"Drift Protocol" Vakası : Güven, ama nereye kadar?
Geçtiğimiz aylarda, yine bültende Step Finance vakasını yazmıştım. Güvenlik açığının kodda değil insanda olduğu, bir çalışanın kimlik bilgilerinin ele geçirilmesiyle milyonlarca…
Geçtiğimiz aylarda, yine bültende Step Finance vakasını yazmıştım. Güvenlik açığının kodda değil insanda olduğu, bir çalışanın kimlik bilgilerinin ele geçirilmesiyle milyonlarca dolarlık varlığın çalındığı bir vakaydı, hatta Step Finance’in kapanmasına yol açan bir olaylar zincirini de başlatan bir vakaydı.
Bu hafta benzer bir örüntünün çok daha büyük, çok daha planlı ve çok daha örgütlü bir versiyonu gündemdeydi.
1 Nisan 2026. Solana blokzinciri üzerindeki en büyük merkeziyetsiz borsalardan birisi olan Drift Protocol, yaklaşık 285 milyon dolar kaybetti.
Burada yaşanan vaka, bir yazılım hatası ya da güvenlik önlemlerindeki bir eksiklik ile ilgili değildi. Altı aylık bir çok iyi planlanmış, organize ve uzun süreli istihbarat operasyonuydu.
Önce biraz girizgah yapmak gerekirse, Drift Protocol, kullanıcıların kripto varlıklarını emanet ettiği, merkezi bir şirket olmadan çalışan bir borsa. Bu borsa da pek çok merkezi olan ya da olmayan kripto para borsası gibi, sistemleri yönetmek için “çoklu imza” denen bir güvenlik modeli kullanılıyor. Bu yöntemi tıpkı bir kasanın birden fazla anahtarla açılması gibi açıklayabiliriz. Tek bir kişinin kararıyla değil, birden fazla yetkili kişinin onayıyla işlem yapılabiliyor.
Teoride bu çok güvenli bir sistem ve altyapı. Ama yetkili kişilerden birinin cihazı ya da imza mekanizması ele geçirilirse ne olur ?
İşte hikaye tam da burada başlıyor.
Sonbaharda büyük bir kripto konferansında, bir grup kendini “algoritmik trade (algoritmik botlarla otomatik al sat işlemleri yapan)” firması olarak tanıttı. Drift ekibiyle tanıştılar, ortak bir Telegram grubu kurdular, aylarca teknik sorular sordular, stratejiler konuştular.
Aralık-Ocak aylarında kendi paralarından 1 milyon doların üzerinde bir miktarı, gerçek bir müşteri gibi, Drift’e yatırdılar. Şubat ve Mart boyunca birden fazla ülkedeki konferanslarda ekip üyeleriyle yüz yüze görüştüler.
Peki acaba kimdi bu ekip ? Tamamen kurgulanmış kimliklerle, gerçek iş geçmişleriyle, gerçek mesleki ağlarla donatılmış aracılardı. Kuzey Kore devlet destekli grupların bu seviyedeki operasyonlarda kullandığı bir yöntem olarak, yerel ajan ağıydı, Kuzey Koreli değillerdi
Drift ekibinin güvenini kazandıktan sonra; linkler, araçlar, uygulamalar paylaştılar. Ekip üyelerinden birini TestFlight üzerinden henüz deneme sürümü olarak görünen bir cüzdan uygulamasını indirmeye ikna ettiler. Bir diğer ekip üyesi de kendisiyle paylaşılan kod deposunu klonladığı anda, bilgisayarı sessizce ele geçirildi. Cihaz erişimleri elde edilince, yetki sahipleri farkına bile varmadan, işlemler için gereken çoklu imza onayları toplandı ve 27 Mart’ta protokolün son güvenlik katmanı sessizce devre dışı bırakıldı.
Ama saldırının sadece insan boyutu yoktu. Aynı süreçte tamamen sahte bir token ürettiler, CarbonVote Token. Birkaç bin dolarla bu token için yapay bir fiyat geçmişi ve yapay bir tahta oluşturdular. Ancak, Drift’in fiyat sistemi bunu gerçek bir teminat gibi kabul etti. 1 Nisan’da toplam 12 dakika içerisinde 285 milyon dolar boşaltıldı: Ele geçirilmiş cihazlardan alınan onaylar ve “sahte teminat” üzerinden “gerçek” varlıklar.
Bu ilk değil. Radiant Capital, Bybit, Step Finance — aynı örüntü: insan güvenini hedef al, teknik sisteme sonradan gir. Kuzey Kore bağlantılı grupların 2017’den bu yana kripto dünyasından çaldığı toplam yaklaşık 7 milyar dolar.
Buradan çıkan tablo rahatsız edici — ve önemli bir noktaya dikkat çekiyor.
Güvenlik hiç bir zaman tek bir katmandan ibaret değil, olamaz da. Güvenlik duvarları, saldırı önleme sistemleri, iki faktörlü doğrulama, çoklu imza cüzdanları gibi teknik katmanlar var. Ama bunların yanında bir de insan katmanı var: kimlik avı saldırılarını ya da sosyal mühendislik girişimlerini tanımak, şüpheli bir linke tıklamamak, cihaz güvenliğini korumak. Ve bu iki katmanın birlikte düzgün çalışabilmesi için bir üçüncüsü daha gerekiyor: yönetişim. Bilgi güvenliği politikaları, erişim yönetimi, iş süreçlerinin her adımında güvenlik risklerinin gözetilmesi, eğitimler, denetimler, standartlara uyum.
Drift vakasında üç katman da hedef alındı. Teknik sistem sahte bir tokenla kandırıldı. İnsanlar sosyal mühendislikle kandırıldı. Yönetişim boşluğu ise 27 Mart’ta güvenlik konseyinin sessizce sıfır gecikmeli yeni bir yapıya taşınmasıyla oluştu ve ne yazık ki bunu fark edecek bir süreç yoktu.
“Kod denetlendi mi?” sorusu artık tek başına kesinlikle yetmiyor. “Bu sistemi kim işletiyor, kim erişiyor, bu erişimler nasıl yönetiliyor, ve bir şeyler ters gittiğinde bunu kim, ne zaman fark eder?” gibi sorular devreye giriyor.
Bu anlattığım hikayede/vakada güvenlik açığı kodda değildi; aylarca tanıdığını sandığın, yüz yüze görüştüğün, birlikte çalıştığın insanlarla oluşan güven ilişkisindeydi. İş ortağın, tedarikçin, müşterin — bunlara güvenebilirsin, güvenmelisin de. Ama ne kadar, nereye kadar?