293 milyon dolar kayboldu, kodda sıfır güvenlik açığı: 2026'nın en büyük siber saldırısı, DVN yapılandırmasındaki güvenlik kör noktalarını ortaya çıkardı.

18 Nisan 2026'da, Kelp DAO'nun likidite geri alma protokolü, saatler içinde zincirler arası köprüden 116.500 rsETH (o zamanki yaklaşık 293 milyon dolara eşdeğer) çalan bir saldırgan tarafından tehlikeye atıldı. Tüm süreç, zincirler arası mesajların sahteciliğinden, çalınan fonların üç borç verme protokolü (Aave V3, Compound V3 ve Euler) üzerinden gerçek varlık ödünç almak için dağıtılmasına kadar alışılmadık derecede verimliydi. Saldırganlar aynı gün 236 milyon dolar değerinde WETH ile çekim yaptı. Bunun üzerine Aave, SparkLend ve Fluid, rsETH piyasasını dondurdu.

Bu, 2026'da gerçekleşen en büyük DeFi saldırısı.

Ancak bu saldırıyı diğer siber saldırılardan ayıran bir şey var: Kelp DAO akıllı sözleşme kodunda hiçbir güvenlik açığı bulunmuyordu. Araştırmaya katılan güvenlik araştırmacısı @0xQuit, X'te şunları yazdı: "Şu an anladığım kadarıyla, bu iki sorunun birleşimi: 1'e 1 DVN yapılandırması ve DVN düğümünün kendisinin tehlikeye atılması." LayerZero'nun resmi açıklamasında da sözleşme kodundan bahsedilmedi ve sorun "LayerZero güvenlik açığı" yerine "rsETH güvenlik açığı" olarak nitelendirildi.

293 milyon dolar herhangi bir kod satırında değil. Dağıtım sırasında yanlış girilen bir yapılandırma parametresinde gizli.

DeFi güvenlik denetiminin genel mantığı şudur: sözleşmeyi bulun, kodu okuyun ve güvenlik açıklarını bulun. Bu mantık, kod mantığı güvenlik açıklarıyla uğraşırken oldukça sorunsuz çalışır. Slither ve Mythril gibi araçlar, yeniden giriş saldırıları ve tamsayı taşmaları gibi bilinen kalıpları tespit etmede nispeten olgun yeteneklere sahiptir. Son iki yıldır yoğun bir şekilde tanıtılan LLM destekli kod denetimi de, iş mantığı güvenlik açıklarını (örneğin flaş kredi arbitraj yolları) tespit etmede bazı yeteneklere sahiptir.

Ancak bu matriste kırmızı renkte olan iki satır var.

Yapılandırma katmanı güvenlik açıkları, araç denetiminde yapısal bir kör noktadır. Kelp DAO'daki sorun .sol dosyasında değil, protokol dağıtımı sırasında yazılan bir parametrede, yani DVN eşiğindedir. Bu parametre, zincirler arası bir mesajın meşru kabul edilmesi için kaç doğrulama düğümü tarafından onaylanması gerektiğini belirler. Kodun içine girmez, Slither'ın tarama kapsamı içinde değildir veya Mythril'in sembolik yürütme yoluna girmez. Dreamlab Technologies tarafından yapılan karşılaştırmalı bir çalışmaya göre, Slither ve Mythril test edilen sözleşmelerde sırasıyla 10 güvenlik açığından 5'ini ve 6'sını tespit etmiştir, ancak bu başarı "güvenlik açıklarının kodda olduğu" varsayımına dayanmaktadır. IEEE araştırmasına göre, kod seviyesinde bile mevcut araçlar, istismar edilebilir güvenlik açıklarının yalnızca %8-20'sini tespit edebilmektedir.

Mevcut denetim paradigmaları açısından bakıldığında, "DVN eşiğinin makul olup olmadığını tespit edebilecek" bir araç bulunmamaktadır. Bu tür bir yapılandırma riskini tespit etmek için gereken şey bir kod analizcisi değil, belirli bir yapılandırma kontrol listesidir: "Çapraz zincir protokolünde kullanılan DVN sayısı ≥ N mi?", "Minimum eşik gereksinimi var mı?". Şu anda bu tür soruları kapsayan standartlaştırılmış araçlar mevcut değildir ve hatta yaygın olarak kabul görmüş endüstri standartları bile yoktur.

Kırmızı alan içerisinde ayrıca anahtar ve düğüm güvenliği de yer alıyor. @0xQuit'in açıklamasında bir DVN düğümünün "ihlal edilmesi"nden bahsediliyor; bu da operasyonel güvenlik (OpSec) kategorisine giriyor ve herhangi bir statik analiz aracının tespit yeteneklerinin ötesinde. Ne önde gelen denetim firmaları ne de yapay zeka tarama araçları, bir düğüm operatörünün özel anahtarının sızdırılıp sızdırılmayacağını tahmin edebiliyor.

Bu saldırı, matriste aynı anda iki kırmızı alanı tetikledi.

DVN, Decentralized Verifier Network'ün kısaltması olan LayerZero V2 için zincirler arası mesaj doğrulama mekanizmasıdır. Tasarım felsefesi, güvenlik karar verme yetkisini uygulama katmanına devretmektir: LayerZero'ya bağlı her protokol, zincirler arası bir mesajın geçmesine izin vermeden önce kaç DVN düğümünün aynı anda onaylaması gerektiğini seçebilir.

Bu "serbestlik derecesi" bir spektrum oluşturur.

Kelp DAO, spektrumun en solundaki 1'e 1 yapılandırmasını seçti ve onay için yalnızca bir DVN düğümü gerektirdi. Bu, sıfır hata toleransı anlamına gelir; bir saldırganın rastgele zincirler arası mesajlar oluşturmak için yalnızca bu tek düğümü ele geçirmesi yeterlidir. Buna karşılık, LayerZero ile entegre olan ancak ikiden fazla gerekli DVN yapılandıran Apechain, bu olaydan etkilenmedi. LayerZero'nun resmi açıklamasında "diğer tüm uygulamalar güvenli kalır" denildi, bu da güvenliğin seçtiğiniz yapılandırmaya bağlı olduğu anlamına geliyor.

Sektör standardı önerisi en az 2/3'tür; bu da saldırganların mesaj sahteciliği yapmak için iki bağımsız DVN düğümünü aynı anda ele geçirmesini gerektirir ve hata toleransını %33'e çıkarır. 5/9 gibi yüksek güvenlikli yapılandırmalar ise %55'e kadar hata toleransı sağlayabilir.

Sorun şu ki, dış gözlemciler ve kullanıcılar bu yapılandırmayı göremiyor. Her ikisi de "LayerZero tarafından destekleniyor" olarak etiketlenmiş olsa da, altta yatan hata toleransı %0 veya %55 olabilir. Her ikisine de dokümantasyonda DVN olarak atıfta bulunuluyor.

Anyswap olayını yaşamış deneyimli kripto yatırımcısı Dovey Wan, X platformunda doğrudan şu yorumu yaptı: "LayerZero'nun DVN'si 1/1 doğrulayıcıdır... Tüm zincirler arası köprüler derhal kapsamlı bir güvenlik incelemesinden geçmelidir."

Ağustos 2022'de Nomad çapraz zincir köprüsünde bir güvenlik açığı keşfedildi. Birisi ilk saldırı işlemini kopyaladı, küçük değişiklikler yaptı ve başarılı olduğunu gördü; ardından yüzlerce adres bunu kopyalamaya başladı ve birkaç saat içinde 190 milyon dolar çalındı.

Nomad'ın olay sonrası analizinde, güvenlik açığının "rutin bir yükseltme sırasında güvenilir kök dizinin 0x00 değerine başlatılmasından" kaynaklandığı belirtildi. Bu, dağıtım aşamasında meydana gelen bir yapılandırma hatasıydı. Merkle, doğrulama mantığının doğru olduğunu, kodun kendisinde bir kusur olmadığını, sorunun yanlış bir başlangıç değerinde yattığını kanıtladı.

Nomad ile birlikte, yapılandırma/başlatma güvenlik açıkları yaklaşık 482 milyon dolarlık kayba neden oldu. Zincirler arası köprü hırsızlıklarının tüm tarihinde, bu kategori, anahtar ihlalleriyle (Ronin için 624 milyon dolar, Harmony için 100 milyon dolar ve Multichain için 126 milyon dolar, toplamda yaklaşık 850 milyon dolar) karşılaştırılabilir ölçektedir.

Ancak, kod denetimi sektöründeki ürün tasarımı hiçbir zaman bu kategoriye yönelik olarak yapılmamıştır.

Sektörde en çok tartışılan konu hala kod mantığı güvenlik açıklarıdır. Wormhole'un imza doğrulama atlatma nedeniyle 326 milyon dolarlık kaybı ve Qubit Finance'in sahte para yatırma işlemleri nedeniyle 80 milyon dolarlık hırsızlığı buna örnek teşkil etmektedir. Bu vakalar, eksiksiz güvenlik açığı analiz raporlarına, CVE numarası karşılaştırmalarına ve tekrarlanabilir PoC'lere sahip olup, denetim araçlarının eğitimi ve optimizasyonu için uygundur. Kodda ele alınmayan yapılandırma düzeyindeki sorunların üretim döngüsünde uygulanması olası değildir.

Dikkat çekici bir ayrıntı, iki yapılandırma olayının son derece farklı şekillerde tetiklenmiş olmasıdır. Nomad, rutin bir yükseltme sırasında yanlışlıkla hatalı bir başlangıç değeri girdi ki bu bir hataydı. Öte yandan, Kelp DAO'nun 1-of-1 yapılandırması proaktif bir tercihti; LayerZero protokolü bu seçeneği yasaklamıyor ve Kelp DAO herhangi bir protokol kuralını ihlal etmedi. "Uyumlu" bir yapılandırma tercihi ve "hatalı" bir başlangıç değeri nihayetinde aynı sonuca işaret eder.

Bu saldırının uygulama mantığı basittir: Sahte bir zincirler arası mesaj, Ethereum ana ağına "başka bir zincirdeki birinin eşdeğer değerde varlıkları kilitlediğini" bildirir ve bu da ana ağın rsETH basmasını tetikler. Basılan rsETH'nin kendisinin gerçek bir karşılığı yoktur, ancak zincir üzerindeki kaydı "meşru"dur ve borç verme protokolleri tarafından teminat olarak kabul edilebilir.

Saldırganlar daha sonra 116.500 rsETH'i Aave V3 (Ethereum ve Arbitrum), Compound V3 ve Euler'e dağıtarak toplamda 236 milyon dolardan fazla gerçek varlığı ödünç verdiler. Çeşitli raporlara göre, yalnızca Aave V3'ün tahmini 177 milyon dolarlık batık borcu bulunuyor. Aave'nin güvenlik modülü Umbrella'nın, batık borcu absorbe etmek için yaklaşık 50 milyon dolarlık WETH rezervi bulunuyor; bu da toplamın %30'undan azını karşılıyor; geri kalan kısım ise aWETH stake edenler tarafından karşılanacak.

Sonuç olarak, bu yük sadece biraz WETH faizi kazanmak isteyenlerin omuzlarına düşüyor.

Haberin yayına hazırlandığı sırada LayerZero, güvenlik olaylarına müdahale kuruluşu SEAL Org ile ortak bir soruşturma yürütmeye devam ediyordu ve tüm bilgileri edindikten sonra Kelp DAO ile birlikte olay sonrası analiz raporunu yayınlayacağını belirtti. Kelp DAO ise "proaktif iyileştirme" çalışmaları yürüttüğünü ifade etti.

293 milyon dolarlık güvenlik açığı kodda değildi. "Denetim başarılı" ifadesi, o parametrenin konumunu gizlemiyordu.