Önemli Çıkarımlar:
Kelp DAO, 18 Nisan'da saldırganlar tarafından boşaltılan protokolün ardından 25 Mayıs'ta çapraz zincir köprüsüne yaklaşık 116.500 rsETH'nin ikmalini bitirerek 292 milyon dolarlık bir istismarın ardından kurtarma planını tamamladı.
Kelp DAO yaptığı açıklamada, "20.373,72 rsETH'lik son dilim bugün erken saatlerde rsETH OFT adaptörüne gönderildi. Bu, rsETH kurtarma planının operasyonel kısmını kapatıyor" dedi.
İstismar, çapraz zincir transferleri için kullanılan bir köprü sözleşmesi olan Kelp'in LayerZero OFT adaptörünü hedef aldı; burada saldırganlar, fonları serbest bırakmak için sahte bir paket kullandı. Olay zincirleme bir etki yarattı; saldırgan, teminatsız rsETH'yi diğer varlıkları ödünç almak için Aave borç verme protokolüne yatırarak kötü borca yol açtı ve Aave'yi WETH borçlanmasını geçici olarak durdurmaya zorladı.
Kurtarma, beş ay içinde sektörden toplamda 840 milyon dolardan fazla fonun çekildiği 2026'nın en büyük DeFi saldırılarından birinin defterini kapatıyor. Olay, sektör genelinde bir güvenlik yeniden değerlendirmesine yol açtı; Kelp, Chainlink'in daha güvenli CCIP köprü altyapısını benimsemeye geçerken, LayerZero da savunmasızlığın kökeni olan tek imzalı yapılandırmalar etrafındaki kontrolleri sıkılaştırıyor.
18 Nisan saldırısı, güvenlik araştırmacıları tarafından UNC4899 olarak da bilinen Kuzey Kore bağlantılı TraderTraitor grubuna atfedildi. LayerZero'nun bir analiz raporuna göre, saldırı vektörü sosyal mühendislik ve ele geçirilmiş RPC düğümlerini içeriyordu ve saldırganların Kelp'in köprü kurulumundaki 1/1 DVN (Merkeziyetsiz Doğrulayıcı Ağı) yapılandırmasından yararlanmasına olanak tanıyordu. Bu, ele geçirilmiş tek bir doğrulayıcının kötü niyetli bir işlemi yetkilendirebileceği anlamına geliyordu.
Sonuçlar ani ve yaygındı. Saldırgan yaklaşık 116.500 rsETH'yi Ethereum ana ağına köprüledi ve bunu WETH ödünç almak için Aave'de teminat olarak kullandı; bu da bir köprü hatasını sistemik bir DeFi borç verme krizine dönüştürdü. Aave'den alınan veriler, olay sonrasında Toplam Kilitli Değerinin (TVL) 8 milyar dolardan fazla düştüğünü gösteriyor.
Yanıt, Kelp, Aave ve diğer endüstri ortaklarının çok yönlü bir çabasını içeriyordu. "DeFi United" adı verilen bir yardım girişimi, Aave'de oluşan kötü borcu desteklemek için yaklaşık 303 milyon dolar değerinde 132.650 ETH topladı.
Kelp'in operasyonel kurtarması, rsETH'nin 1'e 1 desteğini geri yüklemek için LayerZero OFT adaptör sözleşmesini metodik olarak yeniden doldurmaya odaklandı. Son dilimin gönderilmesiyle protokol; darphane, geri ödeme ve ödüllerin normal operasyonlara döndüğünü onayladı. Aave, ardından Ethereum, Arbitrum, Base ve diğer ağlardaki V3 dağıtımlarında teminat karşılığında WETH borçlanmasını yeniden etkinleştirdi.
Daha geniş DeFi sektörü için bu olay, saldırganlar için birincil hedef olmaya devam eden çapraz zincir köprülerinin mimari riskleri konusunda maliyetli bir ders teşkil ediyor. TRM Labs'a göre, Kuzey Kore bağlantılı aktörler, 2026'nın ilk dört ayında küresel kripto hack kayıplarının %76'sını oluşturdu; bu oran 2025'te %64 idi ve devlet destekli grupların kalıcı ve gelişen tehdidini vurguluyor.
Bu makale sadece bilgilendirme amaçlıdır ve yatırım tavsiyesi teşkil etmez.
