On gün içinde üç "sonsuz üretim" kripto köprüsü istismarı, zincirler arası köprülerin kripto dünyasının çözülemeyen güvenlik açığı olduğunu ve denetimlerin onları kurtaramayacağını gösteriyor.
Köprü Açıkları Bir Tasarım Kusuru, Kötü Şans Değil
Anahtar Çıkarımlar
- Bu Ekim ayında on gün içinde üç "infinimint" köprü hack'i yaşandı: Initia ($2.7M), Cysic ($727K) ve Autheo'nun THEO'su (~$1.76M).
- Her biri aynı tarifi izledi — bir zincirde teminatlı olmayan token'ları mintleyin, tepki verilmeden önce gerçek varlıkları köprüden geçirin.
- Denetimler işe yaramadı. Autheo, Halborn, CertiK ve Avelar Labs tarafından incelendi ve yine de boşaltıldı.
- Bir köprü, kodla sarılmış bir madencilik makinesidir. Kodda hatalar vardır. Bu bir tasarım sorunudur, kötü şans serisi değil.
- Köprüler teminatlandırılana, sigortalanana veya değiştirilene kadar, her köprülenmiş token teminatlı olmayan bir taahhüttür.
Bu Ekim ayının on günlük süre içinde, üç blockchain tamamen aynı hileyle soylundu: havadan token basıp, ardından gerçek parayla kaçmak. Initia (https://initia.xyz) 23 Ekim'de yaklaşık $2.7 million kaybetti. Cysic 17 Ekim'de yaklaşık $727,000 kaybetti. Autheo (https://autheo.com)'nun THEO token'ı 13 Ekim'de yaklaşık $1.76 million dolarlık bir değerde boşaltıldı. Üç farklı ekip, üç farklı kod tabanı, tek bir aynı başarısızlık. Bu kripto köprü exploit'leri kötü şans serisi değil. Endüstri beş yıldır mühendislikle aşabileceğini ısrarla savunduğu bir tasarım kusuru.
Aslında ne oldu
Initia, birbirine geçmiş zanaatkârlık yığınlarını çalıştıran MoveVM tabanlı bir Layer 1, en büyük darbeden önce LayerZero ve Noble/CCTP üzerinden yaklaşık 2.7 milyon doları köprüledi ve zincir 15:41:30 UTC'de durduruldu. Saldırgan, zincirin durumunu sahtecilik yapıp kendisine hiçbir depozit ile desteklenmeyen WETH, iUSD ve USDC kredilendirebilecek şekilde MoveVM — acilen yazılmış bir uygulama değil, sanal makine kendisi — bir betik önbellekleme hatasından faydalandı.
Korkutucu olan detay: Zincir üstü analiz firması Bitquery, köprüdeki USDC rezervinin tek bir öğleden sonra yaklaşık 1,09 milyon dolardan 63 dolara düştüğünü tespit etti. Saldırganın sahte bakiyeleri toplamda yaklaşık 7,48 milyon dolardı, ancak yalnızca yaklaşık 3 milyon dolar çekebildiler — çünkü rezerv kelimenin tam anlamıyla tükendi. Kalan kayıplar, çekimleri artık işlenmeyen dürüst kullanıcılara isabet etti. Onlar IOU (borç senedi) tutuyorlardı ve bu IOU'ların arkasındaki kasada boştu.
Sıfır-bilgi donanım projesi Cysic, 17 Ekim'de farklı bir kapıdan — ihlal edilmiş bir destek veritabanı ile köprünün "mint" (yeni para basma) mesajlarını nasıl işlediğindeki bir hatanın birleşimiyle — hedef alındı. Saldırgan, BNB Chain üzerinde 10 milyon CYS token sahte etti ve yaklaşık 306,6 ETH'yi Ethereum'a köprüledi. Vakıf 2,8 milyon tokenı dondurdu ve %10 ödül teklif etti. Saldırgan reddetti, ardından 300 ETH ve 30,4 BNB'yi Tornado Cash'e aktardı.
Autheo en sinematik olanıydı. 13 Ekim'de, bir kişi Base üzerinde şüpheli bir Hyperlane köprüsü istismarı yoluyla milyonlarca THEO token'i mint etti — bir araştırmacı bunu 119 milyon olarak tahmin etti, bu da arzın yaklaşık %70'ine denk geliyor — bunları yaklaşık 700 ETH ile takas etti ve piyasaya döktü. Token birkaç saat içinde çöktü. Ardından saldırgan garip bir şey yaptı: yaklaşık 1 milyon dolar değerinde THEO'yu rastgele bir yabancı cüzdanına gönderdi; bu hareket cömertlikten çok, masum bir adresi lekeleme ve atfı bulanıklaştırma amacıyla bilinçli bir girişim gibi görünüyor.
Denetimler bunu neden yakalayamadı?
Autheo davası, kripto para sektörünün en sevdiği savunmanın son darbesidir. Bu proje, Halborn, CertiK ve Avelar Labs — üç büyük isimli güvenlik firması — tarafından incelenmişti. Yine de boşaltıldı. Asıl mesele bu. Denetimler, bilinen kod yollarındaki bilinen hata kalıplarını tespit eder. Yapısal olarak sağlam olmayan bir modeli düzeltmezler. Zafiyet sanal makinenin önbellekleme mantığında (Initia) veya köprü mesaj işleme ara katmanında (Cysic, Autheo) yaşandığında, hiçbir akıllı sözleşme incelemesi bunu yakalayamaz. "Denetimden geçti" rozeti bir pazarlama aracıdır, güvenlik garantisi değildir.
Daha büyük resim: Köprüler taşıyıcı duvarlardır
Yakınlaştır ve bu saldırıların her biri tek bir ilkel paylaşıyor: mint fonksiyonu. Bir köprü, zincir X üzerinde gerçek varlık A'yı kilitleyerek ve zincir Y üzerinde bir makbuz mintleyerek çalışır. Bu makbuz, köprünün vaadidir. Mint'i veya mintlemenin ne zaman izin verildiğini belirleyen mantığı kırarsanız, depozito yapmadan vaadi oluşturabilirsiniz. Bu yeni bir fikir değil. Bankaların solvency riski olarak adlandırdığı aynı ekonomik değişmezdir. Fark, bir bankanın sermayesi, sigortası ve düzenleyicileri vardır. Bir köprü ise bir akıllı sözleşme ve bir umutla sahiptir.
Bu önemlidir çünkü multichain kriptonun belirtilen geleceğidir ve köprüler onun yük taşıyan duvarıdır. Chain abstraction, restaking, yüzlerce yeni L2 ve L3 — hepsi varlıkların zincirler arasında serbestçe hareket edebileceğini varsayar. Bu hareket köprüler üzerinde gerçekleşir. Ve güvenlik baskısı azalmıyor: Chainalysis (https://www.chainalysis.com) Kuzey Kore'ye bağlı grupların yalnızca 2026'da $1 billion'ın üzerinde çalındığını tahmin ediyor, Eylül Bitget hack'i $387.5 million'a revize edildi. Profesyonel saldırganlar tahmin etmiyor. Bu mint-and-drain hataları için aramayı endüstriyel hale getirdiler.
Kim kazanır ve kim kaybeder?
Kaybedenleri isimlendirmek kolay. Köprülenmiş varlıkları elinde tutan dürüst kullanıcılar, Initia'daki sahte ve gerçek bakiyeler arasındaki farkı yedi. Projeler kendileri bir gecede aylarca süren itibarlarını harcadı. Ve "denetlenmiş = güvenli" anlatısı da bir darbe daha aldı.
Kazananlar daha az belirgin. Köprü gerektirmeyen mimariler — yerel ihraç, niyet tabanlı yerleşim, tek yerleşim katmanlı rollup'lar — ücretsiz bir satış sunumu aldı. Güvenlik firmaları ve sigorta şirketleri daha geniş bir görev alanı elde ediyor. Saldırganlar, on gün içinde üçüncü kez, bunun kripto alanında en düşük maliyetli yüksek getirili istismar olduğunu kanıtladı.
İkinci dereceden sonuç daha sessiz ama daha büyük: "zincir soyutlama" hikâyesi — kullanıcıların hangi zincirde olduklarını bilmeleri gerekmemesi fikri — artık gizli bir yükümlülük taşıyor. Kullanıcıdan bir köprüyü gizleyen her katman, aynı zamanda köprünün likidite riskini de gizliyor. Soyutlama bir UX başarısı ve risk yönetimi açısından bir kabus.
Bu daha önce oldu mu?
Evet, ve 2022 köprülerin katliama gittiği yıl oldu: Ronin (625 milyon $), Wormhole (325 milyon $), Nomad (190 milyon $). Chainalysis, köprüleri en yüksek değerli saldırı hedefi olarak uzun süredir sıralıyor ve 2021–2024 yılları arasında köprülerden kaynaklanan toplam kayıplar 2,5 milyar doları aştı. Şu anki fark, saldırıların nereye isabet ettiğinde. Ronin bir doğrulayıcı sosyal mühendislik saldırısıydı. Wormhole ve Nomad akıllı sözleşme mantık hatalarıydı. Initia sanal makinedeki bir hataydı ve Cysic ile Autheo köprü ara katman yazılımındaki hatalardı. Sektör yığın üst katmanlarını yamalamıştı — bu yüzden saldırganlar daha aşağıya, yani daha yeni, daha karmaşık ve daha az denetlenen kodlara yöneldi.
Bu, önümüzdeki üç yıl içinde nereye gidiyor?
Üç tahmin. Birincisi, "infinimint" — teminatlı olmayan token'ların mintlenmesi ve rezervin boşaltılması — anahtar ihlali gerektirmediği ve köprünün ne kadarını barındırdığıyla ölçeklendiği için varsayılan köprü saldırısına dönüşüyor. İkincisi, köprüler fonksiyonel olarak oldukları gibi finansal aracılar olarak ele alınacak: Rezerv teyidi, solvency kanıtı ve sigorta zorunluluklarının pazarlama süslemesinden masanın temel gerekliliğine dönüşeceğini, bunun için düzenleyicilerin de itici güç olabileceğini bekleyin. Üçüncüsü, kazanan mimariler köprü kurmaktan vazgeçecek. Her zincirde yerel stablecoin ihraç etme, kullanıcı siparişini köprüde mintleme olmadan doldurmak için solver'ların rekabet ettiği amaç temelli yerleşim ve ortak bir temel yerleşim katmanını paylaşan rollup'lar, köprünün payını yavaş yavaş eritecek. Köprü kurma ölmeyecek. Ancak varsayılan altyapıdan, özelleşmiş, teminatlı bir boru hattına düşürülecek.
Tüccarın açısı
Bu, herhangi bir token fiyatının nereye gideceğiyle ilgili değil. Paranızın nerede durduğuyla ilgili. "Köprü sözleşmesi içinde duran varlıkları" kendi başına bir risk kategorisi olarak ele alın — protokolün kendisinden ayrı. Likiditenin izin verdiği durumlarda, sarmalanmış ve köprülenmiş versiyonlar yerine yerel veya doğrudan ihraç edilen varlıkları tercih edin, çünkü sarmalanmış token, onu mint eden köprünün likiditesini miras alır. Gerçek zamanlı rezerv kanıtları yayınlayan veya üçüncü taraf sigortası taşıyan projelere dikkat edin; bunlar, bir köprüyü akıllı sözleşme yerine banka gibi yönetenlerdir. Ve rastgele bir cüzdana yapılan Autheo "hediyesini" not edin: bu, yasalara karşı koymayı yavaşlatmak ve makul bir inkâr imkanı yaratmak üzere tasarlanmış bir atıf saldırısıdır. Bundan benzerlerini bekleyin.
Fatura geldi
Bir sonraki dokuz haneli kripto hırsızlığı muhtemelen özel anahtar hatası veya flash-borç oracle manipülasyonu olmayacak. Bir köprü'nün mint fonksiyonu üzerinden bir milyar dolar IOU basıp rezerv bitmeden kaçacak biri olacak. Rahatsız edici gerçek şu ki, beş yıldır "denetimler, denetimler, denetimler" deliği kapatamadı — çünkü delik kodda değil. Kavramda. Bir mint makinesinin yeterli test kapsamıyla güvence altına alınabileceği varsayımına dayanan tüm çok zincirli ekonomiyi kurduk. Ekim 2026, faturanın gelme zamanıydı. Tek soru, endüstrinin bir sonraki fatura gelmeden öncekini okuyup okumayacağı.
FAQ
"Infinimint" köprü istismarı nedir? Birinin bir zincirde teminatı olmayan sınırsız token'ı mint etmesi ve bunları gerçek varlıklar olarak köprülemesi şeklinde bir saldırıdır. Terim, on-chain analisti Spreek'in Initia hack'ine ilişkin açıklamasından gelmektedir: saldırgan "Initia üzerinde teminatı olmayan köprülenebilir token'lar oluşturdu ve bunları geri köprüleyerek köprü sözleşmesindeki varlıkları boşalttı."
Çapraz zincir köprüleri neden sürekli hackleniyor? Bir köprü, bir varlık kilitlendiğinde her zaman bir makbuz token'ı mint etmelidir. Eğer bir saldırgan, bu mint işlemini koruyan mantığı kırarsa, depozitosuz makbuz oluşturabilir ve gerçek teminatı geri alabilir. Bu, sadece bir güvenlik açığı değil, bir özkaynak yetersizliğidir — ve köprülerin çalışma biçimine özgüdür.
Denetimler kök saldırılarını önler mi? Güvenilir bir şekilde hayır. Autheo, Ekim 2026 saldırısından önce Halborn, CertiK ve Avelar Labs tarafından denetlenmişti ve yine de boşaltıldı. Denetimler, incelenen kodda bilinen hata kalıplarını yakalar; yapısal olarak sağlam olmayan modelleri düzeltmez veya sanal makinenin önbellekleme katmanındaki hataları yakalamaz.
Köprülenen varlıklarım güvende mi? Köprüden geçen her token, o köprünün likidite riskini taşır. Yerel varlıklar taşımaz. Mümkün olduğunda, sarmalanmış veya köprülenmiş versiyonlar yerine yerel veya doğrudan ihraç edilen varlıkları tercih edin ve gerçek zamanlı rezerv kanıtları yayınlamayı tercih eden projeleri destekleyin.
Bu sorunu aslında ne çözer? Yerli ihraç, niyet temelli yerleşim ve teminatlı veya sigortalı köprüler — ayrıca köprü operatörlerini rezerv teyidine tabi finansal aracılar olarak ele almak. Uzun vadeli çözüm, daha iyi köprüler değil, köprülenmesi gereken şeylerin azaltılmasıdır.