Sistemi Değil Haberciyi Kandırmak: Köprü Hack'i Nedir?
Kripto köprüleri nasıl çalışır ve neden büyük saldırıların hedefi olur? Ronin, Wormhole, Nomad ve Kelp DAO olayları üzerinden köprü hack’lerini, sarmalanmış token risklerini ve zincirler arası güvenlik açıklarını inceliyoruz.
Kripto yolculuğunuza güvenli ve hızlı bir şekilde başlayın. BlueX ile alım satım yapın.
Hemen BaşlaSistemi Değil Haberciyi Kandırmak: Köprü Hack'i Nedir?
Bluex analiz ekibinden herkese merhaba. Geçtiğimiz hafta sonu Cysic adlı projenin köprüsünde, hiçbir karşılığı olmayan 10 milyon token basıldı ve dakikalar içinde piyasada satıldı. Nisan ayında ise Kelp DAO'nun köprüsünden 292 milyon dolar değerinde rsETH çekilmiş, olay 2026'nın en büyük DeFi hack'i olarak kayıtlara geçmişti.
Kripto tarihinin en büyük soygunlarının önemli bir kısmı bir borsada ya da bir cüzdanda değil, zincirleri birbirine bağlayan köprülerde yaşandı. Bugün sizlerle "Köprü nedir?", "Başka bir zincire taşıdığım ETH gerçekten ETH mi?" ve "Köprüler neden bu kadar sık hack'leniyor?" gibi soruların cevabını, son dönemin en dikkat çekici olayları üzerinden anlatmaya çalışacağız.
Köprü Nedir, Neden Var?
Kendi içlerinde son derece güvenli ama birbirlerinden tamamen habersiz sistemler olan blokzincirler, birbirleriyle ancak köprü dediğimiz bağlantı sistemleri aracılığıyla iletişim kurabilir. Her zincir, sadece kendi defterine yazılanlara güvenen ayrı bir ülke gibi çalışır; kullanıcılar ise varlıklarını bu ülkeler arasında taşımak ister.
Ethereum'daki ETH'nizi işlem ücretleri daha düşük olduğu için Base'de kullanmak ya da Bitcoin'inizi bir DeFi protokolünde değerlendirmek istediğinizde ihtiyacınız olan şey bir köprüdür. Köprüler, bir zincirde olan bir şeyi diğer zincire haber veren ve buna göre işlem yapan aracı sistemlerdir.
Köprüler Nasıl Çalışır?
Varlıklar aslında bir zincirden diğerine fiziksel olarak taşınmaz. Köprüler bu işi genellikle üç farklı yöntemle yapar.
1 - Kilitle ve Bas (Lock & Mint)
En yaygın yöntem budur. Ethereum'daki ETH'nizi köprünün akıllı sözleşmesine kilitlersiniz, köprü de hedef zincirde size bu ETH'yi temsil eden yeni bir token basar. Geri dönmek istediğinizde hedef zincirdeki token yakılır ve Ethereum'daki kilitli ETH serbest bırakılır. Bir başka deyişle hedef zincirde elinizde tuttuğunuz token, kasada kilitli duran gerçek varlığın bir makbuzudur.
2 - Yak ve Bas (Burn & Mint)
Tokeni ihraç eden proje birden fazla zincirde doğrudan kendi tokenini basabiliyorsa, bir zincirdeki token yakılır ve diğer zincirde aynı miktarda yenisi basılır. Toplam arz sabit kalır; sürecin güvenliği ise "yakma gerçekten oldu mu?" sorusunu doğru cevaplamaya bağlıdır.
3 - Likidite Havuzları
Bazı köprüler her iki zincirde de hazır bekleyen likidite havuzları kullanır. Bir zincirdeki havuza varlık yatırırsınız, köprü diğer zincirdeki havuzdan size ödeme yapar. Burada yeni token basılmaz ama havuzlarda biriken büyük tutarlar saldırganlar için cazip bir hedef oluşturur.
Sarmalanmış Token Aslında Ne?
Başka bir zincire köprülenen ve önüne genellikle "w" (wrapped) eklenen tokenler, yani sarmalanmış tokenler, kendi başlarına bir değer taşımaz. Değerleri tamamen köprünün kasasında kilitli duran gerçek varlığa bağlıdır. Bu yüzden köprü hack'lerinde asıl kayıp, çoğu zaman saldırganın aldığı paradan ibaret değildir. Kasa boşaldığında, o kasaya dayanarak diğer zincirlerde dolaşan tüm makbuzların karşılığı da bir anda belirsiz hale gelir.
Tokenizasyon yazımızda sorduğumuz "gerçek hisse mi, fiyat takipçisi mi?" sorusu burada da geçerli: Elinizdeki şey gerçek varlık mı, yoksa bir kasadaki varlığın makbuzu mu?
Köprüler Neden En Büyük Hedef?
Bir köprüyü saldırganlar için bu kadar cazip kılan iki özellik var. Birincisi, kilitle-bas modelindeki köprülerde binlerce kullanıcının varlığı tek bir akıllı sözleşmede, yani tek bir kasada birikir. İkincisi, bu kasanın kapısını açan şey bir anahtar değil, "diğer zincirde işlem gerçekleşti" diyen bir mesajdır. Saldırgan o mesajı taklit edebiliyorsa, kasayı açmak için kilidi kırmasına gerek kalmaz.
Köprü tarihinin en büyük üç olayı, bu mesajın üç farklı şekilde taklit edilebildiğini gösteriyor:
Ronin: Popüler oyun Axie Infinity'nin köprüsünde para çekmek için 9 doğrulayıcıdan 5'inin onayı gerekiyordu. 2022 yılının Mart ayında saldırganlar, şirketin bir mühendisine sahte bir iş teklifi göndererek sisteme sızdı ve beş anahtarı ele geçirdi. 625 milyon dolarlık kayba yol açan saldırıyı ABD Hazinesi, Kuzey Kore'nin Lazarus grubuna bağladı.
Wormhole: Solana tarafındaki bir akıllı sözleşme, okuduğu kaydın gerçek olup olmadığını kontrol etmeyen eski bir fonksiyon kullanıyordu. Şubat 2022'de saldırgan sahte bir kayıt sunarak sahte imzaları geçerli gösterdi ve karşılığı olmayan 120 bin wETH bastı. Köprünün destekçisi Jump Trading, açığı 24 saat içinde kendi kasasından kapattı.
Nomad: Ağustos 2022'de yapılan rutin bir güncelleme, kontrol edilmemiş mesajları da geçerli kabul eden bir hataya yol açtı. Olayı ilginç kılan, saldırının bir "yağmaya" dönüşmesiydi: İlk saldırganın işlemini görenler, sadece alıcı adresini kendi adresleriyle değiştirerek aynı işlemi kopyaladı ve yüzlerce kişi birkaç saat içinde köprüden yaklaşık 190 milyon dolar çekti.
2026'nın En Büyük DeFi Hack'i: Kelp DAO ve rsETH
Kelp DAO'nun çıkardığı rsETH, Ethereum'u yeniden stake etmenin (restaking) getirisini temsil eden bir token. Kelp, rsETH'nin 20'den fazla zincirde kullanılabilmesi için LayerZero'nun zincirler arası mesajlaşma altyapısını kullanıyordu. Ethereum'daki köprü sözleşmesi, bu zincirlerdeki tüm rsETH'lerin karşılığını tutan asıl kasaydı.
Saldırı Nasıl Gerçekleşti?
LayerZero'da bir zincirden diğerine giden her mesajın, DVN (Decentralized Verifier Network) adı verilen doğrulayıcılar tarafından onaylanması gerekiyor. Kelp'in rsETH köprüsü ise tek bir doğrulayıcıyla yapılandırılmıştı; yani bir mesajın geçerli sayılması için tek bir tarafın onayı yetiyordu. Saldırı da tam olarak bu tek noktayı hedef aldı:
Saldırganlar, doğrulayıcının zincir verisini okumak için başvurduğu sunucuların ikisini ele geçirdi ve bu sunuculardan doğrulayıcıya sahte, LayerZero'nun izleme sistemlerine ise gerçek veri gönderecek şekilde ayarlandı. Saldırıya uğrayan sunucular, Unichain'de aslında hiç gerçekleşmemiş bir rsETH yakma işlemini rapor etti. Doğrulayıcı mesajı onayladı ve Ethereum'daki kasa, 18 Nisan'da yaklaşık 292 milyon dolar değerindeki 116.500 rsETH'yi saldırganın adresine gönderdi.
Bu miktar, dolaşımdaki tüm rsETH'nin yaklaşık %18'ine denk geliyordu. Olayı çarpıcı kılan nokta, hiçbir akıllı sözleşme hatasının kullanılmamasıydı. Tıpkı daha önce Bitget yazımızda anlattığımız gibi her işlem sisteme geçerli göründü; sorun, gerçekleşmemiş bir yakmanın karşılığında kasadan para çıkmasıydı.
Hack Olmadan da Risk Var: Köprü Desteğini Çekerse Ne Olur?
Köprülenmiş varlıkların riski sadece hack'lerden ibaret değil. Sarmalanmış bir tokenin değeri köprünün kasasına bağlı olduğu için, köprünün o zincirdeki faaliyetini durdurması da kullanıcıyı benzer bir belirsizliğin içine itebilir.
Bunun en güncel örneği LayerZero ve onun köprüsü Stargate. Şirket, bu zincirlerdeki USDC.e, wETH ve USDT gibi varlıkların destek tamamen sona ermeden önce desteklenen bir zincire taşınmaması halinde kullanıcıların fonlarına erişimini kaybedeceği uyarısında bulunuyor.
Sarmalanmış tokenin bir makbuz olduğunu bu örnek kadar iyi gösteren başka bir durum yok: Makbuzu kesen kurum o şubeyi kapatırsa, bozduracağınız bir varlık kalmayabilir!
Sonuç: Kasayı Değil, Haberciyi Kandırmak
Ronin'den Kelp DAO'ya, Wormhole'dan geçen haftaki Cysic olayına kadar köprü hack'lerinin ortak noktası aynı: Saldırganlar zincirlerin kendisini kırmıyor, zincirler arasında haber taşıyan sistemi kandırıyor. Bazen doğrulayıcıların anahtarları çalınıyor, bazen doğrulayıcıya sahte veri gönderiliyor, bazen de basit bir yazılım hatası gerçekleşmemiş bir işlemi gerçekleşmiş gibi gösteriyor. Sonuç ise her seferinde aynı oluyor: Karşılığı olmayan bir mesaj, binlerce kullanıcının varlığını tutan kasayı açıyor.
Zincirler arası geçişin artmasıyla köprülerin kasaları büyümeye, saldırganların ilgisi de artmaya devam edecek. Çoklu doğrulayıcı yapıları, zincirlerin kendi yerel geçiş çözümleri ve daha şeffaf güvenlik modelleri bu riski azaltabilir mi, yoksa bir sonraki büyük köprü hack'i yine yeni bir açıktan mı gelecek? Bunu da zaman gösterecek.
Kaynaklar
• CoinDesk: Kelp DAO exploited for $292 million with wrapped ether stranded across 20 chains
• Chainalysis: Inside the KelpDAO Bridge Exploit
• Shattered: Kelp DAO Sues LayerZero Over $292M rsETH Exploit
• The Block: Cysic suspends bridge after attacker mints tokens and moves $727,000 to Ethereum
• Spark: Stablecoin Bridge Hacks: Postmortems from Ronin, Wormhole, and Nomad
Yasal Uyarı
Bu içerikte yer alan bilgi, yorum ve değerlendirmeler yatırım danışmanlığı kapsamında değildir. Yönlendirici nitelikte olmayan bu metin genel bilgilendirme amaçlıdır. Yatırım tavsiyesi değildir; bu bilgilere dayanılarak yapılan işlemlerden doğabilecek zararlardan BlueX sorumlu tutulamaz.