Çalınan varlıklar şunları içeriyordu:

• 103,6 tBTC
• 1.625 ETH
• Yaklaşık 147.000 USDC

Bunların toplam değeri saldırı anında yaklaşık 11,58 milyon dolardı. Saldırgan daha sonra bu tokenleri yaklaşık 5.402 ETH'ye çevirerek çalınan fonları tek bir varlıkta topladı.

Blockaid ve PeckShield gibi güvenlik izleme firmaları saldırıyı devam ederken tespit etti ve kullanıcıları köprüyle etkileşime girmemeleri konusunda uyardı.

Temel Açık: Zincirler Arası Miktar Doğrulamasının Eksikliği

Güvenlik araştırmacılarının incelemeleri, açığın köprünün zincirler arası doğrulama mantığındaki bir kusurdan kaynaklandığını gösteriyor. Köprünün her iki tarafı da belirli kontroller yapıyordu ancak hiçbir taraf, kritik bir alanın – kaynak zincirinde transfer edilen miktarın Ethereum'daki ödeme miktarıyla eşleşip eşleşmediğinin – doğrulandığından emin değildi.

Pratikte bu şu anlama geliyordu:

• Köprü, zincirler arası mesajın yapısını ve gerçekliğini doğruluyordu.
• Ancak kaynak zincirindeki yatırılan miktarın, çekilmek istenen miktarı karşılayıp karşılamadığını teyit etmiyordu.

Bu eksik doğrulama adımı sayesinde saldırgan, doğrulama sürecini geçen ancak çok daha büyük bir ödeme talep eden bir mesaj oluşturabildi. Araştırmacılar bu hatayı, sadece birkaç satır Solidity koduyla düzeltilebilecek küçük ama kritik bir mantık açığı olarak tanımladı.

Önemli bir nokta, bu saldırının çalıntı anahtarlar, kırık şifreleme veya imza atlatma yöntemleriyle ilgisi olmamasıydı; tamamen köprünün kodundaki bir mantık-doğrulama sorunuydu.

Ne Kadar Kripto Para Çalındı ve İade Edildi?

İlk saldırı, köprü rezervlerinden yaklaşık 11,58 milyon dolar çekilmesine yol açtı.

Kısa bir süre sonra Verus ekibi bir anlaşma teklif etti: Saldırgan, fonların çoğunu kısa bir süre içinde iade ederse, bir kısmını ödül olarak alıkoyabilecekti.

Nihai sonuç:

• 4.052,4 ETH (yaklaşık 8,5 milyon dolar) Verus ekibine iade edildi
• 1.350 ETH (yaklaşık 2,8 milyon dolar) saldırgan tarafından ödül olarak alıkonuldu

Bu, müzakere yoluyla çalınan fonların yaklaşık %75'inin kurtarıldığı anlamına geliyordu.

DeFi Projeleri Neden Bilgisayar Korsanlarıyla Pazarlık Yapıyor?

Verus'un tepkisi, merkezi olmayan finansta (DeFi) giderek yaygınlaşan bir modeli yansıtıyor. Fonlar çalındığında ancak zincir üzerinde izlenebilir olduğunda, protokoller bazen her şeyi kaybetme riskine girmektense kısmi bir kurtarma için saldırganlarla pazarlık yapmayı tercih ediyor.

Bu yaklaşım, birçok yüksek profilli olayda görüldü ve genellikle şunları içeriyor:

• Ödül teklifi içeren zincir üstü mesajlar
• Sosyal kanallar üzerinden kamuya açık müzakereler
• Fonların iadesi için bir son tarih belirlenmesi

Güvenlik araştırmaları, bu tür müzakerelerin kurtarma oranlarını anlamlı ölçüde artırabildiğini gösteriyor. 2024 yılındaki DeFi olaylarının bir incelemesinde, 200'den fazla saldırı raporlanmış ve beyaz şapkalı müdahaleler veya müzakereler yoluyla yaklaşık 220 milyon dolar kurtarılmıştı; bu da kabaca %15'lik bir kurtarma oranına denk geliyor.

Zincirler Arası Köprüler Neden Yüksek Riskli Hedefler Olmaya Devam Ediyor?

Verus olayı aynı zamanda köprülerin neden en çok sömürülen kripto altyapı parçalarından biri olduğunu da vurguluyor.

Köprüler, bir blok zincirindeki olayların geçerli olduğunu doğrulamalı ve ardından başka bir zincirde işlemleri gerçekleştirmelidir. Bu doğrulama mantığındaki herhangi bir zayıflık, saldırganların arkalarında yatan bir yatırma işlemi olmadan varlık basmasına veya çekmesine olanak tanıyabilir.

Güvenlik verileri sorunun boyutunu gözler önüne seriyor: Mayıs 2026 itibarıyla, yıl içinde toplam yaklaşık 328,6 milyon dolar kayba yol açan sekiz köprü saldırısı gerçekleşmişti.

Büyük likidite havuzları ve karmaşık zincirler arası doğrulama süreçlerinin birleşimi, köprüleri saldırganlar için özellikle çekici hedefler haline getiriyor.

Çıkarılması Gereken Daha Büyük Ders

Verus–Ethereum köprü saldırısı, küçük bir doğrulama gözetiminin bile milyonlarca dolarlık bir saldırıya nasıl olanak tanıyabileceğini gösteriyor. Tek bir eksik kontrol, sahte zincirler arası mesajların meşru ödemeleri tetiklemesine izin verdi.

Aynı zamanda, olayın çözümü DeFi güvenliğinin pragmatik bir gerçeğini ortaya koyuyor: Saldırılar meydana geldiğinde, müzakere yoluyla kurtarma ve ödül anlaşmaları, ekipler güvenlik açıklarını yamalayıp kullanıcı güvenini yeniden inşa ederken giderek daha fazla acil durum hasar kontrol aracı olarak kullanılıyor.

Çalınan varlıklar şunları içeriyordu:

• 103,6 tBTC
• 1.625 ETH
• Yaklaşık 147.000 USDC

Bunların toplam değeri saldırı anında yaklaşık 11,58 milyon dolardı. Saldırgan daha sonra bu tokenleri yaklaşık 5.402 ETH'ye çevirerek çalınan fonları tek bir varlıkta topladı.

Blockaid ve PeckShield gibi güvenlik izleme firmaları saldırıyı devam ederken tespit etti ve kullanıcıları köprüyle etkileşime girmemeleri konusunda uyardı.

Temel Açık: Zincirler Arası Miktar Doğrulamasının Eksikliği

Güvenlik araştırmacılarının incelemeleri, açığın köprünün zincirler arası doğrulama mantığındaki bir kusurdan kaynaklandığını gösteriyor. Köprünün her iki tarafı da belirli kontroller yapıyordu ancak hiçbir taraf, kritik bir alanın – kaynak zincirinde transfer edilen miktarın Ethereum'daki ödeme miktarıyla eşleşip eşleşmediğinin – doğrulandığından emin değildi.

Pratikte bu şu anlama geliyordu:

• Köprü, zincirler arası mesajın yapısını ve gerçekliğini doğruluyordu.
• Ancak kaynak zincirindeki yatırılan miktarın, çekilmek istenen miktarı karşılayıp karşılamadığını teyit etmiyordu.

Bu eksik doğrulama adımı sayesinde saldırgan, doğrulama sürecini geçen ancak çok daha büyük bir ödeme talep eden bir mesaj oluşturabildi. Araştırmacılar bu hatayı, sadece birkaç satır Solidity koduyla düzeltilebilecek küçük ama kritik bir mantık açığı olarak tanımladı.

Önemli bir nokta, bu saldırının çalıntı anahtarlar, kırık şifreleme veya imza atlatma yöntemleriyle ilgisi olmamasıydı; tamamen köprünün kodundaki bir mantık-doğrulama sorunuydu.

Ne Kadar Kripto Para Çalındı ve İade Edildi?

İlk saldırı, köprü rezervlerinden yaklaşık 11,58 milyon dolar çekilmesine yol açtı.

Kısa bir süre sonra Verus ekibi bir anlaşma teklif etti: Saldırgan, fonların çoğunu kısa bir süre içinde iade ederse, bir kısmını ödül olarak alıkoyabilecekti.

Nihai sonuç:

• 4.052,4 ETH (yaklaşık 8,5 milyon dolar) Verus ekibine iade edildi
• 1.350 ETH (yaklaşık 2,8 milyon dolar) saldırgan tarafından ödül olarak alıkonuldu

Bu, müzakere yoluyla çalınan fonların yaklaşık %75'inin kurtarıldığı anlamına geliyordu.

DeFi Projeleri Neden Bilgisayar Korsanlarıyla Pazarlık Yapıyor?

Verus'un tepkisi, merkezi olmayan finansta (DeFi) giderek yaygınlaşan bir modeli yansıtıyor. Fonlar çalındığında ancak zincir üzerinde izlenebilir olduğunda, protokoller bazen her şeyi kaybetme riskine girmektense kısmi bir kurtarma için saldırganlarla pazarlık yapmayı tercih ediyor.

Bu yaklaşım, birçok yüksek profilli olayda görüldü ve genellikle şunları içeriyor:

• Ödül teklifi içeren zincir üstü mesajlar
• Sosyal kanallar üzerinden kamuya açık müzakereler
• Fonların iadesi için bir son tarih belirlenmesi

Güvenlik araştırmaları, bu tür müzakerelerin kurtarma oranlarını anlamlı ölçüde artırabildiğini gösteriyor. 2024 yılındaki DeFi olaylarının bir incelemesinde, 200'den fazla saldırı raporlanmış ve beyaz şapkalı müdahaleler veya müzakereler yoluyla yaklaşık 220 milyon dolar kurtarılmıştı; bu da kabaca %15'lik bir kurtarma oranına denk geliyor.

Zincirler Arası Köprüler Neden Yüksek Riskli Hedefler Olmaya Devam Ediyor?

Verus olayı aynı zamanda köprülerin neden en çok sömürülen kripto altyapı parçalarından biri olduğunu da vurguluyor.

Köprüler, bir blok zincirindeki olayların geçerli olduğunu doğrulamalı ve ardından başka bir zincirde işlemleri gerçekleştirmelidir. Bu doğrulama mantığındaki herhangi bir zayıflık, saldırganların arkalarında yatan bir yatırma işlemi olmadan varlık basmasına veya çekmesine olanak tanıyabilir.

Güvenlik verileri sorunun boyutunu gözler önüne seriyor: Mayıs 2026 itibarıyla, yıl içinde toplam yaklaşık 328,6 milyon dolar kayba yol açan sekiz köprü saldırısı gerçekleşmişti.

Büyük likidite havuzları ve karmaşık zincirler arası doğrulama süreçlerinin birleşimi, köprüleri saldırganlar için özellikle çekici hedefler haline getiriyor.

Çıkarılması Gereken Daha Büyük Ders

Verus–Ethereum köprü saldırısı, küçük bir doğrulama gözetiminin bile milyonlarca dolarlık bir saldırıya nasıl olanak tanıyabileceğini gösteriyor. Tek bir eksik kontrol, sahte zincirler arası mesajların meşru ödemeleri tetiklemesine izin verdi.

Aynı zamanda, olayın çözümü DeFi güvenliğinin pragmatik bir gerçeğini ortaya koyuyor: Saldırılar meydana geldiğinde, müzakere yoluyla kurtarma ve ödül anlaşmaları, ekipler güvenlik açıklarını yamalayıp kullanıcı güvenini yeniden inşa ederken giderek daha fazla acil durum hasar kontrol aracı olarak kullanılıyor.