Bugün neden önemli
Manşet hack'leri yalnızca tarihsel meraklar değildir. Her biri, güvende olduğunu sanan binlerce veya milyonlarca insanın güvende olmadığını uyanarak öğrendiği bir andır ve örüntüler tekrar eder. En büyük vakaları anlamak, saklama riskinin gerçekte nasıl işlediğine dair gerçek bir his geliştirmenin — ve bir sonrakini, parçası olmadan önce şeklinden tanımanın — en hızlı yoludur. Bu eğiticidir, yatırım tavsiyesi değildir.
Mt. Gox — orijinal ders (2014)
Mt. Gox, 2013'teki zirvesinde küresel BTC işleminin yaklaşık %70'ini yapan borsaydı. 2014 başında çekimleri durdurdu, ardından iflas başvurusu yaptı ve yaklaşık 850.000 BTC kayıp ilan edildi — o zaman yüz milyonlarca dolar, on yıl sonra on milyarlarca dolar değerinde bir miktar. Yıllar süren soruşturma, iç yönetim zayıflığını, güvenlik açığını ve dış hırsızlığı birleştiren çoklu yıllar boyunca yavaş bir tahliyeye işaret etti.
Mt. Gox "anahtarlarınız değilse, paralarınız da değildir" deyişinin köken hikâyesidir. Alacaklılar kısmi bir geri ödeme planı için on yıldan fazla bekledi. Kriptonun geri kalanının özümsediği ders basit ve acımasızdı: ciddi varlıkları herhangi bir borsada tutmak yalnızca piyasaya değil, borsanın kendisine bir bahistir.
Coincheck — cold-storage dersi (2018)
O zamanlar büyük bir Japon borsası olan Coincheck, Ocak 2018'de tek bir saldırıda yaklaşık 530 milyon dolarlık NEM kaybetti. Teknik temel sebep, hedeflenen fonların cold storage'da değil, operasyonel kolaylık için internete bağlı bir hot wallet'ta bekliyor olmasıydı. Coincheck sonunda kullanıcıları kendi bilançosundan tazmin etti, ama vaka kalıcı bir sektör standardını çiviledi: ciddi müşteri fonları cold storage'a aittir, yalnızca operasyonel likidite hot wallet'larda kalır.
Poly Network — tuhaf olanı (2021)
Ağustos 2021'de cross-chain protokolü Poly Network'ten birden çok zincir üzerinde yaklaşık 610 milyon dolar boşaltıldı. Ardından saldırgan olağandışı bir şey yaptı: neredeyse her şeyi geri verdi, yalnızca güvenlik açığını ifşa etmek istediğini söyledi ve projenin "baş güvenlik danışmanı" teklifiyle uzaklaştı. Motivasyon ne olursa olsun, vaka cross-chain akıllı kontratların piyasanın kötü tahmin ettiği biçimlerde kırılgan olduğunu açıkça gösterdi — 2022'de yankılanacak bir uyarı.
Ronin Network — köprü uyanışı (2022)
Mart 2022'de saldırganlar, Axie Infinity oyununu güçlendiren köprü olan Ronin'den yaklaşık 625 milyon dolarlık ETH ve stablecoin çaldı. Saldırı, köprüyü koruyan dokuz doğrulayıcı anahtardan beşinin, kısmen bir geliştiriciye yönelik sosyal mühendislik saldırısı yoluyla ele geçirilmesi nedeniyle işe yaradı. Müfettişler daha sonra hırsızlığı devlet bağlantılı bir gruba bağladı.
Ronin, sektörün köprüleri tesisat olarak görmeyi bırakıp çok-zincirli kriptonun en yüksek riskli bileşeni olarak görmeye başladığı andı. Dersler hem teknikti (doğrulayıcı merkeziyetsizliği önemli, multisig eşikleri önemli) hem de insaniydi (tek bir phishing e-postası yüz milyonlara mal olabilir).
Wormhole — akıllı kontrat dersi (2022)
Ronin'den bir ay önce, Şubat 2022'de Solana ve diğer zincirler arasındaki Wormhole köprüsü yaklaşık 325 milyon dolar için istismar edildi. Bu saf akıllı kontrat riskiydi: bir imza doğrulama hatası, saldırganın diğer tarafta gerçek ETH kilitlemeden Solana'da sarılı ETH basmasına izin verdi. İstismar yamalandı ve Jump Crypto eksik fonları yerine koymak için devreye girdi — çoğu projenin sahip olmadığı bir destek.
Vaka, cross-chain kodunun neden bu kadar tehlikeli olduğunun ders kitabı örneği oldu: tek bir hata istediği zaman hayalet varlık basabilir ve kurtarma tamamen başka birinin kaybı üstlenmeye istekli olmasına bağlıdır.
FTX — çöküş teknik olarak bir hack değilken (2022)
FTX protokol anlamında bir hack değildi. Bir müşteri fonları çöküşüydü. Kasım 2022'de dünyanın ikinci en büyük kripto borsası, müşteri bakiyelerinin bağlı işlem firması Alameda Research'ü desteklemek için kullanıldığı ortaya çıkınca günler içinde dağıldı. Milyarlarca dolarlık kullanıcı fonu hesabı yapılamadı; kurucu Sam Bankman-Fried daha sonra dolandırıcılıktan mahkûm edildi.
FTX vakası teknik hack'lerin yanında dahil edilmiştir çünkü kullanıcılar için sonuç aynıydı: bakiyeler gitti, geri kurtarma yok. Ders orijinal Mt. Gox dersini acımasız bir netlikle güçlendirdi. Pazarlama, sponsorluklar ve dost canlısı bir kamu yüzü saklama değildir. Kapıdaki saygın isim, kaputun altındaki ödeme gücüyle aynı şey değildir.
Bilinmesi gereken diğer isimler
- Bitfinex (2016). Yaklaşık 120.000 BTC çalındı. Geri kurtarma hikâyesi neredeyse on yıla yayıldı ve ABD makamlarının çalınan yığının çoğunu kara para aklayıcılarından el koymasıyla nadir bir kısmi geri verme sonucuyla bitti.
- Yine Coincheck, Cryptopia, Kucoin, Binance (2019). 2019 boyunca çoğu borsalar tarafından tazmin edilen bir dizi orta ölçekli borsa hack'i, iyi yönetilen platformların bile ihlal edildiği mesajını güçlendirdi.
- Nomad köprüsü (2022). Bir kontrat yükseltmesinin doğrulama kusuru getirmesinden sonra kaotik bir başıboşlukta ~190 milyon dolar boşaltıldı — rastgele kullanıcıların kopyala-yapıştır istismarları köprüyü boşalttı.
- Celsius ve Voyager (2022). Daha geniş 2022 çözülmesinin ardından çöken merkezi borç verenler, müşteri varlıklarını kilitledi ve altta yatan borç verme pratiklerinin ne kadar şeffaf olmadığını ortaya koydu.
- Bybit (2025). Şimdiye kadar kaydedilen en büyük tekil hırsızlıklardan biri — gelişmiş bir cold-wallet saldırısı yoluyla yaklaşık 1.4 milyar dolarlık ETH boşaltıldı. Borsa müşteri kayıplarını kendi bilançosundan karşıladı ama vaka cold-storage operasyonel güvenliği hakkındaki varsayımları yeniden tanımladı.
Yinelenen dersler
Farklı hikâyeler, aynı bir avuç sonuç:
- Saklama temel risktir. Mt. Gox'tan FTX'e uzanan iplik teknoloji değil, saklamadır. Üçüncü bir taraf paralarınızı hareket ettirebiliyorsa, paralarınız o tarafın yeterliliği ve dürüstlüğüne maruzdur.
- Köprüler ve cross-chain kod en yüksek risk katmanıdır. Ronin, Wormhole ve Nomad tek bir yılda gerçekleşti. Köprülenmiş varlıkları ayrı, daha yüksek riskli bir kova olarak ele alın.
- Hot wallet'lar operasyonel riski yoğunlaştırır. Coincheck ve birçok sonraki borsa hack'i hot wallet'ları hedef aldı — standart artık müşteri fonlarının büyük çoğunluğu için cold storage.
- Ölçek güvenlik değildir. Kripto tarihindeki en büyük iki kayıp (o sırada Mt. Gox, sonradan FTX ve Bybit) anında piyasa lideri olan firmaları vurdu. "Büyük", "güvenli" ile aynı şey değildir.
- Kurtarma nadirdir. Bazı fonlar sonunda geri verilir — Mt. Gox alacaklıları, ABD uygulaması yoluyla Bitfinex, Jump desteğiyle Wormhole — ama vakaların büyük çoğunluğu için kaybedilen kaybedilmiştir.
Bununla ne yapmalı
- Önemli varlıkları borsalardan çıkarın. Bir sonraki büyük hack'e karşı tek en büyük savunma, bir sonraki büyük hack'in müşteri listesinde olmamaktır. Pratik kurulum için kripto nasıl güvenli saklanır'a bakın.
- Borsaları kasa değil, hizmet olarak ele alın. Onları işlem için kullanın, hemen çekin ve uzun vadeli bakiye bırakmaktan kaçının.
- Köprü maruziyetini sınırlayın. Köprülenmiş varlıklara ihtiyacınız varsa, onları daha yüksek riskli bir pozisyon olarak ele alın ve buna göre boyutlandırın.
- Haberleri izleyin. Bir borsanın başının dertte olduğunun erken işaretleri — çekim gecikmeleri, sosyal medya sessizliği, ani pazarlama dönüşleri — sıkça en kötüsü kamuoyuna açıklanmadan saatler veya günler önce belirir.
- Karşı taraf riskini çeşitlendirin. Varlıkları self-kustodi artı birden fazla saygın borsaya bölmek, tek bir başarısızlığın sizi silmeyeceği anlamına gelir.
Erken işaretleri yakalayın
Büyük borsa çöküşlerinin çoğu resmi açıklamadan önce uyarı sinyalleri verir — çekim duraklatmaları, olağandışı zincir üzeri hareketler, sosyal medya savunmacılığı, delikleri tıkamaya çalışan borsalar. Zippfeed kripto güvenlik ve borsa manşetlerini birçok kaynaktan sentiment ve önem skorlarıyla takip eder; böylece kaynayan bir sorunun erken işaretleri bağlamlarıyla birlikte feed'inize düşer. Dumanı ne kadar erken görürseniz, ateş onlara ulaşmadan önce fonları taşımak için o kadar fazla zamanınız olur.
