Orjinal Başlık: The $292 Million Heist: What the Kelp DAO Hack Tells Us About DeFi's Deepest Flaw
Orjinal Yazar: Arche Capital
Çeviri: Peggy, BlockBeats

Editör Notu: 18 Nisan'da, KelpDAO yaklaşık 292 milyon dolarlık varlık hırsızlığına uğradı. Bu tipik bir "akıllı sözleşme hack'lenmesi" değil, aksine çapraz zincirli doğrulama katmanı yapılandırma hatasından kaynaklanan bir domino etkisiydi: Saldırgan, sahte mesajlarla, aslında var olmaması gereken 116,500 rsETH oluşturdu ve bu "teminatsız varlıkları" Aave'e transfer ederek gerçek ETH borçlandı; bu da riski tek bir protokolden tüm DeFi teminat sistemi boyunca hızla yaydı.

Yüksek derecede birleştirilebilir bir sistemde, çapraz zincir köprüleri, likidite teminat jetonları ve borç alma protokolleri katmanlar halinde iç içe geçmiştir ve herhangi bir "yerel" gibi görünen yapılandırma seçimi, tüm zinciri etkileyen bir tetikleyici olabilir. rsETH gibi varlıklar genellikle nispeten güvenli bir teminat olarak kabul edildiğinde, temeldeki mekanizmanın başarısız olması sadece fiyat dalgalanmasını getirmekle kalmaz, aynı zamanda tüm fiyatlandırma ve güven sistemini eşzamanlı olarak çöker.

Yazar bu nedenle daha derin bir değerlendirme sunar; DeFi, son birkaç yılda modülerlik, birleştirilebilirlik ve "izin yok" tasarım ilkesini sürekli güçlendirmesine rağmen, her zaman en düşük güvenlik standartlarına sahip eksik olmuştur. Bu, teknik olarak "seçimli" bir yapılandırma hatasının, sistemik bir risk haline gelebileceği anlamına gelir.

Bir yüksek kaldıraçlı, yoğun şekilde etkileşimli bir finansal sistem kırılgan mühendislik yapılandırmasının üzerine inşa edildiğinde, "güvensiz" otomatik olarak "daha güvenli" anlamına gelmez.

Aşağıda orijinal metin bulunmaktadır:

Cumartesi günü akşamı, bir sahte bilgi (neredeyse sadece bir sayısal metin satırı kadar), bir yazılım parçasını 292 milyon doları "kendi isteğiyle" teslim etmeye zorladı. Hiçbir silah, hiçbir sosyal mühendislik saldırısı, hiçbir içeriden adam. Sadece bir güvenlik ayarlarında yapılandırma hatası ve birkaç saat önceden planlanmış, sabırla bekleyen bir saldırgan.

Pazar sabahına gelindiğinde, 2026'daki en büyük DeFi hack olayı, Aave'in bilançosundan 6.6 milyar doları silmiş, AAVE tokenini %16 düşüşe uğratmış, en az dokuz ana akım protokolün likiditesini dondurmuş ve yine o tanıdık yargıyı tetiklemişti: DeFi öldü.

Ölmedi. Ancak bu sefer, endüstrinin uzun süredir kaçındığı ancak asla gerçekten onaramadığı yapısal bir yaranın bir kez daha açığa çıktığını gördük.

Sonraki adımda, bu olayın nasıl gerçekleştiğini, etkilerini ve ortaya çıkarabileceği sonraki değişiklikleri ayrıntılı olarak inceleyeceğiz.

Benzetme: Vestiyer

Teknik detaylara girmeden önce, tüm olayı anlamak için bir görsel kullanarak başlayalım.

Kelp DAO'yu devasa bir binada, 20 odaya yayılmış bir vestiyer olarak hayal edebilirsiniz. Ceketinizi (ETH) ona teslim edersiniz, karşılığında bir kıyafet çıkarma fişini (rsETH) alırsınız. Bu fiş başlı başına değerlidir: ceketin size ait olduğunu kanıtlar, bekleme sürecinde gelir elde edebilir ve en önemlisi - ceket hala muhafaza edilirken bu fişi alıp binadaki herhangi bir bankoda teminat olarak kullanarak borç alabilirsiniz.

Tüm ceketler, birinci katta bulunan bir merkez depoda (Ethereum ana ağı) saklanmaktadır. Her odadaki her fiş, sonunda bu merkez depo tarafından onaylanmaktadır.

Bu odalar, bir "konuşma sistemi" ile bağlıdır ve bu sistem LayerZero olarak adlandırılır. 12. odadaki (Arbitrum) birisi depoyla iletişim kurmak istediğinde, bu iletişim sistemi aracılığıyla yapılır. Sistemde "güvenlik görevlileri" bulunmaktadır - Decentralized Verification Network (DVN) olarak adlandırılanlar, mesajın gerçek olup olmadığını doğrulamaktan sorumludur.

Sorun şu ki, Kelp sadece bu iletişim sistemi için bir güvenlik görevlisi atamıştır. Sadece bir tane. Herhangi bir talimat, "gerçek" olarak kabul edilmesi için sadece bir imza gerektirir.

Saldırgan, konuşma cihazına gidip, başka bir odadan biri gibi davranarak şunu söyler: "116,500 fişi serbest bırakın." Bu tek güvenlik görevlisi bu sahte bilgiyi kabul eder. Bu nedenle depo, gerçek bir ceketin depolanmadığı 2.92 milyar dolar değerindeki fişleri serbest bırakır - ve tüm süreç boyunca hiç kimsenin gerçekten ceket yatırdığı yoktur.

Ardından, saldırgan doğrudan Aave'ye (binanın bir borç verme bankosu) gidip, "Bu fişleri teminat olarak kullanarak borç almak istiyorum." der. Aave bu fişleri nominal değeri üzerinden kabul eder. Saldırgan sonunda gerçek ETH'nin üzerinde 2.36 milyar doların üzerinde gerçek parayla ayrılır.

Aave'nin elindeyse, hiçbir gerçek varlık tarafından desteklenmeyen bir yığın "senet" kalır.

Olay Nasıl Gerçekleşti (Adım Adım Açıklama)

Hazırlık Aşaması

Saldırıdan yaklaşık 10 saat önce, saldırgan Tornado Cash aracılığıyla 6 farklı cüzdana para yatırdı, kaynağını gizlemek için. Bu, standart bir saldırı öncesi hazırlık sürecidir - planlı, sabırlı ve oldukça profesyonelce.

Saldırı Yürütme

18 Nisan 2026 17:35'te (UTC), saldırgan cüzdanı, LayerZero'nun EndpointV2 akıllı sözleşmesindeki lzReceive fonksiyonunu çağırdı - bu, cross-chain mesajların alındığı ve yürütüldüğü girişti.

Saldırgan, Unichain'deki yasal bir karşı akıllı sözleşmeden gönderilmiş gibi görünen sahte bir mesaj oluşturdu ve Kelp köprüsünün saldırganın kontrol ettiği bir adrese 116,500 rsETH serbest bırakmasını istedi.

Köprü bu talimatı yerine getirdi.

Herhangi bir kaynak zincirinde yakma işlemi, teminat, herhangi bir gerçek işlem yoktur. Rezerv doğrudan "boşaltıldı". 116,500 rsETH - toplam arzın yaklaşık %18'ine karşılık gelen - saldırganın cüzdanında belirdi.

DVN'ın Ölümcül Sorunu

Sorunun özü: Kelp, 1/1 DVN yapılandırmasını kullanıyor - yalnızca bir doğrulama düğümü cross-chain mesajın yasal olup olmadığını onaylar.

Bu tek bir düğümün hacklenmesi veya sahteciliği durumunda, herhangi bir mesaj sahteciliği yapılabilir. Bir geliştirici X'te şöyle dedi: "Sadece bir imza gerekiyor, 116,500 rsETH Ethereum'da belirdi. Sözleşme bozulmadı, doğrulama katmanı bozuldu."

Başka bir açıklama, on-chain analiz firması D2 Finance'den geliyor: kaynak zincir OApp düğümünün özel anahtarının sızdırılmış olabileceği ve saldırganın doğrudan yasal imza yeteneği elde etmiş olabileceği.

Hangi yol olursa olsun, esas sorun aynıdır: tek noktada başarısızlık (single point of failure).

İkinci Adım: Değeri Boşaltma

Saldırgan, 2.92 milyar dolarlık rsETH'yi doğrudan piyasaya sürmedi - bu hemen fiyatın çökmesine neden olurdu.

Onlar daha verimli bir yol seçtiler: bu rsETH'leri Aave V3'e teminat olarak yatırdılar ve büyük miktarda WETH borç aldılar. Bu rsETH'lerin aslında hiçbir varlık desteklememesi nedeniyle, bu teminatlar temelde "hava"ydı. Ancak Aave, bunu hala gerçek teminat olarak işleyemediği için normal teminat olarak işlem yapmaya devam etti.

Sonuç, saldırganın gerçek ETH'yi alıp, kötü borç bırakmasıydı.

Acil Durum Yanıtı

Kelp'in acil çoklu imzası, 46 dakika sonra pauseAll komutunu yürüterek LRT yatırım havuzunu, çekme işlemlerini, oracle'ı ve rsETH'yi kendisi dondurdu. Ardından, iki kez daha büyük çapta saldırı denemesi (yaklaşık 40,000 rsETH each, toplamda yaklaşık 100 milyon dolar) engellendi. Bu duraklama olmasaydı, toplam zarar yaklaşık 3.91 milyar dolar olabilirdi.

Bu, tasarım gereği normal şekilde çalışan tek mekanizmadır.

DeFi Yığınına Sistemsel Darbe

rsETH'nin DeFi ekosistemi genelinde derinlemesine entegre olduğundan, teminat olarak yaygın bir şekilde bulunduğundan, darbe neredeyse anında yayıldı.

Aave, rsETH pazarını V3 ve V4'te tamamen dondurdu. ETH kaldıraç oranı %100'e fırladı—havuzdaki tüm ETH ödünç alındı, mevduat sahipleri varlıklarını çekemiyorlardı. Panik hali hızla yayıldı, protokolden 54 milyar doların üzerinde ETH çekildi. Justin Sun'un tek bir işlemde yaklaşık 154 milyon dolar çektiği görüldü. Aave'nin TVL'si birkaç saat içinde 6.6 milyar dolar azaldı.

SparkLend ve Fluid aynı şekilde kendi rsETH pazarlarını dondurdu. SparkLend, doğrudan bir risk pozisyonunun olmadığını ifade etti, bu durum daha muhafazakar risk kontrol stratejilerine bağlandı.

Lido Finance, earnETH ürününün mevduatını askıya aldı (bu ürün rsETH risk pozisyonunu içeriyordu), ancak ana protokol ve stETH etkilenmedi.

Ethena, tedbir amaçlı olarak, LayerZero tabanlı OFT cross-chain köprüsünü askıya aldı (rsETH tutmadığı, ve genel teminat oranının hala %101'in üzerinde olduğu göz önünde bulundurulduğunda). Bu adım, panik durumunun artık belirli bir varlıktan ziyade sistem seviyesine yönlendirildiğini göstermektedir.

Upshift, High Growth ETH ve Kelp Gain hazine havuzlarının mevduatını askıya aldı.

On-chain analist 0xngmi, bu darbenin sistemsel kapsamını kısaca şu cümleyle özetledi: Fon çıkışı, "Solana'ya ve etkilenmeyen diğer protokollere kadar bile yayıldı—artık piyasa panik hali doğrudan rsETH'ye odaklanmış değil, bütün DeFi yığınına duyulan güveni sarsıyor.

Ortaya Çıkan Yapısal Kusurlar

Bu saldırı, şifreleme algoritmasını kırmaya dayanmıyor, ayrıca akıllı sözleşmeleri tersine mühendislik yapmıyor. Kullandığı şey, yapılandırma düzeyinde bir karar hatasıdır.

LayerZero'nun mimarisi temelde modülerdir—her protokol güvenlik parametrelerini kendisi seçebilir. Bu esneklik gerçekten bir teknik avantajdır, ancak aynı zamanda sistemde asgari güvenlik eşiği bulunmadığı anlamına gelir.

Bir protokol tamamen yalnızca bir doğrulayıcı düğümü yapılandırabilir ve sistem normal şekilde çalışacaktır. Alarm vermez, risk hakkında uyarıda bulunmaz. Ta ki bir gün, 292 milyon dolar doğrudan çekilene kadar.

Bu yalnızca LayerZero'nun değil, tüm DeFi tasarımının bir sorunu: "Bileşebilirlik" ve "izin verilmeme"nin zorunlu güvenlik standartlarını yerine koyabileceğine inanma sorunu.

DeFi, geleneksel finansal sistemdeki yapısal kısıtlamalar olmaksızın serbestçe birleştirilebilen bir finansal sistem oluşturdu.

Bankaya para yatırırken, fonlarınızın varsayılan güvenlik mekanizması düzenlenmiş ve standardize edilmiştir; ancak DeFi'de, aslında şuna güveniyorsunuz:

· Her bir mühendisin yapılandırma kararı

· Her bir entegrasyon yolu

· Her bir zincirdeki yürütme mantığı

Bu güven, "örtük, dağıtık, doğrulanamaz" niteliktedir.

LRT: Riski Büyüten Yapı

Likit Değiştokuş Tokeni (LRT) bu sorunu daha da derinleştirdi. rsETH yalnızca bir jeton değil, temel bir "ana rezerv"e çekilme belgesidir ve 20'den fazla zincire kopyalanmıştır. Bu rezerv boşaltıldığında, tüm zincirlerdeki "çekme talepleri" güvenilmez hale gelir.

Gerçekten de, rsETH'yi yüksek kaliteli bir teminat olarak görmesini sağlayan "bileşebilirlik", başarısızlık durumunda onu sistemik riski artırıcı bir unsura dönüştürüyor.

Neler Olacak?

Fonların büyük olasılıkla kurtarılamayacağı kabul edilebilir. Saldırganlar profesyonel düzeyde önceden planlama yapmış olup Tornado Cash aracılığıyla paralarını karıştırmışlardır. Kelp'in çoğunlukla ahlaki bir hackerlik hareketi olan bir white-hat ödülü sunması bekleniyor (bu tür bir eylem yaygındır ancak başarı şansı düşüktür). Zincir dedektifi ZachXBT, altı saldırı cüzdanını tespit etmiş, analistler süreci takip etmeye devam ediyor ancak bu ölçekteki saldırganlar genellikle olgun fon transferi yollarına sahiptir.

Şu anda en acil sorun, Aave'nin zararın nasıl ele alınacağıdır. Üç olası yol olabilir:

1. Güvenlik modülü (Umbrella) kaybı absorbe eder, protokol birkaç gün içinde normale döner

2. Yönetişim oylaması aracılığıyla zarar token sahipleri arasında paylaştırılır (acı verici ancak dayanılabilir)

3. Uzun vadeli donma güven bunalımına neden olur, iyileşme süreci yıllara yayılır

Gelecek 72 saat içinde Aave'nin iletişimi piyasa beklentisini belirleyecek.

Kelp DAO'nun büyük olasılıkla KernelDAO sistemine küçültülerek devam edeceği, ancak rsETH'nin birincil teminat varlığı olarak konumunun artık sona erdiği tahmin ediliyor. Bu, son 12 ayın ikinci büyük olayı olup güveni geri kazanmak zor olacaktır.

LayerZero da zorunlu olarak ayarlanacaktır. Geriye dönük rapor, topluluğun uzlaşmasını doğrulayacak muhtemelen: DVN için minimum güvenlik standartı belirlenmelidir. Resmi olarak hala "tavsiye" şeklinde sunulabilir, ancak piyasa baskısı bunun fiili zorunlu uygulamaya doğru ilerlemesini sağlayacaktır.

Kredi protokolü, tüm LRT teminat varlıklarını yeniden fiyatlandıracaktır. rsETH, ezETH, weETH, pufETH dahil olmak üzere varlıklar şunlarla karşı karşıya kalacak:

· Daha düşük teminat oranı (LTV)

· Daha katı arz sınırı

· Daha detaylı risk değerlendirmesi

LRT, stETH gibi eşdeğer bir varlık olarak görülmekteydi zamanı, artık sona erdi.