Hacken raporu: Kurumsal yatırımcılar akıllı sözleşme denetiminden operasyonel güvenliğe geçiyor

13’ünde (yerel saatle) Siber güvenlik firması 해켄(Hacken)’in yayımladığı son rapora göre, kurumsal yatırımcılar artık yalnızca akıllı sözleşme ‘güvenlik denetimi’ ile kripto projelerinin güvenliğini ölçmüyor. Son birkaç yılda biriken denetim geçmişinden çok, projenin günlük ‘operasyonel güvenlik’ düzeyi daha kritik bir sinyal haline geliyor ve yatırım eleme kriterleri belirgin şekilde sıkılaşıyor.

해켄’in ‘2026 2. Çeyrek Güvenlik ve Uyum Raporu’na göre incelenen 1427 proje içinde, yalnızca %9’u üçüncü taraf izleme (monitoring) çözümü kullanıyor. Hem aktif hata ödül programı(bug bounty) hem de düzenli güvenlik denetimi ile birlikte çalışanların oranı ise sadece %4 seviyesinde kaldı. Aynı dönemde yaşanan yaklaşık 764 milyon dolar tutarındaki zararın %88,3’ü ‘özel anahtar’ sızıntısı, ‘imzacı(signer)’ yapısındaki zaaflar ve altyapı güvenlik açıklarından kaynaklandı. ‘Akıllı sözleşme kodu’ dışındaki bu alanlar, kayıpların neredeyse tamamını oluşturdu.

Rapor, bu tabloyun kurumsal yatırımcıların risk değerlendirme yaklaşımını değiştirdiğini vurguluyor. Önceki yıllarda bir projenin ‘denetimden geçmiş olması’ en önemli referans sayılırken, artık ‘imzacı yapısının’ ne kadar dengeli olduğu, teminat(collateral) mekanizmasının nasıl kurulduğu, üçüncü taraflara bağımlılığın seviyesi, olay müdahale süreci, denetim kapsamı ve raporların ne kadar güncel olduğu gibi daha derin başlıklar inceleniyor. Abraxas Capital’den yatırımcı 페데리코 바지오티, “Risk düzeyine kıyasla güvenlik önlemleri yetersiz kaldığı anda, bu durum en sık görülen ‘yatırımdan vazgeçme’ sinyaline dönüşüyor” yorum yaptı. Moody’s Investors Service analisti 라제브 밤라는 ise ‘operasyonel dayanıklılığın’ kurumsal oyuncular için güvenlik, uyum(compliance) ve yönetişim başlıklarında ‘fiili standart’ haline geldiğini belirtti.

Bu değişimin yansımaları düzenleme cephesinde de görülüyor. 10 Temmuz’da (yerel saatle) Cointelegraph’a konuşan BitGo COO’su 조디 메틀러, Avrupa’da Dijital Operasyonel Dayanıklılık Yasası(DORA) çerçevesindeki incelemelerin ilerlemesiyle birlikte, kurumsal müşterilerin saklama hizmeti sunan şirketlere ‘erişim kontrolleri’, ‘olaylara müdahale planları’ ve ‘iş sürekliliği’ hakkında çok daha ayrıntılı sorular yönelttiğini anlattı. ‘Yasal çerçevenin’ genişlemesi, saklama ve altyapı sağlayıcılarının operasyon güvenliğindeki en küçük zayıflığı bile görünür kılıyor.

해켄, 2. çeyrekte saldırıya uğrayan 14 projenin aslında geçmişte en az bir kez güvenlik denetiminden geçtiğini de tespit etti. Ancak gerçek kayıplar çoğunlukla akıllı sözleşme kodunda değil, ‘imza cihazları’, ‘köprü(bridge) doğrulayıcıları’, ‘arka uç(back-end) altyapı bileşenleri’, ‘yönetici(admin) anahtarları’ ve devre dışı bırakıldığı düşünülen ancak hâlâ aktif olan eski sözleşmeler gibi, denetim kapsamı dışında bırakılan noktalarda ortaya çıktı. Yüzeyde ‘denetim tamamlandı’ etiketi taşıyan projelerde bile, ‘fon akışının’ ve ‘operasyon yapısının’ zayıf tasarlanması büyük çaplı olaylara zemin hazırlıyor.

Rapor, piyasa değeri 1 milyon doların üzerinde olan ve CoinGecko trust score kriterine göre ilk 50 merkezi borsada listelenen varlıkları temel aldı. Toplam 1427 proje incelenirken, sarılı(wrapped) varlıklar, stablecoin’ler ve gerçek dünya varlığı(RWA) teminatlı token’lar hariç tutuldu. 해켄, çalışmaya yalnızca ‘kamuya açık doğrulanabilir’ kontrol mekanizmalarının dahil edildiğinin altını çizerek, şirket içi özel sözleşmeler ya da dışarıya açıklanmayan ek koruma katmanlarının istatistiklere yansımamış olabileceğini not düştü.

Sonuçta bu rapor, kripto piyasasında ‘güvenliğin’ artık yalnızca teknik kod denetimi değil, doğrudan ‘yatırım yapılabilirlik’ kriteri haline geldiğini gösteriyor. Akıllı sözleşme denetiminden çok ‘operasyonel güvenlik’ ve ‘dayanıklılık’ öne çıkarken, kurumsal yatırımcıların eleme süzgeci giderek daha sık dokulu hale geliyor. ‘Güvenlik açığı’ barındıran projelerin, piyasa koşulları ne kadar elverişli olursa olsun, kurumsal sermaye için ikinci planda kalma riski büyüyor.