2026 Yılında DeFi Hack'leri Nasıl Rekor Kırdı
Merkezi olmayan finans protokolleri 2026 yılının ilk sekiz ayında toplam 1.3 milyar dolar kayıp yaşadı. CertiK ve Forbes verilerine göre bu rakam, geçmiş yıllardaki DeFi hack'lerinin en yüksek seviyelerine ulaştı. Sadece Nisan ayında iki büyük saldırı 575 milyon dolar kaybettirdi.
Ancak kayıpların arkasındaki neden artık akıllı sözleşme hataları değil. Saldırganlar, kod açıkları aramak yerine platform yöneticilerinin private key'lerini çalmaya odaklandı. Bu değişim, DeFi güvenlik paradigmasını temelden değiştiriyor.
CertiK'in son raporuna göre 2026'da DeFi hack'lerinin yüzde 68'i key compromise yöntemiyle gerçekleşti. 2025'te bu oran sadece yüzde 42'ydi. Artık en büyük risk kod değil, insan faktörü.
Drift Protocol: 285 Milyon Dolar 128 Saniyede Çalındı
1 Nisan 2026'da Drift Protocol, tarihin en hızlı DeFi soygunlarından birine maruz kaldı. Saldırganlar, platform yöneticilerini aylarca kandırarak güvenlerini kazandı ve Security Council'dan önceden imzalanmış yetki aldı.
Saldırganlar sahte bir token'ı beyaz listeye ekledikten ve kontrollü bir oracle ile entegre ettikten sonra 285 milyon doları sadece 128 saniyede çekti. Drift'in güvenlik denetimi bu mekanizmayı tespit etmişti, ancak raporda bu risk sadece "bilgilendirme" seviyesinde değerlendirilmişti.
KelpDAO: Sosyal Mühendislikle 290 Milyon Dolar
18 Nisan 2026'da KelpDAO, LayerZero Labs geliştiricisinin session key'lerinin çalınmasıyla saldırıya uğradı. Saldırgan, 6 Mart'ta başlattığı sosyal mühendislik operasyonuyla geliştiricinin güvenini kazandı ve köprü RPC altyapısını ele geçirdi.
Bu erişimle 116,500 adet karşılıksız rsETH token basıldı. Saldırı, Aave platformundaki toplam kilitli değerin (TVL) 6.28 milyar dolar düşmesine neden oldu. KelpDAO vakası, merkezi olmayan finansın "merkezi olmayan" kısmının ne kadar kırılgan olduğunu gösterdi.
Kuzey Kore Bağlantısı: Lazarus Group
Blockchain analiz şirketlerinin raporlarına göre Kuzey Kore bağlantılı Lazarus Group'un TraderTraitor alt birimi, sadece bu iki saldırıdan 575 milyon dolar çaldı. Bu rakam, 2026 yılı toplam DeFi kayıplarının yüzde 44'üne tekabül ediyor.
Lazarus Group'un taktikleri giderek sofistike hale geliyor. Artık kod açıkları aramak yerine, aylarca süren sosyal mühendislik kampanyalarıyla platform yöneticilerinin güvenini kazanıp sistemlere sızıyorlar.
Denetimler Neden Yetersiz Kaldı
Her iki platform da saldırı öncesinde profesyonel güvenlik denetimlerinden geçmişti. Ancak denetimler kod güvenliğine odaklanıyor, operasyonel güvenlik ve insan zayıflıklarını kapsam dışı bırakıyor.
Drift'in denetim raporu, saldırıda kullanılan mekanizmayı tespit etmişti. Ancak kod seviyesinde bir açık olmadığı için bu bulgu kritik olarak işaretlenmedi. KelpDAO'nun köprü altyapısı teknik olarak güvenliydi, ancak bir geliştiricinin session key'lerinin çalınmasını engelleyecek bir kontrol yoktu.
DeFi Güvenliğinde Yeni Dönem
Trend açık: saldırganlar artık kod yazmak yerine insan manipülasyonuna yatırım yapıyor. Geleneksel hack yöntemleri yerine sosyal mühendislik kampanyaları daha karlı hale geldi. Bir kod açığını bulmak aylar sürebilir ve başarı garantisi yoktur, ancak bir yöneticiyi kandırmak daha kolay ve tahmin edilebilir.
MASAK'ın 72 saat kuralı gibi düzenlemeler, Türk yatırımcıları merkezi borsalarda bir miktar korusa da DeFi protokollerinde böyle bir koruma yok. Kullanıcılar, platformun teknik altyapısına olduğu kadar yönetim ekibinin operasyonel güvenliğine de güvenmek zorunda.
SPK'nın kripto varlık hizmet sağlayıcıları için hazırladığı düzenlemeler de sadece merkezi platformları kapsıyor. DeFi protokolleri tanım gereği merkezi bir otoriteye sahip olmadığı için bu düzenlemelerin dışında kalıyor.
Platformlar Ne Yapabilir
Sektör uzmanları, çok imzalı cüzdan kullanımının artırılması, session key'lerin sık rotasyonu ve yöneticiler için zorunlu güvenlik eğitimi gibi önlemleri savunuyor. Bazı platformlar, kritik işlemler için en az 48 saat bekleme süresi (timelock) uygulamaya başladı.
Ancak bu tedbirlerin ne kadar etkili olacağı henüz belirsiz. Drift Protocol çok imzalı cüzdan kullanıyordu, ama saldırganlar Security Council üyelerini manipüle ederek sistemi atlattı. Timelock mekanizması da yeterince sofistike bir saldırıda işe yaramayabilir.
DeFi'nin merkezi olmayan yapısı, bu tür saldırılara karşı hem avantaj hem dezavantaj. Tek başarısızlık noktası olmadığı için bazı saldırı vektörleri engellenmiş oluyor. Ancak merkezi bir güvenlik ekibi de olmadığı için koordineli savunma zayıf kalıyor.