CertiK uzmanı: Şimdilik siber korsanlar silahlanma yarışını önde götürüyor

​Kripto sektörü, hacker saldırıları nedeniyle milyarlarca dolar kaybetmeye devam ediyor. Ancak en büyük tehditlerden bazıları blockchain teknolojisinin kendisindeki güvenlik açıklarından değil, bu teknolojiyi çevreleyen sistemler ve insanlardaki zayıflıklardan kaynaklanıyor. Traders Union ile yaptığı röportajda CertiK Kıdemli Blockchain Araştırmacısı Natalie Newson, hacker’ların güvenlik uzmanlarının önüne geçmeyi nasıl sürdürdüğünü, kripto cüzdanlarının gerçekte ne kadar güvenli olduğunu ve kullanıcıların fonlarını korumak için neler yapabileceğini açıkladı.

Hacker’lar taktiklerini değiştiriyor

CertiK’in Hack3D raporuna göre 2026’nın ilk yarısında kripto sektörü 344 güvenlik olayında yaklaşık 1,31 milyar dolar kaybetti. İlk bakışta durum geçen yıla kıyasla iyileşmiş gibi görünse de Natalie Newson, bu rakamların yanıltıcı bir tablo çizdiğine inanıyor.

Görünen iyileşme büyük ölçüde 2025’in ilk yarısındaki 1,45 milyar dolarlık Bybit hack saldırısını yansıtıyor. Bu tek olay hesaba katılmadığında, sektörün kayıpları yıllık bazda aslında yaklaşık %28 arttı.

“Dolayısıyla temel koşullar iyileşmedi; bazı açılardan daha da kötüleşti. Bu zararın çoğu üstün nitelikte kod kırma girişimlerinden değil, ele geçirilen cüzdanlardan ve sosyal mühendislik saldırılarıyla manipüle edilen insanlardan kaynaklandı.”

Olay sayısı bakımından saldırıların başlıca nedeni olmaya devam eden unsur, kod güvenlik açıklarıdır. 2026’nın ilk altı ayında CertiK 204 bu tür olay kaydetti ve yaklaşık 152 milyon dolarlık kayıp tespit etti. Ancak cüzdan ele geçirme saldırıları en yıkıcı sonuçları doğurdu; yalnızca 33 olay 444 milyon dolardan fazla kayba yol açtı.

Phishing saldırıları 366 milyon dolarlık ek kayba neden oldu. Phishing olaylarının sayısı önceki yıla kıyasla yarıdan fazla azalmasına rağmen, finansal kayıplar yalnızca %11 düştü.

“Saldırganlar kitlesel kampanyalardan uzaklaşıp az sayıda, son derece hedefli sosyal mühendislik saldırısına yöneliyor; yalnızca dört olay, tüm phishing kayıplarının yaklaşık %85’ini oluşturdu.”

En büyük güvenlik açığı blockchain’in dışında bulunuyor

Hacker’lar, büyük miktarda sermayenin yoğunlaştığı ekosistemleri hedefleme eğiliminde. 2026’nın ilk yarısında Ethereum, 153 saldırıyla en yüksek olay sayısını kaydetti ve yaklaşık 523 milyon dolarlık kayba uğradı. Solana çok daha az saldırıyla karşılaştı, ancak kayıplar yine de 315 milyon dolara ulaştı.

Zararın önemli bir bölümü yalnızca iki hack saldırısından kaynaklandı. Nisan ayında saldırganlar Kelp DAO’dan 291 milyon dolar, Drift Protocol’den ise 285 milyon dolar çaldı. Bu olaylar birlikte, altı aylık dönemde kripto sektörünün toplam kayıplarının yaklaşık %44’ünü oluşturdu.

“En büyük zayıflık aslında blockchain’in kendisi değil. Her şeyin bağlı olduğu off-chain katman: anahtar yönetimi, imzalama süreçleri, front-end’ler ve RPC sağlayıcıları gibi altyapılar.”

Bu off-chain zayıflıkları, bağımsız güvenlik denetimlerinden geçmiş projelerin bile neden hacker’ların kurbanı olabildiğini açıklamaya yardımcı oluyor.

“Bir denetim, belirli bir andaki belirli bir kodun anlık görüntüsüdür; kalıcı bir onay mührü değildir.”

Newson ayrıca saldırganların bir yıldan uzun süredir çalışan eski smart contract’ları hedefleme eğiliminin arttığına dikkat çekiyor. Bu sözleşmelerdeki güvenlik açıkları önceki incelemeler sırasında fark edilmemiş olabilir. Bu nedenle CertiK, denetimlerin sürekli izleme, bug bounty programları ve kod değişikliklerinden sonra gerçekleştirilecek ek güvenlik incelemeleriyle desteklenmesini öneriyor.

Yapay zekâ hacker’lara geçici avantaj sağlıyor

Yapay zekâ, siber suçlular ile kripto sektörünü koruyan şirketler arasındaki mücadeleyi değiştiriyor. Hacker’lar artık ikna edici deepfake’ler oluşturabiliyor, birden fazla dilde phishing mesajları üretebiliyor ve sahte işlemleri otomatikleştirebiliyor.

Yapay zekâ ayrıca saldırganların kod güvenlik açıklarını daha hızlı tespit etmesine yardımcı olarak gelişmiş saldırılar başlatmak için gereken teknik uzmanlığı azaltıyor. Bu arada siber güvenlik şirketleri de aynı teknolojiyi büyük ölçekte kod taramak, şüpheli işlemleri tespit etmek ve karmaşık kripto para aklama şemalarını takip etmek için kullanıyor.

“Her iki taraf da bundan faydalanıyor ve şu anda gerçek bir silahlanma yarışı yaşanıyor.”

Bununla birlikte, iki taraf çok farklı kısıtlamalar altında faaliyet gösteriyor. Suçluların aksine siber güvenlik şirketleri düzenleyici gerekliliklere uymak ve araçlarının güvenilir sonuçlar vermesini sağlamak zorunda.

“Kısa vadede avantajın saldırganlarda olduğunu düşünüyorum; çünkü yeni araçları herhangi bir uyum veya doğruluk kısıtlaması olmadan benimsiyorlar.”

Uzun vadede denge değişebilir. Newson, güvenlik uzmanlarının büyük miktarda veriye erişimleri ve savunmalarını ölçeklendirebilme kabiliyetleri sayesinde zamanla avantaj elde edebileceğine inanıyor. Ancak bunun için kripto sektörünün bu teknolojilere daha aktif biçimde yatırım yapması gerekecek.

Hacker’lar dijital saldırılardan fiziksel şiddete yöneliyor

Suçlular, varlıklarına erişim sağlamak için fiziksel şiddet ve tehdit kullanarak kripto para sahiplerini doğrudan giderek daha fazla hedef alıyor. Bu saldırılar arasında kaçırma, ev baskını ve gasp yer alabiliyor. Mağdurlar arasında kripto projesi kurucuları, şirket yöneticileri, varlıklı yatırımcılar ve hatta aile üyeleri bulunuyor.

Wrench saldırıları olarak bilinen bu suçlar, mağdurları kripto paralarını teslim etmeye zorlamayı amaçlayan fiziksel baskı içeriyor. Bu saldırıların artışında anlık ve geri döndürülemez kripto para transferleri, kişisel veri sızıntıları ve yatırımcıların kamuya açık faaliyetleri etkili oluyor.

“Burada bir ironi de var: Dijital güvenlik geliştikçe, içeri girmenin en kolay yolu insan oluyor.”

Newson, yüksek miktarda kripto para bulunduran kişilere varlıklarıyla ilgili bilgileri kamuya açık şekilde paylaşmaktan kaçınmalarını ve tek bir kişinin tüm fonları bağımsız olarak transfer etmesini engelleyen güvenlik mekanizmalarını kullanmalarını tavsiye ediyor.

Bunlar arasında multisig cüzdanlar ve zaman kilitli işlemler yer alıyor. Bu tür önlemler, fiziksel baskı altında bile hırsızlığı zorlaştırabilir; zira suçlular tek bir cüzdana erişerek sahibini fonları hemen transfer etmeye zorlayamaz.

Soğuk cüzdanlara hâlâ güvenilebilir mi?

Fiziksel tehditler, kripto paraların nasıl saklanması gerektiğine dair soruları da gündeme getiriyor. İnternete bağlı kalmayan cihazlar bile firmware'lerinin, tedarik zincirlerinin ve sahiplerinin eylemlerinin güvenilirliğine bağlıdır.

Bununla birlikte Newson, bu risklerin donanım cüzdanlarını işlevsiz hâle getirdiğine inanmıyor.

“Cold storage hâlâ çoğu insanın sahip olduğu en güçlü seçenek.”

Uzman, cihazların doğrudan üreticilerden satın alınmasını, firmware'in düzenli olarak doğrulanıp güncellenmesini ve seed phrase'lerin güvenli şekilde saklanmasını öneriyor.

Yüklü miktarda varlık için ayrıca multisig düzeneklerinin kullanılmasını tavsiye ediyor; böylece varlık güvenliği tek bir cihaza veya üreticiye bağlı kalmıyor. Private key'leri çevrimdışı tutmak, çevrimiçi saldırılara karşı hâlâ önemli ölçüde koruma sağlıyor.

Web3 hiç güvenli hâle gelebilecek mi?

CertiK'e göre 2026'nın ilk yarısında kaybedilen 1,31 milyar doların yalnızca yaklaşık 115 milyon doları donduruldu veya geri alındı. Kalan fonlar, raporlama dönemi boyunca dondurulmamış veya geri alınmamıştı.

Olay başına ortalama kayıp yaklaşık 3,8 milyon dolardı; ancak medyan kayıp, yaklaşık 139.000 dolarla önemli ölçüde daha düşüktü. Bu durum, daha az tanınan projeleri ve kullanıcılarını etkileyen çok sayıda küçük ölçekli saldırıya işaret ediyor.

Newson, kripto sektörünün güvenliği önemli ölçüde geliştirebileceğine inanıyor; ancak bunun için ürün geliştirmeye farklı bir yaklaşımla yaklaşılması gerekecek.

“İnsanlar internet bankacılığını kullanırken şifrelemeyi düşünmüyor ve Web3'ün ulaşması gereken standart da bu.”

Ona göre kripto cüzdanları, kullanıcıların neyi imzaladığını açıkça açıklamalı ve potansiyel olarak kötü amaçlı hizmetlerle etkileşime girmeden önce onları uyarmalı. Güvenlik olaylarının ardından erişimi ve fonları kurtarmaya yönelik daha iyi araçlar da aynı derecede önemli.

Kullanıcılar, varlıklarını güvenli şekilde yönetmek için blockchain teknolojisini derinlemesine anlamak zorunda kalmamalı.

“Geleneksel finansta olmadığı gibi risk hiçbir zaman sıfır olmayacak, ancak gidişat doğru.”

Sonuç olarak Web3'ün gelecekteki gelişimi yalnızca blockchain'lerde ve smart contract'larda yapılacak iyileştirmelere değil, sektörün sıradan kullanıcıları hatalardan, dolandırıcılıktan ve yeni saldırı türlerinden ne kadar etkili koruyabileceğine de bağlı olacak.