Kripto Köprüleri Neden DeFi’nin En Zayıf Halkası? Kelp DAO’dan 293 Milyon Dolarlık Saldırı

Kelp DAO Saldırısı: 293 Milyon Dolarlık Kayıp

Kripto köprüleri, DeFi dünyasında yeniden tartışma konusu oldu. Geçtiğimiz cumartesi gerçekleşen 293 milyon dolarlık Kelp DAO saldırısı, sektörün dikkatini köprü güvenliğine çevirdi. TRM Labs’in Küresel Politika ve Hükümet İlişkileri Başkanı Ari Redbord, saldırının ardından yaptığı açıklamada, "300 milyon dolarlık bir kuruluşun güvenlik modelinin tek bir doğrulayıcının imza anahtarına indirgenmesi, saldırı yüzeyini teknik olmaktan çıkarıp yapısal bir soruna dönüştürüyor" dedi.

Saldırı Nasıl Gerçekleşti?

Saldırganlar, LayerZero’nun çapraz zincir mesajlaşma sistemini kullanarak 116.500 rsETH tokenini boşalttı. Bu miktar, tokenin dolaşımdaki arzının yaklaşık %18’ine denk geliyor. Saldırganlar, sahte bir mesaj göndererek Kelp’in köprüsüne başka bir blokzincirden para geldiği yanılgısını yarattı. Köprü, bu sahte sinyali gerçek kabul ederek tokenleri serbest bıraktı.

Kelp DAO Nedir?

Kelp DAO, Ethereum üzerinde çalışan bir sıvı yeniden stake etme protokolü. Kullanıcılar, uygun tokenleri yatırarak hem standart stake ödüllerini hem de EigenLayer üzerinden ek getirileri elde edebiliyor. Yatırımcılar, sermayelerini kilitlemeden verim elde ederken likiditelerini koruyabiliyor.

Köprüler Nasıl Çalışır?

Çapraz zincir köprüleri, farklı blokzincirleri (örneğin Ethereum ve Arbitrum) arasında bağlantı kuran yazılımlardır. Kullanıcılar tokenlerini bir zincirden diğerine taşırken, köprü orijinal tokenleri kilitler ve yeni zincirde eşdeğer tokenler oluşturur. Bu süreç, doğrulayıcılar adı verilen güvenilir bilgisayarlar tarafından onaylanır.

Saldırının Ardındaki Zafiyet

Kelp DAO’nun köprüsü, 1/1 Merkezi Olmayan Doğrulayıcı Ağı (DVN) adı verilen bir yapıya sahipti. Bu da, tek bir doğrulayıcının çapraz zincir mesajlarını onaylama yetkisine sahip olduğu anlamına geliyor. Doğrulayıcıya yapılan saldırı veya sahte mesaj, tüm sistemin güvenilirliğini ortadan kaldırdı.

Saldırının Etkileri

Saldırının etkisi sadece Kelp DAO ile sınırlı kalmadı. Aave, SparkLend, Fluid ve Upshift gibi platformlar, rsETH ile ilişkili piyasaları geçici olarak durdurdu. Sadece Aave’de kullanıcılar, 5,4 milyar dolarlık ether çekişi gerçekleştirdi.

Kelp DAO’nun acil durum multisignature cüzdanı, sözleşmeleri 46 dakika içinde dondurarak ek 100 milyon dolarlık bir saldırıyı engelledi.

Uzmanlardan Öneriler

"Çözüm, savunmaya odaklanmaktır: Mesajlaşma katmanlarında çeşitlendirilmiş doğrulayıcı setleri, gerçek zamanlı izleme, hızlı müdahale eden pauser multisignature’lar ve bulaşmanın yayılmasını önleyecek çapraz protokol planları gereklidir."

Nisan Ayı DeFi İçin Zorlu Geçti

Nisan ayında yaşanan saldırılar, DeFi sektörü için zorlu bir ay oldu. Kelp DAO saldırısının yanı sıra, Drift protokolünde 286 milyon dolarlık kayıp yaşandı. Toplam kayıp 550 milyon doları aşarken, sektör güvenlik açıklarını kapatmaya çalışıyor.