Skip to content
AV
DeFi

LayerZero DVN Yanlış Yapılandırması: Kelp DAO 292 Milyon Doları Nasıl Kaybetti

By Anurag Verma•April 22, 2026
LayerZero DVN Yanlış Yapılandırması: Kelp DAO 292 Milyon Doları Nasıl Kaybetti

LayerZero DVN Yanlış Yapılandırması: Kelp DAO Nasıl 292 Milyon Dolar Kaybetti

Kelp DAO açığı bozuk bir akıllı sözleşmeden kaynaklanmadı. Ortada ne yeniden giriş, ne oracle manipülasyonu ne de flaş kredi arbitrajı vardı. Olan şey daha basit ve daha utanç vericiydi: Tek bir LayerZero DVN (Merkeziyetsiz Doğrulayıcı Ağı), 1-of-1 eşiğiyle ayarlanmıştı; bu da tek bir güvenliği ihlal edilmiş doğrulayıcının istediği herhangi bir zincirler arası mesajı üretebileceği anlamına geliyordu. O doğrulayıcı ele geçirilince, saldırganlar hedef zincirde hiçbir karşılık olmadan rsETH bastı. Saatler içinde CoinDesk'in son dakika haberine göre 292 milyon dolar kayboldu, rsETH arzı yüzde 18 eridi ve yeniden stake bulaşıcılığı Aave ile bağlı protokollerde 13 milyar dolarlık TVL çıkışını tetikledi.

Bu sofistike bir saldırı değildi. Protokol mimarlarının LayerZero'nun izin verdiği için açık bıraktığı kilitlenmemiş bir ön kapıydı.

LayerZero rsETH saldırısı, modülerliğin zorunlu asgari değerler olmadan hayata geçirildiğinde neler olabileceğinin tartışmasız referans vakası haline geldi. Yapılandırma esnekliği meşru bir mühendislik değeridir; ta ki saldırı yüzeyinin kendisi olmaya başlayana kadar.

LayerZero'nun Modüler Güvenliği Gerçekte Ne Anlama Geliyor

LayerZero'nun zincirler arası mesajlaşma modeli DVN'ler üzerine kuruludur: zincirler arasında geçen mesajları doğrulayan ve onaylayan zincir dışı varlıklar. Protokol, her uygulamanın kendi güvenlik yığınını yapılandırmasına izin verir; doğrulayıcılarınızı seçin, eşiğinizi belirleyin, yürütücünüzü seçin. Bu gerçekten kullanışlıdır. Farklı uygulamaların farklı risk profilleri vardır ve herkese uyan tek bir güvenlik modeli kendi katılıklarını yaratır.

Sorun şu ki LayerZero hiçbir asgari şart uygulamıyor. Bir protokol, 1-of-1 DVN yapılandırmasıyla, yani ele geçirilmesi durumunda mesaj sahteciliğine tam yetki verecek tek bir doğrulayıcıyla devreye alınabilir; protokol de bunu hiç şikayetsiz işler. LayerZero'nun dokümantasyonu en az iki bağımsız DVN kullanılmasını tavsiye eder. Bunu zorunlu kılmaz.

Tavsiye ile zorunluluk arasındaki bu boşluk, Kelp DAO'nun düştüğü yerdir.

292 Milyon Doları Silen 1-of-1 Doğrulayıcı Yapılandırması

Kelp DAO'nun rsETH'i, EigenLayer pozisyonları üzerine inşa edilmiş, LayerZero aracılığıyla zincirler arası köprülenen bir likit yeniden stake tokenıydı. Saldırı sırasında köprü yapılandırması, güvenlik incelemesini dokuz haneli TVL barındıran bir protokol için asla geçmemesi gereken bir kurulum olan 1-of-1 doğrulama eşiğiyle tek bir DVN kullanıyordu.

Saldırgan o DVN'in imzalama anahtarını ele geçirdiğinde, Kelp DAO'nun sözleşmelerinin geçerli kabul edeceği her türlü zincirler arası mesajı tek başına gönderme yetkisine sahip oldu. Bunu, kaynak zincirde herhangi bir teminat kilidi olmaksızın hedef zincir sözleşmesine rsETH basmayı talimatlandırmak için kullandı. Basım-teminat oranı anında bozuldu. Arbitrajcılar ve panikleyen satıcılar aynı anda çıkışa koştu.

rsETH en kötü noktada yaklaşık yüzde 22 oranında değer kaybetti. Chainalysis'in zincir üstü analizinde ayrıntılandırıldığı üzere, toplam rsETH arzının yaklaşık yüzde 18'i ya hileli biçimde basıldı ya da kargaşa içinde zorla itfa edildi. Elinde token tutanlar açısından bu soyut bir yüzde değil, gerçek anlamda yok olan 292 milyon dolardır.

13 Milyar Dolar 72 Saatin Altında Nasıl Aave'den Çıktı

Yeniden stake bulaşması gerçektir ve Kelp DAO saldırısı bunun ne kadar hızlı yayıldığını tam anlamıyla ortaya koydu. rsETH, başta Aave olmak üzere birden fazla DeFi para piyasasında teminat olarak kullanılıyordu. rsETH'in fiyat akışı ve zincir üstü arzı düzensiz davranmaya başlayınca Aave'nin tasfiye botları ve riskten kaçınan kullanıcılar teminatlarını çekmeye girişti.

Nisan 2026'daki Aave TVL düşüşü yalnızca Kelp DAO'dan kaynaklanmadı; piyasalar zaten gerginken rsETH durumu tetikleyici işlev gördü. CoinDesk'in piyasa haberlerine göre, 72 saat içinde Aave, tüm dağıtımlarından yaklaşık 13 milyar dolarlık TVL çıkışı yaşadı. Bir kısmı doğrudan rsETH teminat çekimleriydi. Daha büyük bölümü ise ikincil panikten geldi: tamamen ilgisiz pozisyonlar tutan kullanıcılar, bir yeniden stake tokeninin bu şekilde çöküyorsa kenarda oturmayı tercih ettiklerine karar verdi.

Bu durum, DVN yanlış yapılandırmasını tek bir protokolün sorunu olmaktan çıkarıp sistemik bir DeFi riski haline getiren çarpan etkisidir. Hasar, kaynaklandığı kutunun içinde kalmıyor.

Yapılandırma Artık Birincil Saldırı Yüzeyi

DeFi'nin erken döneminin büyük bölümünde güvenlik tartışması akıllı sözleşme koduna odaklanıyordu. Denetimler, biçimsel doğrulama, hata ödül programlarının tümü, mantık hatalarını istismar edilmeden önce tespit etmeye yönelikti. Bu hâlâ gerekli; artık tek başına yeterli değil.

Saldırı yüzeyi değişti. Stablecoin köprülerinin gerçekte nasıl çöktüğüne dair yazdıklarımda da ele aldığım gibi, altyapı katmanı, mesajlaşma protokolleri, oracle yapılandırmaları ve doğrulayıcı kümeleri artık üzerinde duran uygulama kodu kadar risk taşıyor. Tek bir tarafın çapraz zincir mesajını taklit edebildiği bir sistemde mükemmel şekilde denetlenmiş bir akıllı sözleşmenin hiçbir değeri kalmıyor.

Kelp DAO istismarı, aynı dersin DVN yanlış yapılandırması versiyonudur. Artık çapraz zincir DeFi riskine üç vektör hâkim:

  1. Doğrulama eşiği saldırıları: 1/1 veya düşük eşikli DVN yapılandırmaları, tek hata noktalarına dönüşüyor
  2. Executor manipülasyonu: Hedef zincirde mesaj yürütme sırasını kontrol eden saldırganlar
  3. Yapılandırma sapması: Başlangıçta yeterli güvenlikle kurulan ancak maliyet veya gecikmeyi azaltmak amacıyla sessiz sedasız düşürülen ilk dağıtımlar

Bunların hiçbiri akıllı sözleşme denetiminde ortaya çıkmaz. Hepsi bir protokolü tamamen çökertebilir.

'Modüler Güvenlik'in Gerçekte Ne Anlama Gelmesi Gerektiği

LayerZero'nun modeli prensipte yanlış değil. Zorunlu tekdüze güvenlik yığınlarının kendine özgü başarısızlık biçimleri var; herkes aynı iki DVN'i kullanıyorsa ve biri ele geçirilirse, hasar çok büyük olur. Esnekliğin gerçek bir değeri vardır.

Ancak bir taban olmaksızın esneklik güvenlik değil, sorumluluk devridir. CoinDesk'in Kelp DAO ile LayerZero arasındaki suçlama anlaşmazlığına ilişkin haberinde de belirtildiği gibi, LayerZero protokollerin kendilerini felakete sürükleyecek biçimde yapılandırmasına izin veriyor; ardından bunu yapmamaları gerektiğini söyleyen belgelere işaret ediyor. Bu bir güvenlik modeli değil, kullanım koşulları belgesidir.

Sektörün gerçekten ihtiyaç duyduğu şeyler:

  • Protokol düzeyinde zorunlu asgari standartlar: Hiçbir üretim dağıtımı 2'den az bağımsız DVN ve 1'in üzerinde bir eşik değeri olmadan başlatılabilmemelidir. Bu, bir README'deki tavsiye değil, dağıtım sözleşmesinde katı bir kısıtlama olmalıdır.
  • Zincir üzeri yapılandırma şeffaflığı: DVN yapılandırmaları, zincir dışı veri kaynaklarına ihtiyaç duyulmadan herhangi bir risk panosu tarafından okunabilir olmalıdır. Aave'nin risk ekibi, Kelp DAO'nun LayerZero yapılandırmasının nasıl göründüğünü Kelp DAO'ya sormak zorunda kalmamalıdır.
  • Sürekli yapılandırma izleme: Güvenlik, dağıtım anında yapılan bir kontrol değildir. Yapılandırmalar lansmanın ardından değiştirilebilir. Köprülenmiş varlıkları teminat olarak kabul eden her protokolün, yukarı akış yapılandırma değişikliklerinde gerçek zamanlı uyarılara ihtiyacı vardır.
  • Yapılandırma kapılı teminat beyaz listesi: Aave rsETH'i teminat olarak kabul edecekse, listeleme yönetişimi asgari bir güvenlik yapılandırması şartını ve bu yapılandırmanın eşiğin altına düşmesi halinde otomatik listemden çıkarma mekanizmasını kapsamalıdır.

2025'te hayatta kalan DeFi protokolleri bunu büyük ölçüde operasyonel güvenliği kod güvenliğiyle aynı titizlikle ele alarak başardı. Bu ders artık yeniden stake edilmiş varlıklara dokunan her şey için temel bir gereklilik haline geldi.

Restaking Yığını "Batmayacak Kadar Büyük" Değil

DeFi para piyasası tasarımında sessiz sedasız kabul gören bir varsayım var: yeterince likit ve geniş çapta kullanılan teminat varlıkları, ekosistem onların çöküşüne izin veremeyeceği için doğası gereği daha güvenlidir. Bu varsayım köprülenmiş restaking token'ları için geçerli değil.

rsETH'in para piyasaları genelinde yaygın benimsenmesi, Kelp DAO saldırısının hasar yarıçapını azaltmadı; tam tersine büyüttü. Köprü güvenlik yığınını denetlemeden rsETH'i teminat olarak kabul eden her ek protokol, fiyatlandırılmamış risk içe aktarıyordu. Aave'den gerçekleşen 13 milyar dolarlık TVL çıkışı, piyasanın bu riski geriye dönük olarak fiyatlandırmasıdır.

Restaking anlatısı hızla ilerledi; EigenLayer, Symbiotic ve Karak 2025 boyunca TVL'yi agresif biçimde ölçeklendirdi. Bu pozisyonların altındaki köprü ve mesajlaşma altyapısı ise güvenlik olgunluğu açısından aynı hıza yetişemedi. Bu açık, kapanmadan önce buna benzer daha fazla olaya yol açacak.

LayerZero muhtemelen artık yapılandırma asgari standartlarını yayına alacak. Protokoller güvenlik kontrollerine DVN denetimlerini ekleyecek. Risk panoları, oracle parametrelerinin yanı sıra köprü yapılandırmalarını da gün yüzüne çıkaracak. Bunların hepsi doğru adımlar ve hepsi tepkisel. Asıl soru şu: bir sonraki 292 milyon dolar da ortadan kaybolmadan, ondan sonrakini koruyacak önlemler alınabilecek mi?

Kaynaklar