763,9 Milyon Dolarlık Dönüşüm: Akıllı Sözleşme Denetimleri Neden Web3’ün En Kötü Çeyreğini Engelleyemedi?

2026'nın 2. Çeyreğinde Güvenlik Durumu

2026'nın ikinci çeyreği, 2025'in ikinci çeyreğinden bu yana Web3 güvenliği açısından en ciddi dönem oldu; tehdit aktörleri, 67 güvenlik olayı sonucunda 763,9 milyon dolarlık kayba neden oldu. Bu çeyreği belirleyen en önemli gelişme, güvenlik açığı profillerinde yaşanan köklü bir değişiklikti: Artık birincil saldırı yüzeyi kod değil; operasyonel kontroller ve anahtar yönetimidir.

Toplam kayıpların %88’inden fazlası, akıllı sözleşme mantığındaki kusurlardan ziyade operasyonel güvenlik ihlallerinden kaynaklandı. Kurumsal sermaye şimdiden uyum sağlıyor ve durum tespiti önceliklerini, belirli bir zamana odaklı denetimlerden uzaklaştırarak sürekli izleme, ayrıcalıklı erişim yönetimi ve çok katılımcılı yetkilendirme çerçevelerine kaydırıyor.

Hacken’in üç aylık güvenlik ve uyumluluk raporuna göre, anahtar ve altyapı ihlalleri çalınan tüm fonların %88,3’ünü, yani yaklaşık 674,5 milyon doları oluşturdu. Akıllı sözleşme hataları en yaygın saldırı türü olmaya devam etti — 67 olayın 44’ü — ancak toplam kayıpların yalnızca yaklaşık %11’ini oluşturdu. Tüm kayıpların yaklaşık %75,5’i, Kuzey Koreli tehdit aktörlerine atfedilen sadece iki olaydan kaynaklanırken, izlenen projelerin yalnızca %9’u sürekli izleme uyguluyor ve %4’ü denetimleri, hata ödül programlarını ve canlı izlemeyi birleştiriyor.

İkinci çeyreğin temel bulgularından biri, denetlenmiş 14 protokolün ihlal edilmiş olmasıdır; bu durum, akıllı sözleşme denetiminin gerçekte neyi değerlendirdiği ile tehdit aktörlerinin gerçekte nereden saldırdığı arasındaki genişleyen uçurumun çarpıcı bir göstergesidir. Güvenlik uzmanları için bu ihlaller, belirli bir zamandaki kod incelemesini her şeyi kapsayan bir güvenlik kalkanı olarak görmenin ölümcül kusurunu ortaya koymaktadır.

Cysic’in kurucusu Leo Fan, “En büyük yanılgı, denetimin bir güvenlik sertifikası olduğu düşüncesidir,” dedi. “Aslında bu, belirli bir zamanda belirli bir kod tabanının kapsamlı bir değerlendirmesidir. Bir denetim, imzalayan cihazları, bulut altyapısını, operasyonel izinleri, dağıtılmış bayt kodunu, sonraki yükseltmeleri, üçüncü taraf bağımlılıklarını veya hâlâ çağrılabilen eski sözleşmeleri otomatik olarak kapsamaz.”

Panther Hollow Ventures’ın kurucu genel ortağı ve genel hukuk danışmanı Eric Swartz da, denetimleri bir bitiş çizgisi olarak görmenin protokolleri savunmasız bıraktığını vurguladı. "Bir denetim, sistemin belirli bir anda nasıl göründüğünü gösterir," dedi Swartz. "Gelecekteki yükseltmelerin, operasyonel değişikliklerin veya yeni saldırı yöntemlerinin risk oluşturmayacağını garanti etmez. En güçlü ekipler, denetimleri çok daha geniş bir güvenlik programının bir parçası olarak görür."

Genius’un CTO’su Samuel Videau, denetim raporunun kapsam bölümünün genellikle neyin değerlendirilmediğini ortaya çıkardığını belirtti. Videau, “İkinci çeyrekteki kayıpların neredeyse %90’ı, hepsi de o kapsam bölümünün dışında kalan anahtarlar, imzalayanlar ve altyapıdan kaynaklandı ve denetime tabi tutulan 14 proje yine de boşaltıldı,” dedi. "Rapor kartı, güvenlik programının kendisi değildir."

Arch'ın CTO'su ve kurucu ortağı Himanshu Sahay, denetimlerin tek başına yeterli olamayacağını vurguladı. "Denetim, incelenen kod ve mimariye ilişkin belirli bir zamandaki önemli bir değerlendirmedir, ancak her türlü operasyonel riski veya sistemde gelecekte meydana gelebilecek değişiklikleri hesaba katamaz," dedi Sahay. "Güvenlik, sürekli devam eden bir süreç olarak ele alınmalıdır."

Kodu Atlatmak: Zincir Dışı Altyapının Zayıf Noktası

Bu arada, akıllı sözleşme savunmaları olgunlaştıkça ve zincir içi mantığı ihlal etmek giderek zorlaştıkça, tehdit aktörleri kararlı bir şekilde yön değiştirdiler. Saldırganlar, sıkı korunan ön kapıları aşmak yerine, zincir dışı altyapının zayıf noktasından yararlanmak için kodları sistematik olarak tamamen atlatıyorlar.

"En çok hafife alınan yüzey, zincir dışı kontrol düzlemidir: imzalayıcı cihazlar, anahtar oluşturma ve rotasyon prosedürleri, bulut kimlikleri, CI/CD boru hatları, arka uç hizmetleri, köprü doğrulayıcıları ve acil durum yönetici yolları," dedi Fan. "Ekipler genellikle anahtar depolamasını güvence altına alır, ancak anahtarların gerçekte nasıl kullanıldığına daha az dikkat eder… Güvenlik ihlali yaşandığında saldırganlar, zincir üzerinde teknik olarak geçerli işlemler oluşturabilir ve bu da önleme ve tespit işlemlerini çok daha zor hale getirir."

Bulut çevresi, birçok Web3 geliştiricisi için yanlış bir güvenlik hissi yaratmaktadır.

"En büyük yanılgı, büyük bir bulut sağlayıcısını kullanmanın bir uygulamayı varsayılan olarak güvenli hale getirdiği varsayımıdır," dedi Lynq CEO'su Jerald David. "Bulut sağlayıcıları altta yatan altyapıyı güvence altına alır, ancak sistemlerin nasıl yapılandırılacağı, kimlik bilgilerinin nasıl yönetileceği ve kimin erişime sahip olacağı konusunda sorumluluk yine ekiplere aittir."

Öte yandan Videau, uygun olmayan mimarinin çoklu imza korumasını geçersiz kılabileceği konusunda uyarıda bulundu. "Tüm operasyon, üretim anahtarlarına erişebilen aşırı izinli hizmet rolleri ve CI/CD boru hatları üzerinde çalışıyor; ve eğer bir hizmet hesabı imza anahtarınızı okuyabiliyorsa, çoklu imza sisteminiz sadece gösteri amaçlıdır," dedi Videau. "Hala yönetici haklarına sahip olan kullanımdan kaldırılmış sözleşmeler de başka bir saldırı vektörüdür: İki yıl önce yayınladığınız kod, açık bir kapıdır ve saldırganlar, sizin neyi kapsam içinde değerlendirdiğinizi umursamazlar."

Kurumsal yatırımcılar risk modellerini yeniden ayarlarken, sermaye dağıtımı için çıtayı önemli ölçüde yükseltti. "Kurumsal kullanıma hazır" kavramı artık temiz bir denetim raporu ile değil, operasyonel olgunluğun kanıtı, kurumsal düzeyde yönetişim ve dayanıklı anahtar yönetimi kontrolleri ile tanımlanıyor.

"Ben öncelikle operasyonel olgunluğa bakarım," dedi David. "Ekip, sermayenin sistem içinde nasıl hareket ettiğini, kontrolün kilit noktalarının nerede olduğunu ve risklerin nasıl izlendiğini net bir şekilde açıklayabiliyor mu? Kurumlar öngörülebilirlik ve şeffaflığa ihtiyaç duyar."

Sahay, tek başına hiçbir kontrolün kurumsal desteği garanti etmediğini belirtti. "Kurumlar, kritik sistemlere nasıl erişildiğini, izinlerin nasıl yönetildiğini, faaliyetlerin nasıl izlendiğini ve bir sorun çıktığında hangi süreçlerin devreye girdiğini anlamak istiyor," dedi Sahay. "Nihayetinde güveni sağlayan şey, güçlü kontroller, şeffaflık ve operasyonel disiplinin birleşimidir."

Fan, protokolleri değerlendirirken ayrıcalık haritasına odaklanıyor: kimler varlıkları taşıyabilir, imza sahiplerini değiştirebilir veya güvenlik önlemlerini değiştirebilir. Fan, “Kurumsal güvenle en çok ilişkili tek bir kontrol belirlemem gerekirse, bu her varlık taşıma ve yükseltme yolunda çok taraflı yetkilendirme olurdu,” dedi. “Kurumlar, tek taraflı eylemin imkansız olduğuna dair kanıt istiyor.”

Swartz, kurumların ekiplerin zorluklarla nasıl başa çıktığına öncelik verdiğini ekledi. Swartz, "Kurumlar, hiçbir protokolün tamamen risksiz olmadığını biliyor," dedi. "Önemli olan, ekibin iyi bir yönetişime, güçlü iç kontrollere, risk konusunda şeffaflığa ve bir sorun çıktığında müdahale etmek için net bir plana sahip olup olmadığıdır."

Beş uzman, Web3’ün gelişen tehditlere karşı koruma sağlamak için gerçek zamanlı izleme, disiplinli anahtar yönetimi ve hızlı yanıt veren hata ödül programlarını içeren katmanlı savunma yapılarını benimsemesi gerektiği konusunda hemfikir.

"Dijital varlıklar 24 saat kesintisiz çalışır, ancak bunları destekleyen altyapının bazı kısımları hâlâ geleneksel finansal programlara göre işliyor," diye belirtti David. "Piyasa giderek daha kurumsal hale geldikçe, sermayenin hareketini ve takasını destekleyen altyapının da daha dayanıklı hale gelmesi gerekiyor."

2026’nın İkinci Yarısına Bakış: Savunma Yığınlarının Yeniden Düzenlenmesi

Bu arada uzmanlar, 2026'nın ikinci yarısının da benzer bir tablo getireceği konusunda uyarıyor. Tehdit aktörlerinin, denetlenmiş akıllı sözleşmeleri tersine mühendislikle çözmeye çalışarak zaman harcamak yerine, en az direnç gösteren yolu izlemeye devam etmeleri bekleniyor: operasyonel kontroller, insan hedefleri ve kilit altyapı.

Fan, “Operasyonel erişim kontrolü saldırılarının kayıplarda başı çekmeye devam edeceğini öngörüyorum: sosyal mühendislik, kimlik bilgisi hırsızlığı, imzalayıcıların ele geçirilmesi, bulut veya CI/CD sistemlerine sızma ve zincir dışı doğrulayıcı altyapısına yönelik saldırılar,” dedi. “Tek tek akıllı sözleşme hataları devam edecek, ancak saldırganlar yetkiye ulaşmanın en kısa yolunu hedef almaya devam edecek.”

Videau, güvenlik harcamalarını gerçek risklerle yeniden uyumlu hale getirme çağrısıyla sözlerini tamamladı: “Kayıpların olduğu yerlere harcama yapın. Çalınan fonların neredeyse %90’ı anahtarlar, imzalayanlar ve altyapı üzerinden aktarıldı, ancak bütçeler hâlâ sözleşme denetimlerine akıyor. En kötü saldırılar, kimsenin öngöremediği saldırılar olacaktır; bu nedenle, güvenlik çevreniz çoktan ortadan kalkmış gibi önlemlerinizi alın.”