Kripto Güvenliğinde Yeni Tehdit: Kod Değil, Anahtar ve Yönetişim Açıkları Trilyonluk Zarara Yol Açıyor

올ay kripto piyasasında yaşanan büyük çaplı kayıpların çoğu, ‘akıllı sözleşme açıkları’ndan ziyade işletme ve ‘yönetişim’ tarafındaki zafiyetlerden kaynaklanıyor. Koda dokunulmadan, sadece ‘anahtar yönetimi’ ve ‘karar alma mekanizması’ üzerinden sistemin çökertilebildiği bir döneme girildiği yorum yapılıyor.

Son dönemde Bonk(BONK) DAO’da yaşanan olay bu durumu net biçimde gösterdi. Yaklaşık 400 milyon dolar(‘yaklaşık 58 milyar won’) maliyetle harekete geçen bir saldırgan, düşük katılım oranını fırsat bilerek yönetişim oylamasını ele geçirdi ve bunun sonucunda yaklaşık 2.000 milyon dolar(‘yaklaşık 290 milyar won’) sistem dışına aktarıldı. Akıllı sözleşme ‘doğru şekilde’ çalışıyordu, fakat ‘kural setinin kendisi’ saldırı vektörüne dönüştü.

Haziran ayında Humanity Protocol’de meydana gelen olayda ise 30 milyon doların(‘yaklaşık 435 milyar won’) üzerinde zarar oluştu. Proje ekibinin açıklamasına göre, ekip üyelerinden birinin özel anahtarı ele geçirildi ve saldırı bu şekilde gerçekleştirildi. Olay, doğrudan ‘kod tarafındaki bir hata’dan değil, tamamen anahtar yönetimindeki zafiyetten kaynaklandı.

Bu yıl kripto piyasasında biriken toplam zarar tutarı yaklaşık 972 milyon dolar(‘yaklaşık 1,41 trilyon won’) seviyesine ulaşmış durumda. Vaka sayısı artarken, fonların çalındığı kanalların giderek daha fazla ‘kod dışı alanlara’ kaydığı dikkat çekiyor.

2021 ile 2025 arasındaki 425 siber saldırı vakasının analizi de tabloyu destekliyor. Az sayıda ‘işletim hatası’nın, toplam zararın büyük bölümünü oluşturduğu görülüyor. Özellikle 2024–2025 döneminde yaşanan 191 saldırının yüzde 54,6’sı, merkezi borsaların anahtar yönetimi, saklama(kurumsal ‘custody’) yapıları ve imza mekanizmalarındaki bozukluklardan kaynaklandı. Bu oran, yalnızca ‘kod denetimi’ ile gerçek anlamda bir ‘güvenlik’ seviyesine ulaşılamayacağını ortaya koyuyor. Nitekim 11 kez denetimden geçmiş bir protokolün dahi 128 milyon dolar(‘yaklaşık 1,86 trilyon won’) kaybetmiş olması, bu yaklaşımın sınırlılığını gösteriyor.

Buna rağmen ‘kod tarafı’ hala ciddi risk barındırıyor. Beş yılı aşkın süredir çalışan projelerin yüzde 93,9’unda ‘kritik zafiyetler’ tespit edildi ve bildirilen açıkların yaklaşık yüzde 20’si en yüksek risk seviyesinde sınıflandırıldı. Ancak savunma yöntemleri de aynı hızla evriliyor. Sürekli açık tutulan ‘bug bounty’ programları ve gerçek zamanlı izleme sistemleri, saldırganlardan önce açıkları yakalayabilen bir yapı oluşturuyor. Yaklaşık 20 bin dolarlık(‘yaklaşık 29 milyon won’) ödül bütçesiyle, ortalama 25 milyon dolar(‘yaklaşık 363 milyar won’) büyüklüğünde bir saldırının önüne geçilebildiği için, bu model sektör genelinde ‘en verimli güvenlik yatırımı’ olarak görülüyor.

Uzmanlara göre ‘denetim tamamlandı’ ifadesi, artık hiçbir şekilde ‘güvenliğin garantisi’ olarak alınmamalı. Anahtar saklama yöntemleri, imza yetkilerinin dağılımı, yönetişim yapısı ve insan faktörü dahil tüm süreçler, tek tek ‘saldırı yüzeyi’ olarak değerlendirilmeli. Sonuçta kritik olan, tek seferlik bir denetimden çok, ‘sürekli doğrulama’ ve doğru kurulan teşvik mekanizmaları. Kod, anahtar, insan ve yönetişim unsurları aynı anda ve düzenli biçimde test edilmedikçe, kriptoda büyük ölçekli saldırıların ‘yeniden ve yeniden’ yaşanma ihtimali yüksek kalmaya devam edecek.