KelpDAO ve LayerZero Saldırısı

2022’nin ardından DeFi piyasasında görülen sert düşüşlere bir yenisi daha eklendi: KelpDAO’nun rsETH token’ını hedef alan saldırı, yaklaşık 290 milyon dolarlık bir kayba yol açtı. Olay, son 24 saat içinde en büyük 20 blockchain üzerinde toplam 7 milyar dolarlık çıkışa neden oldu. TVL ise DefiLlama verilerine göre aynen düşüşünü sürdürerek %7.7 oranında geriledi ve 85.6 milyar dolara indi. Bu veriler, güvenin sarsıldığını ve dev finansal hareketlerin keskin biçimde azaldığını gösteriyor.

Saldırının merkezi: KelpDAO ve rsETH Analizler, 18 Nisan 2026’da gerçekleşen olayda likit yeniden-stake protokolünden 290 milyon değerinde varlığın aktarıldığını gösteriyor. Saldırganlar, toplam arzın yaklaşık %18’ine denk gelen 116 bin 500 rsETH’i kendi cüzdanlarına taşıdı. İncelemeler, zayıflığın akıllı kontratlardan değil, zincirler arası mesaj doğrulama altyapısındaki bir açığa dayandığını ortaya koyuyor.

Aave üzerindeki etkiler: 6 milyar dolarlık çıkış Krizin en ağır kısmı, saldırganların sahte rsETH’leri teminat olarak kullanıp Aave üzerinden ETH çekmesiyle kendini gösterdi. Sonuçlar şunları içeriyor:

• 24 saat içinde Aave’den yaklaşık 6 milyar dolarlık para çıkışı oldu.
• AAVE token’ı olayın ardından yaklaşık %18 değer kaybetti.
• ETH, USDT ve USDC havuzlarında kullanım oranları vazgeçilmez hale geldi ve kullanıcılar çekim yapamaz konuma geldi.
• Likidite sıkışması nedeniyle stabil coin mevduatlarına karşı yaklaşık 300 milyon dolara yakın acil borçlanma hareketliliği yaşandı.

İzlenimler, Aave kurucusu Stani Kulechov’un güvenlik mesajları ve saldırının dış kaynaklı olduğuna dair açıklamalarıyla dengelenmeye çalışıldı. Ancak yatırımcı güveni hala darbe almış durumda.

Yine Kuzey Kore izi LayerZero’nun ön inceleme raporları, saldırının yüksek ihtimalle Lazarus Group’un “TraderTraitor” alt ekibi tarafından gerçekleştirildiğini gösterdi. Zincir üstü davranışlar ve taktikler, Radiant Capital ihlaliyle benzerlikler taşıyor. Analistler, Lazarus Group’un kripto dünyasında toplamda 7 milyar doları aşan bir portföy oluşturduğunu ve bu rakamın zaman içinde büyümeye devam ettiğini belirtiyor.

KelpDAO – LayerZero arasındaki sorumluluk tartışması Olayın ardından taraflar arasında kamuoyunda sert bir tartışma çıktı. LayerZero, saldırının ana nedenini KelpDAO’nun tek doğrulayıcı (1/1 DVN) konfigürasyonuna ısrar etmesine bağlıyor ve bundan sonra tek doğrulayıcı için mesaj imzalamayacağını duyurdu. Karşı tarafta ise LayerZero’nun altyapısının tamamen kendi sunucularında olduğunu, resmi dokümantasyon ve dağıtım kodunun tek imzalı yapıyı teşvik ettiğini ileri sürüyor. Chainlink topluluk yöneticisi Zach Rynes, LayerZero’nun güvenlik açığını KelpDAO’nun üstüne “yıkmaya çalıştığını” iddia etti.

Bu tartışmalara TRON’un kurucusu Justin Sun da dahil oldu ve şu açıklamayı yaptı: “Ne kadar istediğini söyle, konuşalım. 300 milyon dolar zaten harcanacak bir meblağ değil. Aave ve KelpDAO’yu birlikte batırmanın kimseye faydası yok.”

DeFi sektörü için olası etkiler Olaylar, protokollerin risk yönetimi süreçlerini acil olarak gözden geçirmelerini tetikledi. Öne çıkan başlıklar arasında çoklu doğrulayıcı yapılandırmaların yaygınlaşması, Aave gibi büyük lendings platformlarının rsETH ve wETH piyasalarını geçici olarak dondurması ve kurumsal yatırımcıların cross-chain varlıklara yönelik kısa vadeli iştahının azalması bulunuyor. 2026’nın ilk çeyreğinde Drift (285 milyon dolar), KelpDAO (290 milyon dolar) ve diğer saldırılar, modüler güvenlik paradigmasının ciddi bir sorgulanma dönemine girdiğini gösteriyor. Bu süreç, güvenlik standartlarının ve protokol güvenliğinin evrimleşmesi için kritik bir süreci müjdeliyor.