Kripto saldırılarında 2026 boyunca yaşanan net kayıp, dondurulan ve geri alınan varlıklar hesaba katıldığında yaklaşık 2,35 milyar dolara ulaştı. Güvenlik araştırmacısı Stacy Muur’un 50 bin doların üzerinde zarara yol açan olayları içeren derlemesinde yıl başından bu yana 230 protokol yer aldı. En yüksek tutarlı saldırılar, donanım cüzdanlarından çok merkezi borsaları ve merkeziyetsiz finans (DeFi) platformlarını hedef aldı.
Derlemedeki en büyük tekil kayıp, 24 Eylül’de Bitget’in sıcak ve ılık cüzdanlarından yaklaşık 387,5 milyon doların çekilmesi oldu. Borsa ile çeşitli analiz şirketleri saldırıyı Kuzey Kore bağlantılı aktörlerle ilişkilendirdi. Değerlendirmelerde, geçmişte Lazarus Group ve TraderTraitor faaliyetleriyle ilişkilendirilen cüzdanlarla zincir üstü benzerliklere ve Kuzey Kore bağlantılı VPN kullanımına işaret edildi. Saldırganların özel anahtarları ele geçirmek yerine üçüncü taraf güvenlik ürünlerini kullanarak sahte para çekme komutları oluşturduğu belirtildi.
Blockstream’in Bitcoin yan zinciri Liquid Network’teki olayda ise Elements yazılımındaki bir hata istismar edildi. Saldırganlar yaklaşık 4 bin karşılıksız L-BTC üreterek bunları gerçek bitcoinlere çevirdi; varlıkların değeri o sırada yaklaşık 320 milyon dolardı. Kendilerini “beyaz şapkalı” olarak tanımlayan saldırganlar, zincir üstü mesajlarla yürütülen görüşmelerin ardından 3 bin 400 BTC’yi iade etti, yaklaşık 600 BTC’yi ise tuttu. Olayda federasyon anahtarlarının ele geçirilmediği bildirildi.
Liquid saldırısı, protokol düzeyindeki bir üretim açığının büyük kayba dönüşebileceğini gösterdi. Ağ yeniden çalışmaya başladı; kayıpların yatırımcılar tarafından karşılandığı tahmin ediliyor. Samson Mow, olayı Bitcoin bağlantılı başka yazılımları da etkilediğini söylediği yapay zekâ destekli saldırılar dizisinin parçası olarak nitelendirdi.
DeFi tarafında Drift Protocol, nisanda yönetişim ve çoklu imza sisteminin ele geçirilmesiyle yaklaşık 285 ila 296 milyon dolar kaybetti. Proje için hazırlanan soruşturma, aylar süren sosyal mühendisliğin ardından gerçekleşen saldırıyı Kuzey Koreli aktörlere bağladı. LayerZero destekli rsETH köprüsü KelpDAO’dan da yaklaşık 292 milyon dolarlık karşılıksız token çekildi. LayerZero, ilk bulguların Lazarus Group bünyesindeki TraderTraitor’ı işaret ettiğini açıkladı.
Cronos ağındaki Tectonic’te ise ağustos sonunda teminatın manipüle edilmesiyle yaklaşık 120,4 milyon dolar borç alındı. Doğrulayıcılar daha sonra zinciri geri sardı ve tutarın büyük bölümünü kurtardı; ağ dışına aktarılmış birkaç milyon dolar geri getirilemedi. Donanım cüzdanlarına yönelik saldırılar geniş yer bulsa da, Coinkite vakasına ilişkin tahminler yaklaşık 1.596 ila 1.789 BTC, üst sınırda ise 2.055 BTC civarındaydı. Bu tahminler, cüzdan olaylarının 2026’daki en büyük kayıp kalemlerinin gerisinde kaldığını ortaya koydu.
Yorumlar