplerine rubleye endeksli stablecoin’leri yüksek risk grubunda değerlendirme, yeniden markalanmış yaptırım altyapılarını izleme, A7A5 akıllı sözleşme adreslerini önceden takip etme, kağıt temelli hibrit işlem yapıları üzerinde inceleme yürütme, köprü ve birlikte çalışabilirlik katmanlarında düzenli üçüncü taraf denetim yaptırma ve cüzdan ihlallerini yalnızca teknik değil operasyonel risk olarak ele alma çağrısı yapılıyor.

Sonuç olarak stablecoin piyasası büyüdükçe ‘çift taraflı’ bir yapıya bürünüyor. Bir yanda sınır ötesi ödeme ve dijital finans yeniliğinin merkezine yerleşiyor, diğer yanda hack, yaptırım delme ve kara para aklama risklerinin yoğunlaştığı stratejik araçlara dönüşüyor. CertiK’e göre stablecoin artık yalnızca işlem kolaylığı sağlayan bir token değil, küresel finans altyapısının bir parçası. Bu yüzden güvenlik ve düzenleyici yanıtların da tek tek protokollere değil, birbirine bağlı tüm sisteme odaklanacak şekilde yeniden kurgulanması gerekiyor.