Web3 saldırıları 2025'in ilk çeyreğinde 1,66 milyar dolarlık rekor kayba yol açtı

2025’in ilk çeyreğinde Web3 ekosisteminde meydana gelen zincir üstü (on-chain) saldırılar sonucu toplam 1,669 milyar dolarlık rekor düzeyde kayıp yaşandı. 24’ünde (yerel saatle), CertiK Research tarafından yayımlanan rapora göre, bu rakam bir önceki çeyreğe kıyasla %303 artış gösterdi. Sadece üç ayda 2024 yılı toplam kaybının üçte ikisinden fazlası aşılmış durumda. Özellikle Bybit’te yaşanan tek bir saldırı 1,45 milyar dolarlık zarara neden olarak merkezi borsalardaki güvenlik zaaflarını gözler önüne serdi.

Raporda yer alan bilgilere göre, bu çeyrekte toplam 197 güvenlik olayı yaşandı. En büyük hasarı ise yalnızca üç vaka ile gerçekleşen ‘cüzdan hack’leri verdi. Toplamda 1,451 milyar dolarlık bu saldırılar, dönem genelindeki zararın büyük kısmını oluşturdu. CertiK, Bybit vakasını özellikle mercek altına aldı. Safe{Wallet} geliştiricisinin bilgisayarına yapılan saldırı sonrası Ethereum(ETH) soğuk cüzdan bilgilerinin sızdırıldığı bu olayda, kötü amaçla yükseltilmiş bir akıllı kontrat aracılığıyla multisig cüzdanın imza süreci atlandı. Kullanıcının dikkatini yanıltan arayüz tabanlı onay yöntemi ise saldırıda kritik rol oynadı.

Özel anahtar sızıntısı da ciddi bir güvenlik başlığı olarak öne çıkıyor. Toplam 15 vakadan kaynaklanan kayıp miktarı yaklaşık 142 milyon doları buldu. Kurtarılan fon miktarı ise yalnızca 6,39 milyon dolar oldu; yani toplam zararın sadece %0,38’i geri kazanılabildi. Geçen çeyrekte bu oran %42,09 düzeyindeydi. CertiK, özellikle 2025 Şubat ayında sıfır dolarlık kurtarma gerçekleştiğini vurgularken, etkili bir kurtarma (recovery) sistemi eksikliğine dikkat çekti.

Ethereum(ETH), hala saldırganların birincil hedefi olmaya devam ediyor. Verilere göre, ilk çeyrekte 98 güvenlik olayı Ethereum ağında gerçekleşti ve toplamda 1,541 milyar dolarlık zarar yaşandı. DeFi protokollerinin merkezi sayılan Ethereum, akıllı kontrat açıkları, yetki suiistimalleri ve köprü protokollerindeki yapısal zayıflıklar nedeniyle sıkça saldırıya uğruyor.

Saldırı yöntemlerinin giderek geliştiği de öne çıkan bir diğer bulgu oldu. Phishing (oltalama) atakları, olay sayısı itibarıyla ilk sırada yer aldı. Toplam 81 vakada 15,79 milyon dolarlık kayıp yaşandı. Kimlik sahtekarlığına dayalı sosyal mühendislik taktikleri — sahte dApp’ler, zararlı tarayıcı eklentileri, deepfake videolar gibi — bu tür saldırılarda en yaygın yöntem olarak tespit edildi. Yorum: Phishing saldırılarının ağırlıklı olarak küçük meblağlar içermesine rağmen artan frekansının büyük bir küresel risk oluşturduğu göze çarpıyor.

Merkezi borsalara olan güven ise bu çeyrekte iyiden iyiye sarsıldı. Bybit dışında Phemex, özel anahtar verilerinin sızdırılmasıyla 71,71 milyon dolarlık kayıp yaşadı. 0xInfini ise hatalı yetki yönetimi nedeniyle 49,51 milyon dolar zarara uğradı. Bu olaylar, işlem onay süreçlerinin şeffaf olmaması ve akıllı kontrat yönetim yetkilerindeki eksikliklerin ne kadar kritik bir güvenlik riski taşıdığını bir kez daha ortaya koydu.

Artan güvenlik tehditleri karşısında küresel düzenleyiciler kripto varlıklar için yeni çerçeveler oluşturma çabalarını hızlandırmış durumda. ABD, ‘kripto stratejik rezerv’ programını ilan ederken, Menkul Kıymetler ve Borsa Komisyonu (SEC), yeni kurduğu ‘kripto görev gücü’ ile sektördeki risk yapılarını sistematik olarak denetlemeyi hedefliyor. Avrupa ise ‘Kripto Varlık Piyasaları Yasası (MiCA)’ aracılığıyla teknik standartlar ve sorumluluk yapıları üzerinde çalışıyor. Yorum: Ancak bu gibi yasal hamleler, teknik güvenlik açıklarını anında ortadan kaldırmak için yetersiz kalabilir.

Gelecek için ümit var bir nokta ise teknolojik ilerlemelerde yatıyor. Raporda, sıfır bilgi kanıtı (ZK), zincir üstü adli analizler ve çok taraflı hesaplama (MPC) gibi sistemlerin saldırganlardan bir adım önde olabilecek yenilikler olduğu belirtildi. Bu tür ‘güvenlik altyapısı güçlendirme çalışmaları’nın önümüzdeki çeyreklerde ne ölçüde gerçek kayıp engelleyeceği, Web3 ekosisteminin sürdürülebilirliği adına belirleyici bir kriter olacak gibi görünüyor. CertiK, blok zinciri ekosisteminde kapsamlı güvenlik dönüşümü için kolektif ve endüstriler arası bir iş birliğine ihtiyaç duyulduğuna vurgu yaptı.