Verus Ethereum Köprüsü Açığı: Aynı 11,58 Milyon Dolarlık Hata
18 Mayıs 2026'da biri Verus-Ethereum köprüsünden 11,58 milyon dolar çaldı. CoinDesk'in haberine göre bu, yılın sekizinci köprü saldırısıydı. Verus Ethereum köprüsü açığı egzotik yeni bir saldırı türü içermiyordu. 2021'den bu yana köprüleri çökerten aynı başarısızlıktı: sözleşme, diğer zincirde gerçekte ne olduğunu doğrulamadan bir zincirde fonları serbest bıraktı.
Bu sefer güvenlik açığı olan fonksiyonun bir adı vardı: checkCCEValues. Bu rutin, Ethereum tarafında basmadan veya serbest bırakmadan önce zincirler arası dışa aktarma değerlerinin gerçeklikle örtüşüp örtüşmediğini doğrulaması gerekiyordu. Görevini yapmadı ve saldırgan parayı alıp gitti.
Dört yıldır düzenleyici bir ortamda köprü altyapısı geliştiriyorum; üzücü olan, bunun ne kadar öngörülebilir hale geldiği. Aynı yaraya sürekli farklı isimler takmaya devam ediyoruz.
Verus Ethereum köprüsü açığı bir kaynak doğrulama hatasıydı
Markayı bir kenara bırakırsak her köprü tek bir iş yapar. A zincirinde bir olayı gözlemler (yatırım, kilitleme, dışa aktarma) ve B zincirinde buna karşılık gelen bir eylem üretir (basmak, kilit açmak, serbest bırakmak). Tüm güvenlik modeli tek bir soruya indirgenir: B zinciri gerçekten A zincirinin söylediklerine inanıyor mu ve bunu kontrol etti mi?
Kaynak taraftaki tutarları doğrulayan validasyon hatalıysa cevap "hayır" olur. Saldırgan iddia edilen dışa aktarma değerini taklit eder ya da şişirir, hedef sözleşme buna güvenir ve hiçbir zaman karşılığı olmayan tokenlar basılır veya serbest bırakılır. The Block, kaybın zincirler arası dışa aktarma kontrolündeki tam da bu tür bir muhasebe açığıyla yaklaşık 11,58 milyon dolara ulaştığını bildirdi.
Bu, bir köprüdeki kaynak tutarı doğrulamasıdır ve tüm sistemin en kritik işlevidir. Tek bir karşılaştırmada hata yaparsanız köprü, bedava para basan bir makineye dönüşür.
checkCCEValues sadece eski bir güvenlik açığının yeni adı
checkCCEValues güvenlik açığı, yapısal olarak sektörün daha önce milyarlarca dolara mal olmuş hatalarla birebir aynı. İsimler değişiyor. Mekanizma değişmiyor.
- Wormhole, 2022: bir imza doğrulama açığı, saldırganın hiç yatırılmamış 120.000 wrapped ETH basmasına olanak tanıdı.
- Nomad, 2022: hatalı bir merkle root başlatması her mesajın geçerli sayılmasına yol açtı ve köprü, kalabalık tarafından kopyalanarak yerle bir edildi.
- Multichain, 2023: kimsenin dışarıdan gerçekten doğrulayamadığı anahtarlar ve güven varsayımları.
Bunların her biri, özünde hedef zincirin kaynak olayı için sağlam bir kanıt olmadan değer serbest bırakmasıydı. checkCCEValues de aynı kelimenin 2026'daki yazılışından ibarettir.
Sektörün bu vakaları bireysel mühendislik hataları olarak ele almaya devam ettiğini düşünüyorum; oysa bunlar bir kategori başarısızlığıdır. Bir kategorideki sorunu tek bir fonksiyonu daha sıkı denetleyerek çözemezsiniz.
Tornado Cash saldırganı fonladı; bu da niyet hakkında bir şeyler söylüyor
Saldırganın cüzdanı, açıktan önce Tornado Cash aracılığıyla fonlandı. Bu ayrıntı, atıftan çok hazırlık açısından önem taşıyor. Bu, bir akılla etrafı didikleyen ve sonuçtan şaşıran bir whitehat değildi. Tornado Cash ile fonlanan saldırgan modeli, günler öncesinden operasyonel örtü kuran ve fonların çıkışta aklanması gerektiğini öngören birinin imzasıdır.
Savunucuların hafife aldığı kısım işte tam da bu. Açık işlemi zincirine düştüğünde, çıkış yolu zaten hazır kurulmuş olur. Sonradan yapılan izleme savcılara yardımcı olur ama sekiz haneli para kaybeden protokole neredeyse hiçbir faydası yoktur.
Köprü güvenlik açıkları artık aylık bir vergi kalemi haline geldi
Geri çekilip baktığınızda Verus hack'i bir istisna değil, bir satır kalemidir. PeckShield verilerine dayanarak Bitcoin.com'un aktardığına göre, kripto köprü açıkları yalnızca Mayıs 2026'da yaklaşık 328 milyon dolara ulaştı. Yılın beş ayında sekiz köprü vakası.
Piyasa, bunu zincirler arası işlem yapmanın bir maliyeti olarak sessiz sedasız fiyatlamış durumda. Bu yanlış bir ders. Her ay tekrar eden dokuz haneli kayıplar volatilite değil, tasarım alanının yüzleşmeyi reddettiği yapısal bir kusurdur.
Gerçek değer transfer eden herkes için bu sonuç rahatsız edicidir: köprülerin büyük çoğunluğu, matematik kılığına bürünmüş güven varsayımlarından ibarettir. Daha önce Stablecoin Köprüleri Aslında Nasıl Başarısız Olur adlı yazımda, en güvenli köprünün çoğu zaman ne kadar az şeyi gerçekten doğruladığını kabul eden köprü olduğunu savunmuştum.
Gerçek Anlamda Savunulabilir Bir Köprü Denetimi Nasıl Görünür
Bir köprü inşa ediyor ya da denetliyorsanız, kaynak tutar doğrulaması paranoya payınızın orantısız biçimde büyük bir kısmını harcamanız gereken yerdir. Pazarlık konusu yapmayacağım birkaç husus:
- Hedef sözleşme, kaynak olayın kriptografik kanıtını doğrulamalıdır; bir aktarıcının sözüne güvenmemelidir. Gecikme bütçesinin izin verdiği her yerde, çoklu imza onayları yerine hafif istemci veya zk kanıtları tercih edilmelidir.
- Tutar kontrolleri her yolda eksiksiz yapılmalıdır.
checkCCEValuestürü hatalar genellikle bazı girdilerin atladığı bir dalda gizlenir. Karşılaştırmayı fuzz testi ile deneyin, gözle bakarak tahmin etmeyin. - Her varlık için hız sınırları ve devre kesiciler kullanın; böylece sahte bir değer tüm rezervi tek bir işlemde boşaltamaz. Saatte TVL'nin yaklaşık %5'inde otomatik duraklamaya geçen bir üst sınır, 2026'daki olayların büyük çoğunluğunun etkisini azaltırdı.
- Toplam basılan miktarı gerçek zamanlı olarak toplam kilitli miktarla karşılaştıran ve sapma durumunda durduran bağımsız değişmez izleme.
Bunların hiçbiri yeni değil. Bu sorunları tespit edecek denetim altyapısı mevcut; bunu denetim altyapısı yazısında derinlemesine inceledim. Sorun şu ki köprüler, doğrulamayı ürünün kendisi yerine sonradan akla gelen bir ek olarak sunmaya devam ediyor.
2026'nın bir sonraki köprü saldırısı zaten yazılıyor. Farklı bir fonksiyon adı taşıyacak, aynı kök nedene sahip olacak ve biz yine şaşırmış gibi yapacağız. Yapmamalıyız.