Kripto köprüleri alarm veriyor: 6 saatte 35 milyon dolar buharlaştı, sorun kriptografi değil ‘güven yönetimi’

크로스체in ve köprü (bridge) güvenliği yeniden gündemde. Sadece bir gün içinde yaşanan zincirleme saldırılar, DeFi altyapısına yönelik ‘güven’ algısını ciddi biçimde sarstı. Bu kez sorun basit bir akıllı sözleşme açığı değil, doğrudan ‘anahtar yönetimi’ ve ‘zincir dışı (off-chain) kontrol’ mekanizmalarındaki zafiyetler oldu. Bu da piyasaya çok daha sert bir uyarı niteliği taşıyor.

6 saat içinde art arda yaşanan bu saldırılar, *kripto köprüleri*, *cross-chain altyapılar* ve genel olarak *DeFi güvenliği* tartışmalarını yeniden alevlendiriyor. ‘güven’ ve ‘kontrol’ kavramları, bu olayların merkezinde yer alıyor.

24’ünde (yerel saatle), blokzincir verileri ile güvenlik firmaları Blockaid ve PeckShield’in analizlerine göre sadece 6 saatlik zaman diliminde en az üç farklı köprü ve protokol saldırıya uğradı. Toplam kaybın 35 milyon doların üzerinde olduğu, bunun da yaklaşık 516 milyar TL’ye karşılık geldiği bildirildi.

En büyük darbe, Arbitrum(ARB) üzerinde köprü işlemleri sunan perpetual borsası AFX’e geldi ve platformdan yaklaşık 24,15 milyon dolar çekildi. Ardından Verus–Ethereum köprüsünden yaklaşık 7,54 milyon dolar, Bitcoin(BTC) tabanlı genişleme ağı B²’den ise yaklaşık 3,86 milyon dolar çıkarıldı.

Bu üç saldırının kısa süre içinde peş peşe gelmesi, *cross-chain mimarinin* ve köprü altyapılarının yapısal risklerini yeniden gündeme taşıdı. ‘yorum’ Bu tür olaylar, tek bir kritik bileşenin çökmesiyle milyarlarca doların risk altına girebildiğini gösteriyor. ‘yorum’

Analizlere göre saldırıların ortak noktası, ‘blokzincir kriptografisinin kırılması’ değildi. Yani temel şifreleme algoritmaları hedef alınmadı. *Ortak tehdit*, kontrol ve yetki yönetiminde toplandı.

Saldırılar kabaca iki kategoriye ayrılıyor: Birincisi, protokol tasarımında bulunan ‘mantık (logic) hataları’ yoluyla fonların izinsiz çekilmesi. İkincisi ise saldırganların ‘yönetici anahtarlarını’ ele geçirerek tam yetki sahibi olması. Özellikle ikinci tipte, akıllı sözleşme kodu kusursuz olsa bile yönetici anahtarlarının çalınması, tüm kuralların değiştirilebilmesi veya fonların tek seferde boşaltılabilmesi anlamına geliyor.

Bu yapı, 2022’deki Wormhole ve Nomad köprü saldırılarından bu yılın başındaki KelpDAO vakasına kadar pek çok *büyük çaplı hack* olayında tekrarlandı. Sorun, ‘kod’ kadar ‘kim kontrol ediyor?’ sorusunda düğümleniyor.

Verus cephesinde durum daha da çarpıcı. Son saldırı, daha önce kullanılan aynı köprü sözleşmesi ve aynı giriş yolunu hedef alan bir ‘yeniden kullanım (replay/reuse) saldırısı’ niteliği taşıyor. 5’inde benzer bir açık yüzünden yaklaşık 11,5 milyon dolar sistemden çekilmişti.

Köprüler teknik olarak bir zincirdeki varlığı kilitleyip diğer zincirde buna karşılık gelen token’ları basma mantığıyla çalışıyor. Verus tarafındaki bu son açık ise, *gerçekte teminat bulunmasa bile* Ethereum(ETH) tarafında para çekimine izin verdi. Sonuç olarak değersiz sayılabilecek bir ‘talep hakkı’ üzerinden gerçek varlıklar sistem dışına taşınabildi.

Daha da problemli olan, bu olaydan sonraki süreç. İlk saldırının ardından saldırganın önemli bir kısmı iade ettiği fonlar, Verus ekibi tarafından 8 Temmuz’da aynı köprüye yeniden yatırıldı. Ancak aradan sadece iki hafta geçmeden, *aynı zafiyet* üzerinden bu varlıklar bir kez daha boşaltıldı.

DeFiLlama verileri, Verus’un toplam kilitli değeri (TVL) 2025 yılı başında 100 milyon dolar civarındayken bugün 9 milyon dolar seviyesine kadar düştüğünü gösteriyor. Bu sert gerileme, köprü güvenliğine dair ‘piyasa cezası’nın boyutunu ortaya koyuyor.

Bitcoin tabanlı genişleme ağı B²’de yaşananlar da benzer bir tablo sergiledi. Burada saldırganlar, token staking sözleşmesinin ‘yükseltme (upgrade) yetkisini’ ele geçirdi. Ardından yaklaşık 3,86 milyon dolar değerindeki varlık satılarak Ethereum ve stabil kripto paralara dönüştürüldü.

B² ekibi staking işlemlerini durdurduğunu ve kullanıcıları tazmin edeceğini açıkladı. Ancak olay, *akıllı sözleşme güvenliğinin sadece kod denetimiyle bitmediğini* bir kez daha ortaya koydu. Nihai güvenlik, ‘anahtar yönetimi’ ve ‘yönetici izinleri’ ile belirleniyor.

Sonuçta kritik soru şu noktada toplanıyor: ‘kontrol yetkisi kimde’? ‘güven’, sadece matematiksel ispatlarla değil, bu yetkinin nasıl dağıtıldığı ve denetlendiğiyle sağlanıyor.

Bu zincirleme saldırılar, *köprü ekosistemine duyulan güveni* temelden sarsmaya başladı. Köprüler, farklı blokzincirler arasında likidite ve varlık transferi için vazgeçilmez bir altyapı. Fakat aynı zamanda, doğası gereği tekil hata noktaları barındırıyor. Bu noktalardaki ‘güven’ çöktüğünde, kullanıcılar varlıklarını hızla sistem dışına taşıma eğilimine giriyor.

Bu tabloya yeni bir risk katmanı daha eklendi. OpenAI, yakın tarihli bir analizinde, yapay zeka modellerinin çok aşamalı bir saldırı zinciri kurup harici sunucuları başarıyla ihlal edebildiğini açıkladı. Deneysel ve kontrollü bir ortamda gerçekleşmiş olsa da, *yapay zekanın insan seviyesine yakın sofistike siber saldırılar gerçekleştirebileceğini* göstermesi açısından kritik kabul ediliyor.

Geri döndürülemez işlemler üzerine kurulu *kripto piyasası* için bu, daha da ağır bir risk. Bir kez çalınan varlıkların klasik finans sistemindeki gibi ‘geri çevrilme’ veya ‘işlemi iptal etme’ imkanı yok. Yapay zeka destekli karmaşık saldırıların, özellikle köprü ve cross-chain altyapılarında büyük hasarlara yol açabileceği tartışılıyor.

Genel resme bakıldığında, kripto köprüleri ve cross-chain altyapılarındaki ana sorun ‘kriptografinin çökmesi’ değil, ‘güven yönetiminin başarısızlığı’ olarak öne çıkıyor. Verus, B², AFX gibi projelerde yaşananlar da bunu doğruluyor. Çöken, algoritmalar değil; yönetici yetkileri, tasarım kararları ve acil durum süreçleri.

Aynı zamanda bu ‘kontrol noktalarını’ hedef alma kapasitesi de giderek gelişiyor. Gerek insan gerek yapay zeka destekli saldırı araçları, köprü mimarilerindeki en zayıf halkayı bulma konusunda her geçen gün daha yetenekli hale geliyor.

Sonuç olarak, cross-chain ve köprü altyapılarının geleceği teknik ilerlemeden çok, ‘güvenin nasıl yönetileceği’ sorusuna verilecek yanıta bağlı. Merkezi anahtar yapıları, çok sınırlı çoklu imza (multisig) çözümleri veya zayıf denetim mekanizmaları devam ettiği sürece, benzer saldırıların tekrar yaşanma ihtimali yüksek görünüyor. Bu da hem *DeFi ekosisteminde* hem de *kripto köprülerinde* genel risk algısını yukarı çekerken, projeleri ‘güveni kodlamak’ yerine gerçekten ‘yönetmek’ zorunda bırakıyor.