Kriptoda 293 milyon dolarlık korsanlık

Kripto para piyasaları, hafta sonuna DeFi tarihinin en karmaşık ve yıkıcı saldırılarından biriyle girdi. Siber saldırganlar, farklı blokzincirleri arasında iletişimi sağlayan LayerZero protokolü üzerine kurulu bir köprüyü manipüle ederek, Kelp DAO tarafından ihraç edilen yaklaşık 116.500 rsETH’i (yaklaşık 293 milyon dolar) ele geçirdi.

Saldırı, sadece Kelp DAO’yu değil, bu protokolü teminat veya likidite kaynağı olarak kullanan tüm ekosistemi vurdu. Güvenlik firması Cyvers, olayın basit bir protokol suistimalinden ziyade, "protokoller arası bir bulaşma olayı" olduğunu vurguladı.

DeFi sisteminde varlıklar genellikle birbirinin üzerine inşa edilir (DeFi Legos). Kullanıcıların stETH veya cbETH yatırarak karşılığında aldığı rsETH, diğer platformlarda kredi teminatı olarak kullanılabiliyor. rsETH’in değerinin veya güvenliğinin sarsılması, bu varlığın kullanıldığı tüm kredi ve likidite havuzlarını doğrudan tehdit altına soktu.

Aave’den acil müdahale

20 milyar dolardan fazla kilitli varlığa sahip olan DeFi devi Aave, hasarı sınırlandırmak adına rsETH ile ilişkili tüm piyasalarını dondurduğunu açıkladı. Bu karar, rsETH üzerinden yeni kredi çekilmesini ve mevduat yatırılmasını engellemeyi amaçlıyor. Gelişmenin ardından Aave’nin yerel token’ı pazar günü Asya seansında %20 değer kaybetti.

100 milyon dolarlık "ikinci dalga" son anda engellendi

Cyvers Teknik Başkanı Meir Dolev, durumun çok daha vahim bir noktaya evrilebileceğini belirtti. Dolev’e göre, saldırganın ikinci bir hamle ile 100 milyon dolar daha çalmasına sadece üç dakika kala, protokolün hızlı bir şekilde kara liste (blacklist) uygulaması sayesinde ek kayıpların önüne geçildi.

Kelp DAO, X üzerinden yaptığı açıklamada ana ağ (mainnet) ve Katman-2 (L2) üzerindeki tüm rsETH kontratlarını durdurduğunu ve kapsamlı bir soruşturma başlattığını duyurdu. Bu saldırı, Solana tabanlı Drift projesinin maruz kaldığı ihlali geride bırakarak 2026’nın en büyük DeFi istismarı olarak kayıtlara geçti.