Kripto para piyasaları, hafta sonuna DeFi tarihinin en karmaşık ve yıkıcı hücumlarından biriyle girdi. Siber saldırganlar, farklı blokzincirleri ortasında irtibatı sağlayan LayerZero protokolü üzerine kurulu bir köprüyü manipüle ederek, Kelp DAO tarafından ihraç edilen yaklaşık 116.500 rsETH’i (yaklaşık 293 milyon dolar) ele geçirdi.

Saldırı, yalnızca Kelp DAO’yu değil, bu protokolü teminat yahut likidite kaynağı olarak kullanan tüm ekosistemi vurdu. Güvenlik firması Cyvers, olayın kolay bir protokol suistimalinden fazla, “protokoller ortası bir bulaşma olayı” olduğunu vurguladı.

DeFi sisteminde varlıklar çoklukla birbirinin üzerine inşa edilir (DeFi Legos). Kullanıcıların stETH yahut cbETH yatırarak karşılığında aldığı rsETH, öbür platformlarda kredi teminatı olarak kullanılabiliyor. rsETH’in pahasının yahut güvenliğinin sarsılması, bu varlığın kullanıldığı tüm kredi ve likidite havuzlarını direkt tehdit altına soktu.

Aave’den acil müdahale

20 milyar dolardan fazla kilitli varlığa sahip olan DeFi devi Aave, hasarı sonlandırmak ismine rsETH ile alakalı tüm piyasalarını dondurduğunu açıkladı. Bu karar, rsETH üzerinden yeni kredi çekilmesini ve mevduat yatırılmasını engellemeyi amaçlıyor. Gelişmenin akabinde Aave’nin lokal token’ı pazar günü Asya seansında %20 bedel kaybetti.

100 milyon dolarlık “ikinci dalga” son anda engellendi

Cyvers Teknik Başkanı Meir Dolev, durumun çok daha vahim bir noktaya evrilebileceğini belirtti. Dolev’e nazaran, saldırganın ikinci bir atak ile 100 milyon dolar daha çalmasına yalnızca üç dakika kala, protokolün süratli bir biçimde kara liste (blacklist) uygulaması sayesinde ek kayıpların önüne geçildi.

Kelp DAO, X üzerinden yaptığı açıklamada ana ağ (mainnet) ve Katman-2 (L2) üzerindeki tüm rsETH kontratlarını durdurduğunu ve kapsamlı bir soruşturma başlattığını duyurdu. Bu atak, Solana tabanlı Drift projesinin maruz kaldığı ihlali geride bırakarak 2026’nın en büyük DeFi istismarı olarak kayıtlara geçti.