300 Milyon Dolarlık Sessiz Çöküş: Kelp DAO Hack’i

Kripto dünyasında büyük kayıplar artık şaşırtıcı değil. Her yeni saldırı haberi, bir öncekine göre daha büyük rakamlar, daha karmaşık teknikler ve daha geniş etki alanlarıyla geliyor. Bu yüzden çoğu olay birkaç gün konuşulup unutuluyor. Çünkü anlatı hep aynı: “Bir açık bulundu. Hacker içeri girdi. Fonlar çalındı.”

Kelp DAO’da yaşanan yaklaşık 292 milyon dolarlık kayıp ise bu anlatının dışına taşan bir olay. Çünkü burada olan şey, alıştığımız anlamda bir hack değil.

Bu olayda sistem:

• Zorlanarak kırılmadı
• Yetkisiz erişimle ele geçirilmedi
• Kod seviyesinde “basit bir hata” yüzünden çökmedi

Aksine, sistem tam da tasarlandığı gibi çalışırken çöktü. Ve bu, DeFi için çok daha tehlikeli bir senaryo. Çünkü bir sistemin hata verdiğini fark etmek kolaydır. Ama bir sistem, hatasız çalışıyormuş gibi görünürken yanlış sonuç üretiyorsa, o noktada sorun teknik olmaktan çıkar, yapısal hale gelir. Kelp DAO vakası tam olarak bunu gösterdi: DeFi sistemleri, artık kod açıklarıyla değil; yanlış varsayımlar üzerine kurulu oldukları için kırılıyor.

Bu olayın en çarpıcı tarafı, saldırganın sisteme “girmemiş” olması. Bir güvenlik duvarını aşmadı, bir erişim kontrolünü bypass etmedi. Onun yerine, sistemin zaten sahip olduğu mekanizmaları kullanarak, onu kendi içinde çökertecek bir senaryo kurdu.

Yani bu bir ihlal değil, bir manipülasyondu. Ama klasik anlamda değil, sistemin gerçeklik algısını manipüle eden bir saldırı. Bu farkı anlamak önemli. Çünkü bugün DeFi’de güvenlik hala büyük ölçüde şu varsayım üzerine kurulu:

• Kod doğruysa sistem güvenlidir
• Yetki kontrolleri sağlamsa risk düşüktür
• Büyük TVL varsa sistem stabildir

Ama Kelp DAO bize şunu gösterdi:

• Kod doğru olabilir
• Sistem düzgün çalışıyor olabilir
• Her şey “normal” görünüyor olabilir

Şimdi bir adım geri çekilip olaya daha net bakalım: Gerçekte ne oldu? Bu “sessiz çöküş” nasıl başladı?

Olayın Gerçek Hikayesi: Ne Oldu, Nasıl Oldu?

Kelp DAO, temel olarak kullanıcıların Ethereum stake edip karşılığında bu varlığı temsil eden türev bir token (örneğin rsETH) aldığı bir liquid restaking protokolü. Bu modelin en kritik özelliği, kullanıcının stake ettiği varlığı sistem içinde “kilitlemeden”, onun temsilini farklı alanlarda kullanabilmesini sağlamasıdır.

Yani sistem aslında şunu vaat eder: Kullanıcı hem stake getirisi elde eder, hem de aynı varlığı DeFi içinde aktif olarak kullanmaya devam eder. Bu yapı ilk bakışta verimli görünür. Ancak tam da bu esneklik, sistemin en kırılgan noktasını oluşturur.

Saldırının Kronolojik Akışı

Kelp DAO’da yaşanan olay, ani bir çöküşten ziyade, birkaç aşamalı bir kırılma sürecinin sonucudur. Zincir üstü veriler incelendiğinde saldırının gelişimi şu şekilde okunabilir:

• Likidite havuzlarında anormal büyüklükte işlemler başladı
• rsETH gibi türev varlıkların fiyatında küçük ama kritik sapmalar oluştu
• Bu sapmalar kısa sürede derinleşti ve piyasa dengesinden koptu
• Sistem bu fiyatları referans almaya devam etti
• Ardından büyük hacimli varlık çekimleri (drain) gerçekleşti

Bu sürecin dikkat çeken tarafı, her adımın kendi içinde “mantıklı” görünmesidir. Yani sistem, hiçbir noktada hata üretmez. Tam tersine, her şey olması gerektiği gibi ilerler—ama yanlış veriyle.

İlk Anomali Sinyalleri: Sessiz Kırılma

Saldırının en kritik ve en az fark edilen kısmı başlangıç aşamasıdır. Çünkü bu aşamada yaşananlar doğrudan bir alarm üretmez. İlk sinyaller şunlardı:

• rsETH / ETH paritesinde beklenmeyen fiyat oynaklığı
• Düşük likiditeli havuzlarda yüksek fiyat etkili işlemler
• Arbitraj mekanizmalarının fiyatı dengeleyememesi
• Likidite derinliğinin hızla azalması

Bu sinyaller tek başına bir saldırı anlamına gelmez. Ancak birlikte değerlendirildiğinde, sistemin fiyat keşif mekanizmasının bozulduğunu gösterir. Ve bu noktada sistem hala çalışmaktadır.

Fon Hareketleri: Drain → Fragmentation → Dağıtım

Fiyat sapması belirli bir seviyeye ulaştığında, saldırının en kritik fazı başlar: değerin sistemden çıkarılması.

Bu süreç üç temel aşamada gerçekleşir:

• Drain (Çekim): Saldırgan, manipüle edilmiş fiyatları kullanarak sistemden yüksek hacimli varlık çeker. Bu işlem teknik olarak “yetkili” ve kurallara uygundur.
• Fragmentation (Parçalama): Elde edilen varlıklar tek bir cüzdanda tutulmaz. Hızlı şekilde çok sayıda adrese bölünür. Bu, hem iz takibini zorlaştırır hem de risk dağılımı sağlar.
• Dağıtım (Cross-chain transfer): Fonlar farklı blockchain ağlarına aktarılır. Bridge’ler kullanılarak zincirler arası geçiş yapılır ve varlıklar sistematik olarak dağıtılır.

Bu noktadan sonra varlıkların izlenmesi teknik olarak mümkün olsa bile, geri kazanımı pratikte son derece zor hale gelir.

Tahmini Kayıp ve Etkilenen Varlıklar

Mevcut analizlere göre toplam kayıp yaklaşık 292 milyon dolar seviyesinde. Bu kayıp doğrudan tek bir varlıktan değil, sistemin farklı katmanlarına yayılan bir değer kaymasından oluşur. Etkilenen ana unsurlar:

• ETH ve türev staking varlıkları
• rsETH gibi temsil token’lar
• Bu token’ların işlem gördüğü likidite havuzları
• Dolaylı olarak bu varlıklara bağlı diğer DeFi entegrasyonları

Bu nedenle kayıp sadece “çalınan miktar” olarak değil, aynı zamanda bozulan piyasa dengesi olarak da değerlendirilmelidir.

Net Resim: Aslında Ne Yaşandı?

Kelp DAO’da yaşanan olay, dışarıdan bakıldığında ani bir hack gibi görünse de gerçekte sistemin kendi içinde ürettiği bir kırılmaydı. Kelp DAO, fiyatı doğrudan belirlemek yerine likidite havuzlarında oluşan piyasa verisini referans alıyordu. Saldırgan bu noktayı hedef aldı ve düşük likiditeli alanlarda yaptığı işlemlerle fiyatı gerçek değerinden uzaklaştırdı. Sistem ise bu sapmayı bir hata olarak değil, normal piyasa hareketi olarak kabul etti ve tüm hesaplamalarını bu bozulmuş veri üzerinden yapmaya devam etti.

Kırılma tam da burada gerçekleşti. Sistem teknik olarak doğru çalışırken, yanlış bir gerçekliği temel alarak saldırgana olması gerekenden daha fazla değer aktardı. Bu yüzden yaşanan kayıp bir güvenlik açığından değil, sistemin “doğru sandığı” verinin aslında yanlış olmasından kaynaklandı. Başka bir deyişle, sistem hacklenmedi—yanlış bir gerçekliğe ikna edildi ve bu gerçeklik üzerinden kendi kendine çöktü.

Kelp DAO Mimarisi: Sistemi Anlamadan Saldırıyı Anlayamazsın

Bir sistemin neden kırıldığını anlamanın tek yolu, önce o sistemin nasıl çalıştığını gerçekten kavramaktır. Çünkü DeFi’de risk, çoğu zaman “ne yaptığından” değil, nasıl yapılandığından doğar.

Kelp DAO, kullanıcıya basit bir değer önerisi sunar: Ethereum’unu stake et, karşılığında hem getiri kazan hem de bu varlığı sistem içinde kullanmaya devam et. Bu fikir ilk bakışta oldukça güçlüdür. Çünkü klasik staking’de varlık kilitlenir ve hareket edemez. Burada ise varlık hem kazanç üretir hem de likit kalır. Ama bu esneklik, beraberinde görünmeyen bir karmaşıklık getirir.

Sistem aslında tek bir varlıktan oluşmaz. Kullanıcının yatırdığı ETH, sistem içinde farklı katmanlara ayrılır. Bir yanda gerçekten stake edilen varlık vardır, diğer yanda bu varlığı temsil eden bir token bulunur. Kullanıcı ise çoğu zaman bu ayrımı fark etmez. Çünkü arayüzde gördüğü şey basittir: yatırdığı varlık ve karşılığında aldığı token. Ancak işin arka planında kritik bir denge vardır.

Bu temsil token’ı (örneğin rsETH) gerçek ETH’nin kendisi değildir. Onu temsil eden bir araçtır. Değeri, doğrudan kasada duran varlıktan değil, sistemin bu temsile olan güveninden ve piyasadaki likiditeden gelir. Yani bu token’ın değeri teknik olarak sabitlenmiş değildir; piyasanın onu ne kadar “gerçek” kabul ettiğine bağlıdır.

İşte bu noktada sistemin en önemli varsayımı devreye girer:

Temsil edilen varlık ile temsil eden token arasındaki bağın her zaman korunacağı kabul edilir.

Bu bağ genelde likidite ile sağlanır. Eğer piyasada yeterli alım-satım varsa, fiyat gerçek değere yakın kalır. Ama likidite zayıfladığında bu bağ gevşer. Fiyat sapmaya başlar. Ve bu sapma, sistemin tüm dengesini etkiler. Çünkü DeFi protokolleri çoğu zaman şu şekilde çalışır: Gerçekliği kendileri belirlemezler, piyasadan alırlar. Yani sistem, “doğru fiyat nedir?” sorusunu kendi içinde çözmez. Bunun yerine dışarıya bakar. Likidite havuzlarında oluşan fiyatı doğru kabul eder. Bu da şu anlama gelir:

Eğer piyasa yanlışsa, sistem de yanlış çalışır. Kelp DAO’nun mimarisi de bu mantık üzerine kurulu olduğu için, fiyatın bozulduğu an sistemin temeli sarsılmış olur. Çünkü artık sistemin referans aldığı gerçeklik güvenilir değildir.

Kullanıcı açısından bakıldığında her şey hâlâ normal görünür. Elindeki token duruyordur, fiyat hareket ediyordur, işlemler gerçekleşiyordur. Ama aslında sistem, fark edilmeden kendi gerçekliğini kaybetmiştir. Bu yüzden bu tür yapılarda risk, açık bir güvenlik zafiyetinden değil; görünmeyen bağımlılıklardan doğar.

Ve bu olay bize şunu çok net gösterdi: Bir DeFi protokolü ne kadar karmaşıksa, onu kırmak için o kadar az “hack” gerekir.

Saldırının Anatomisi: Sistemi Zorlamadan Nasıl Kırdılar?

Kelp DAO vakasını farklı kılan şey, saldırganın sisteme karşı gelmemesiydi. Kuralları ihlal etmedi, bir güvenlik duvarını aşmadı ya da gizli bir açık bulup onu sömürmedi. Bunun yerine sistemin zaten izin verdiği hareketleri, sistemin beklemediği bir sırayla ve yoğunlukta uyguladı. Yani yapılan şey bir “hack”ten çok, sistemin nasıl davrandığını iyi okuyup onu kendi sınırlarına kadar zorlamaktı.

Her şey fiyatın oluştuğu yerde başladı. DeFi’de fiyat, düşündüğümüz gibi merkezi bir yerden gelmez; likidite havuzlarında, alım-satım işlemleriyle oluşur. Bu yüzden fiyat, her zaman “doğru” olmak zorunda değildir—sadece o anki arz-talep dengesini yansıtır. Saldırganın gördüğü fırsat tam olarak buydu: fiyatın aslında bir gerçek değil, bir sonuç olması.

Düşük likiditeli havuzlarda yapılan büyük işlemlerle fiyatı yukarı ya da aşağı çekmek mümkündür. Normal şartlarda bu tür hareketler kısa süreli olur ve piyasa kendini dengeler. Ancak yeterli likidite yoksa ve işlem hacmi doğru ayarlanmışsa, bu sapma kalıcı hale gelebilir. Kelp DAO’da olan da buydu. Fiyat küçük bir kaymayla başladı, ama sistem bunu düzeltmeden kabul ettiği için bu kayma zamanla büyüdü.

Bu noktada kritik bir eşik aşılmış oldu. Çünkü sistem artık dışarıdan aldığı fiyat verisini sorgulamıyordu. O fiyat doğru kabul ediliyor ve tüm işlemler buna göre hesaplanıyordu. Saldırganın avantajı burada ortaya çıktı. Çünkü sistemin neyi doğru kabul ettiğini biliyordu.

Bu yanlış fiyat üzerinden yapılan işlemler, sistemin kendi içinde bir çarpan etkisi yarattı. Kullanıcı gibi davranan saldırgan, aslında sistemin ona sunduğu fırsatı kullanıyordu. Ama bu fırsat, sistemin normalde vermemesi gereken bir avantajdı. Çünkü hesaplama doğruydu, fakat dayandığı veri yanlıştı.

Tam bu aşamada sistem, farkında olmadan değer transferi yapmaya başladı. Bu transfer bir anda gerçekleşmedi. Parça parça, mantıklı görünen işlemlerle ilerledi. Bu da olayı daha tehlikeli hale getirdi. Çünkü dışarıdan bakıldığında anormal bir sıçrama değil, doğal bir akış vardı.

Değer sistemden çıktıktan sonra yapılan işlemler ise sürecin görünür kısmıydı. Varlıklar farklı adreslere bölündü, farklı zincirlere taşındı ve iz sürmek zorlaştırıldı. Ancak bu noktada asıl hasar zaten oluşmuştu. Çünkü sistem, yanlış fiyatı kabul ettiği anda kendi iç dengesini kaybetmişti.

Bu yüzden bu saldırıyı anlamanın en doğru yolu, “nasıl çaldılar?” sorusunu sormak değil. Daha doğru soru şudur:

Sistem neden bu işlemleri normal kabul etti?

Cevap basit ama etkisi büyük:

• Çünkü sistem, fiyatın her zaman gerçeği yansıttığına inanıyordu.
• Ve bu inanç kırıldığında, sistem kendini koruyacak hiçbir mekanizmaya sahip değildi.

Bu Bir Güvenlik Açığı mıydı, Yoksa Tasarım Problemi mi?

Kelp DAO’da yaşananları sadece “güvenlik açığı” olarak tanımlamak eksik kalır. Çünkü burada klasik anlamda bir açık yoktu; kimse sisteme izinsiz girmedi, hiçbir kontrol mekanizması doğrudan aşılmadı. Sistem, kurallarına uygun şekilde çalışmaya devam etti. Ama sorun tam da burada başlıyor: kuralların kendisi, bu tür bir senaryoyu engelleyecek şekilde tasarlanmamıştı.

Bu olayda kırılan şey kod değil, sistemin dayandığı varsayımlardı. Özellikle fiyatın her zaman piyasa tarafından doğru oluşturulacağı ve bu fiyatın güvenle referans alınabileceği düşüncesi, saldırının temelini oluşturdu. Likidite zayıfladığında ve fiyat gerçeği yansıtmadığında, sistem bunu fark edemedi. Çünkü bu ihtimali kontrol edecek bir mekanizma yoktu.

Bu yüzden Kelp DAO vakası bize şunu gösteriyor: Sorun, bir hatanın varlığı değil; hataya karşı hazırlıksız bir sistem tasarımıydı.

Bu ayrım önemli. Çünkü bir güvenlik açığı düzeltilebilir. Ama tasarım problemi, sistemin nasıl çalıştığını baştan sorgulamayı gerektirir.

Kullanıcılar İçin Ne Anlama Geliyor: Asıl Risk Nerede?

Kelp DAO’da yaşananlar teknik bir olay gibi görünse de aslında kullanıcı tarafında çok daha basit bir gerçeği ortaya koyuyor: DeFi’de risk çoğu zaman görünmezdir. Çünkü kullanıcı ekranda bakiyesini, getirisini ve fiyatı görür. Her şey yerli yerinde görünüyorsa sistemin de sağlıklı çalıştığını varsayar. Oysa bu olayda gördüğümüz şey, her şey normal görünürken sistemin aslında çoktan dengesini kaybetmiş olabileceği.

Özellikle türev token’lar söz konusu olduğunda bu risk daha da büyür. rsETH gibi varlıklar, doğrudan Ethereum değildir; onu temsil eder. Kullanıcı çoğu zaman bu farkı hissetmez çünkü fiyat genellikle yakın seyreder. Ama bu yakınlık bir garanti değildir, sadece piyasanın o anki dengesidir. Bu denge bozulduğunda, elindeki varlığın değeri de beklenmedik şekilde değişebilir. Ve bu değişim, çoğu zaman geç fark edilir.

Bir diğer kritik nokta ise getiri algısıdır. Yüksek APY, çoğu kullanıcı için fırsat olarak görülür. Ancak bu tür sistemlerde yüksek getiri çoğu zaman ek bir riskin işaretidir. Çünkü sistem ne kadar karmaşıksa, o getiriyi sürdürebilmek için o kadar fazla varsayıma dayanır. Bu varsayımlar kırıldığında ise getiriden önce sermaye riske girer.

Son olarak, kullanıcıların en çok gözden kaçırdığı şey bağımlılıklardır. Bir protokol tek başına çalışmaz; başka protokollere, likidite havuzlarına, oracle’lara ve bazen farklı zincirlere bağlıdır. Bu bağlantılar arttıkça sistemin esnekliği artar ama aynı zamanda kırılganlığı da büyür. Çünkü zincirin herhangi bir halkası zayıfladığında, etkisi tüm sisteme yayılır.

Kelp DAO vakası bu yüzden önemli. Çünkü burada kaybedilen sadece para değil, aynı zamanda şu varsayımdı: “Ben hiçbir şey yapmazsam güvendeyim.”

DeFi’de bu doğru değil. Bazen en büyük risk, sen hiçbir şey yapmazken oluşur.

Bu Tür Riskleri Önceden Fark Etmek İçin: Kullanıcıya Gerçek İpuçları

Kelp DAO vakası şunu net gösterdi: DeFi’de risk çoğu zaman işlem yaptığın anda değil, sisteme girdiğin anda başlar. Bu yüzden önemli olan “hack olunca ne yaparım?” değil, “riskli bir yapıya girdiğimi nasıl anlarım?” sorusudur.

İlk bakılması gereken şey, elindeki varlığın gerçekten ne olduğudur. Eğer tuttuğun şey ETH değil de onu temsil eden bir token’sa, aslında doğrudan varlığa değil, bir sisteme güveniyorsun demektir. Bu fark küçük gibi görünür ama kritik bir ayrımdır. Çünkü temsil eden token’ın değeri, sadece kasadaki varlığa değil, o sistemin nasıl çalıştığına ve piyasanın onu nasıl fiyatladığına bağlıdır.

Bir diğer önemli sinyal, fiyatın nereden geldiğidir. Çoğu kullanıcı fiyatı sabit ya da “doğru” kabul eder. Oysa DeFi’de fiyat çoğu zaman likidite havuzlarında oluşur. Eğer işlem yaptığın varlığın likiditesi zayıfsa, fiyatın gerçeği yansıtmama ihtimali ciddi şekilde artar. Bu da sistemin yanlış veriyle çalışmasına yol açabilir. Fiyatın kaynağını bilmek, çoğu zaman riskin kendisini anlamaktır.

Getiri tarafında ise daha net bir yaklaşım gerekir. Yüksek APY genelde cazip görünür ama çoğu zaman bunun arkasında sürdürülebilir olmayan bir denge vardır. Sistem sana yüksek getiri sunuyorsa, bunu nasıl ürettiğini sorgulamak gerekir. Çünkü bu getiri, çoğu zaman görünmeyen bir riskin karşılığıdır.

Bir diğer kritik nokta, kullandığın protokolün ne kadar bağımlı olduğudur. Eğer bir sistem:

• başka protokollerden veri alıyorsa
• farklı likidite havuzlarına bağlıysa
• birden fazla zincirde çalışıyorsa

bu onun daha güçlü olduğu anlamına gelmez; çoğu zaman daha karmaşık ve daha kırılgan olduğu anlamına gelir. Çünkü her bağlantı, yeni bir risk kapısıdır. Son olarak, belki de en önemli farkındalık şu olmalı:

Bir sistem sana “her şey stabil” hissi veriyorsa, bu her zaman güvenli olduğu anlamına gelmez. Bazen bu, riskin henüz ortaya çıkmadığı anlamına gelir.

Yazarın Notu

Kelp DAO’da yaşananlar bize şunu çok net gösterdi: DeFi’de asıl risk, açık olan yerler değil; güvenli olduğunu sandığımız yerlerdir. Çünkü sistemler çoğu zaman hatalı oldukları için değil, doğru varsayımlar üzerine kurulu oldukları düşünüldüğü için sorgulanmaz. Oysa bu olayda gördük ki, sistem çalışmaya devam ederken bile gerçeğini kaybedebilir.

Bugün DeFi kullanırken sormamız gereken soru artık değişti. “Bu sistem güvenli mi?” sorusu tek başına yeterli değil. Asıl sormamız gereken şu:

Bu sistem, yanlış olduğunda bunu ne kadar hızlı fark edebilir? Eğer bu sorunun net bir cevabı yoksa, o sistemde her şey yolunda görünse bile risk başlamış demektir. Bu yüzden daha bilinçli hareket etmek, sadece teknik bilgiyle değil, doğru bakış açısıyla mümkün. Elindeki varlığın ne olduğunu bilmek, fiyatın nereden geldiğini anlamak ve sistemin hangi varsayımlar üzerine kurulduğunu sorgulamak, bugün DeFi’de en güçlü savunma mekanizmasıdır.

Kelp DAO bir istisna değil. Bu, yeni dönemin habercisi. Daha karmaşık sistemler, daha görünmeyen riskler ve daha sofistike saldırılarla karşılaşacağız. Ama bu aynı zamanda daha bilinçli bir kullanıcı olma fırsatı da sunuyor.

Gate TR Akademi olarak amacımız tam da bu farkındalığı güçlendirmek. DeFi dünyasında daha güvenli, daha bilinçli hareket edebilmek için bizi takip etmeyi unutmayın.

Güvenle kalın.

Gate TR Bilgi Güvenliği Ekibi