Bilmeniz Gereken En İyi 10 DeFi Hack’i

DeFi hack’lerinin en iyilerini öğrenmek, piyasanın geçmişini ve geleceğini daha iyi anlamanıza yardımcı olabilecek akıllı bir adımdır. Merkezi Olmayan Finans (DeFi) dünyası, blokzincir endüstrisinin heyecan verici ve genişleyen bir sektörü olmaya devam ediyor. Bu benzersiz ve genellikle deneysel platformlar, kullanıcılara daha fazla esneklik, gizlilik ve getiri fırsatları sunmaya odaklanır. Bu görevi başarmak için, kullanıcı kârlılığını artırabilecek merkezi olmayan bir yapı kullanırlar.

DeFi hareketi tam bir ivme kazanmış durumda ve teknoloji yenilik yapmaya devam ediyor. Ancak bu büyük büyüme, bazı dikkat çekici büyüme sancılarıyla birlikte geldi. Her yeni teknolojinin etrafında, hataları sömürmek isteyen birileri vardır ve DeFi de farklı değildir. İşte bilmeniz gereken en iyi 10 DeFi hack’i.

1. Ronin Network – $625M

DeFi hack’leri listesinde en üstte, yarım milyar dolardan fazla kayıpla sonuçlanan bir olay yer alıyor. Ronin ağı, saldırganların yan zincirde bir zayıflık bulmasıyla $625M hack’ine maruz kaldı. Özellikle Ronin Network, Axie Infinity oyuncularının varlıkları köprülemesinin birincil yolu olarak işlev görüyor.

Axie Infinity, mevcut en popüler “play-to-earn” oyunlarından biridir. Kullanıcılar Axie’lerini toplar, savaşır ve çiftleştirerek ödüller kazanır. Her Axie’nin nadirliğini ve değerini artıran özgün özellikleri vardır.

Saldırganlar, aynı anda beş doğrulayıcıyı bozarak ağın çekim süreçlerini kontrol altına alabildi. Bu hamle, saldırganların $25 milyon USDC ve 173.600 ETH çalmasını kolaylaştırdı. Bugüne kadar fonlar geri alınamadı.

2. Poly Network – $601M

Bir başka DeFi hack’i, Ağustos 2021’de yarım milyar dolardan fazla kayıpla sonuçlandı. Bu saldırı, Ronin Network’teki gibi doğrulama düğümlerinde gerçekleşti. Saldırganlar, çapraz zincir köprülerinin muhasebeci düğümlerini hedef alarak ağın özel anahtarlarına erişmek için yeterli bilgi topladılar. Anahtarlar elde edildikten sonra, saldırganlar Ethereum, Polygon ve BNB token’larından milyonlarca değer çaldı.

Ek olarak, hâlâ bir hesabın içinde $268 milyon değerinde token kilitli ve bu hesabın şifresi hem hacker hem de Poly Network tarafından gerekmekte. Bu olayı daha ilginç kılan, Poly Network’ün hacker’a fonları iade etmesi durumunda $500K ve bağışıklık teklif etmesiydi. Hacker, hükümet yetkililerinin böyle cesur bir soygunu kovuşturmayacağını garanti etmenin neredeyse imkânsız olması nedeniyle teklifi reddetti.

Bu hack’in çoğu fonu iade edildi, sadece $33 milyon belirsiz kaldı. Son etkileşimlerinden birinde, hacker soygunu “sadece eğlence için” yaptığını söyledi.

3. Wormhole Bridge – $325 million

Wormhole Bridge, büyük kayıplarla sonuçlanan bir başka üzücü DeFi hack’idir. Wormhole köprüsü, hayati bir çapraz zincir DeFi köprüsü olarak hizmet verir. Projenin amacı, sürtünme noktalarını ortadan kaldırarak likiditeyi artırmaktır. Özellikle ağ, varlıkların diğer ağlara geçişini sağlamak için “wrap” (sarma) adı verilen bir süreç kullanır.

Bu olayda, saldırganlar likidite mekanizmasına erişerek hiçbir teminat yatırmadan sarılmış token’lar üretmeye başladı. İlginç bir şekilde, bu görevi yerine getirmek için Solana blokzincirinde basılmış coin’leri kullandılar. Solana üzerindeki sarılmış ETH, 93.750’den fazla token oluşturdu. Buradan saldırganlar varlıkları doğrudan ETH’ye takasladı.

4. Nomad Bridge – $190M

Nomad Bridge hack’i piyasayı şaşkına çevirdi. Saldırganlar, oluşturdukları bir boşluk sayesinde yatırdıklarından daha fazla çekim yaparak $190M değerinde kriptoyu çaldı. Bu süreç, ağ yöneticileri olaya müdahale edene kadar 1.175 kez tekrarlandı.

Gecikme, ağdan $190 milyon değerinde token çalınmasına yol açtı. Adli incelemeler, haber yayıldıkça birden fazla hacker’ın soygunda yer aldığını ve daha fazla grubun yağmalamaya katıldığını ortaya koydu. Nomad ekibi, kullanıcı fonlarının iade edilmesi için çaresiz bir ricada bulundu.

Çabaları sayesinde $30M’dan fazlası geri gönderildi. Kalan fonlar hâlâ bulunamıyor. Bu hack, bazı durumlarda iletişimin milyonlarca fonun geri kazanılmasına yol açabileceğini gösteriyor.

5. Beanstalk Farms – $182M

Beanstalk Farms, algoritmik stablecoin’ler tarafından desteklenen bir DeFi sistemiydi. Algoritmik stablecoin’ler, protokoller ve dijital para rezervleri kullanır; bu da onları çoğu stablecoin’den ayırır. Bu tür stablecoin’ler bir süredir var olsa da, sürdürülebilirliği son derece zordur.

Bu hack’te, saldırganlar topluluk yönetişim sistemine odaklandı. Teklifleri onaylamalarına izin veren bir zayıflıktan faydalandılar. Kontrolü ele geçirdikten sonra, yüz milyonlarca stablecoin basan birden fazla teklif onayladılar. Fonlar iki adrese transfer edildi.

Birisi hacker’ın varsayılan adresi, diğeri ise bir Ukrayna bağış adresiydi. Sonuçta hacker soygunun yaklaşık $70M’ını kendine sakladı, kalan kısmı ise Ukrayna mültecilerine yardım etmek için kullandı. Bu şekilde hack, bağışlanan milyonların bir kısmının iyi bir amaca hizmet etmesi nedeniyle bir ikilem olarak kalıyor.

6. Wintermute – $160M

Wintermute, kullanıcıların birincil depolama alanı olarak Vanity Wallet’ı kullanan popüler bir DeFi likidite platformuydu. Vanity Wallet, adres yeniden yaratma saldırılarına izin veren bir saldırı vektörüne sahipti ve bu sayede saldırganlar ağı $160 milyon değerinde boşaltabildi.

Bu hack, DeFi ağlarının sıcak cüzdanlar yerine soğuk depolama sistemlerini tercih etmesi gerektiğinin çarpıcı bir örneğidir. Soğuk depolama, kriptonuzu çevrimdışı ya da “air gap” (havayla izole) bir ortamda saklamanın bir yoludur. Çevrimiçi tehditleri önler ve büyük kayıpların ardından sektör standardı haline gelmiştir.

7. Compound – $150M

Compound, hala sektördeki en iyi performans gösteren DeFi likidite pazarlarından biridir. Ağ, kötü kodlama ve saldırganların yarattığı kaosun bir kombinasyonu sonucunda $150M’lık büyük bir kayıp yaşadı. “Leaky Tap” (Sızdıran Musluk) olarak adlandırılan kodlama hatası, akıllı sözleşmenin neden olmaksızın yeni token’lar basmasına izin verdi.

DeFi hack’leri, 280.000 ağ faydası COMP token’ı içeren devasa bir likidite havuzu oluşturdu. Havuz açıldıktan sonra fonları çekmeye başladılar. Bu bir kodlama hatası olduğu için doğrudan bir hack değildi; geliştiricilerin hatayı düzeltmek üzere topluluk yönetişim önerisi sunması gerekiyordu. Süreç günler sürdü.

Gecikmeler, kullanıcıların hesabın yavaşça boşaldığını izlemek zorunda kalması nedeniyle ek fon kayıplarına yol açtı. Geliştiriciler olaydan kısa bir süre sonra fonların yarısından fazlasını geri almayı başardı ve bu, kullanıcı kayıplarını önemli ölçüde sınırladı. Bugün Compound, bu tür saldırılara karşı geliştirilmiş güvenlik önlemleriyle hâlâ üst düzey bir DeFi protokolü olarak faaliyet göstermektedir.

8. Vulcan Forged $140M

Vulcan Forged hack’i, bir “play-to-earn” ağının yüz milyonlarca dolarlık kayıpla ilk kez hedef alınması olarak tarihe geçti. Platform, popüler P2E oyunlarına erişim sağlayarak popülerlik kazandı. Ayrıca kullanıcılar kazançlarını alıp, sunulan birçok DeFi seçeneğiyle getirilerini artırabiliyordu.

Aralık 2021’de, büyük bir kullanıcı grubu için işler kötüye gitti; saldırganlar ağın arka ucuna erişerek 96 cüzdan anahtarını sildi. Kodlama sorunu, oyuncuların Venally cüzdanlarının $140M değerinde PYR token’ı ile boşaltılmasına yol açtı. Bir kodlama hatası olduğu için proje, kayıpları etkilenilen tüm kullanıcılara hızla geri ödedi.

9. BadgerDAO – $120M

BadgerDAO hack’i Aralık 2021’de gerçekleşti ve 2.100 BTC ve 151 ETH kaybına yol açtı. BadgerDAO, DeFi dünyasına yüksek performanslı bir Bitcoin köprüsü olarak hizmet veriyordu. Hack, platformun kullanıcı arayüzünde bir zayıflık bulunmasıyla gerçekleşti.

Kayıpların ardından yapılan titiz incelemede, hacker’ın çok aşamalı bir yaklaşım kullandığı belirlendi; ilk adımda güvenlik firması Cloudflare’ı hacklediler. Bu hack, işlemlere izin vermek için gerekli bilgileri elde etmelerini sağladı. Bugün web sitesi, kalan tüm kasaların kapatıldığını duyuruyor.

10. Horizon Bridge – $100M

Horizon Bridge hack’i, listedeki diğer birçok olaya kıyasla daha yeni bir tarihte gerçekleşti. Haziran 2022’de bu çapraz zincir köprüden $100M çalındı. Köprünün işletmecisi Harmony, saldırıyı durdurmak ve daha fazla kaybı önlemek için operasyonları geçici olarak durdurmak zorunda kaldı.

Detaylı bir inceleme, Harmony’nin çoklu imza (multi-sig) cüzdanının dört imza gerektirecek şekilde ayarlandığını, ancak fon transferi için sadece iki imzanın yeterli olduğunu ortaya koydu. Ne yazık ki bu sorunlar saldırı öncesinde dile getirilmemişti. Sonuçta, ağın dokuz haneli bir kaybın diğer tarafında kalması, bu uyarıların ne kadar hayati olduğunu gösterdi.

Growing Pains are Part of Life

Yeni teknolojilerin yenilik yapıp genişlemesi, dolandırıcılar ve hacker’ların buldukları fırsatları sömürme riskinin olmadığı bir evrende gerçekleşemez. Neyse ki, her hack’in arkasındaki olumlu yön, diğer platformlarda önlenebilecek yeni bir stratejiyi ortaya çıkarmasıdır. Bununla birlikte, kötü niyetli hacker’lar maalesef kripto topluluğunun bir parçasıdır – insanlar bunu sevse de sevmese de.