zkLink Nova Saldırısı: Köprü Açığı Dört Ağda Daha Kullanıldı

Ethereum üzerinde çalışan katman 3 ağı zkLink Nova, köprü sözleşmelerindeki bir açık nedeniyle saldırıya uğradı. Saldırgan, 29 Ekim gece saatlerinde tek bir Ethereum işlemiyle ağın Ethereum tarafındaki iki kasasını boşalttı. Güvenlik şirketlerinin tahminine göre kayıp 743 bin ile 786 bin dolar arasında. Açık kapatılmadan geçen saatlerde, ilk saldırganla bağlantısı görünmeyen ikinci bir kişi aynı yöntemi Optimism, Base, Blast ve Mantle ağlarındaki kasalara da uyguladı. zkLink ekibi saldırıyı TSİ 12.06’da doğruladı. TSİ 16.08’de ise blok üretimini durdurduğunu, etkilenen sözleşmeleri acil yamayla kapattığını ve çekimleri geçici olarak askıya aldığını duyurdu.

zkLink Nova saldırısı nasıl gerçekleşti?

Parapet Labs’in ayrıntılı incelemesine göre saldırıda kullanılan sözleşme, 28 Ekim TSİ 21.51’de Ethereum’a yüklendi. Asıl işlem yaklaşık üç buçuk saat sonra, 29 Ekim TSİ 01.21’de geldi. İşlemi zincir kaydından biz de kontrol ettik: 26.294.188 numaralı blokta başarıyla sonuçlanmış ve SlowMist’in saldırgan olarak işaretlediği 0xaCA0…5718 adresinden gönderilmiş.

Saldırgan tek bir işlem içinde üç adım attı. Önce Linea’dan gelen gerçek bir mesajı sisteme iletti. Ardından bu gerçek mesajın bıraktığı “doğrulandı” izini kullanarak sahte bir mesaj geçirdi ve köprüye kendi belirlediği bir parti kökü (batch root) yazdırdı. Son olarak bu sahte köke uyan, kendi hazırladığı çekim kanıtlarıyla kasalardaki varlıkları çekti. Fonlar da hızla dağıtıldı: yaklaşık 40 dakika sonra, bozdurulan tokenlerden gelenler dahil 102 ETH civarında bir tutar yeni bir adreste toplandı.

Saldırı kamuoyuna TSİ 05.24’te duyuldu. Güvenlik şirketi Blockaid, X’teki paylaşımında saldırının sürdüğünü ve o ana kadar yaklaşık 786 bin dolarlık varlığın çekildiğini yazdı. 17 dakika sonra SlowMist, kaybı yaklaşık 783,1 bin dolar olarak verdiği teknik bir özet yayımladı.

Parapet Labs’in hesabına göre çekilen varlıkların dağılımı şöyle. Dolar karşılıkları saldırı anındaki fiyatlarla hesaplandı (ETH yaklaşık 2.358 dolar). Likit yeniden stake tokenleri ETH fiyatıyla yaklaşık olarak değerlendirildi:

Tablodaki en dikkat çekici ayrıntı, kaybın yaklaşık dörtte üçünün tek bir varlıktan, Puffer Finance’in likit yeniden stake tokeni pufETH’ten gelmesi. Bu, pufETH’te bir sorun olduğu anlamına gelmiyor; çekilenler kullanıcıların köprüye yatırdığı tokenlerdi.

Açığın kaynağı: tek başına zararsız görünen iki hata

zkLink Nova, birden çok zincirdeki kasalardan beslenen “toplulaştırılmış” bir katman 3 ağı. Her bağlı zincirdeki kasa, çekim taleplerini bir parti köküne, yani bir işlem grubunu özetleyen kriptografik parmak izine göre onaylıyor. Kökleri kasalara taşıyan katmanın merkezinde Arbitrator adlı bir yönlendirici sözleşme var.

SlowMist ve Parapet Labs’in incelemeleri sorunu iki noktada buluşturuyor. Birincisi, Arbitrator içindeki claimMessage fonksiyonu, kendisine iletilen bir hedef adresi kendi kimliğiyle çağırabiliyordu. Geçitler (gateway) Arbitrator’a koşulsuz güvendiği için sahte çağrı “resmî kanaldan” geliyormuş gibi göründü. İkincisi, mesajın gerçekliğini doğrulayan kontrol, Ethereum’un Dencun güncellemesiyle gelen geçici depolama (EIP-1153) alanına bir kayıt bırakıyor, ancak bu kayıt kullanıldıktan sonra silinmiyordu. Yani bir işlem içinde tek bir gerçek mesaj doğrulandığında, aynı işlemdeki sonraki sahte talepler de bu eski kaydı görüp kontrolden geçebiliyordu.

Kapının kendisi ise herkesin çağırabildiği bir aktarıcı sözleşmeydi. SyncL2TxHashRelayer adlı bu sözleşme sisteme yetkili olarak tanıtılmıştı, ama çağıranın kim olduğunu denetlemiyordu. Parapet Labs’e göre saldırgan ne özel anahtar çaldı ne de imza taklit etti; kasaya kendi kökünü yazdırmak yetti. Parapet’in incelemesine göre bu iki hatadan birinin düzeltilmesi saldırıyı tek başına durdurmaya yetiyordu. Kayıtlara göre Arbitrator sözleşmesi 1 Mart 2024’te devreye alınmıştı, yani açık yaklaşık 20 aydır yerinde duruyordu.

İkinci dalga: dört ağdaki kasalar da boşaltıldı

İlk saldırının üzerinden yaklaşık dokuz saat, Blockaid’in kamuya açık uyarısının üzerinden yaklaşık beş saat geçmişti. Bu sürede açık kapatılmadı. TSİ 10.16’da başka bir kişi tek bir Ethereum işlemiyle Base, Optimism, Blast ve Mantle’a sahte kökler gönderdi. Bu ağlardaki kasalar da üç dakika içinde boşaltıldı. Parapet Labs’e göre tüm çekimler, ilk saldırganla bağlantısı görünmeyen tek bir adrese gitti; şirket bu kişiyi açığın duyurulmasından yararlanan bir “taklitçi” olarak tanımlıyor.

Toplam 24,76 ETH ile bu ağlardaki token stoklarının (36.830 OP dahil) çekildiği, değerinin de 100 bin dolar ve üzerinde olduğu tahmin ediliyor. Daha önce bu ağlardan biri olan Mantle’ın yapısını Mantle (MNT) rehberimizde anlatmıştık. Burada sorunun Mantle ya da diğer ağların kendisinde değil, zkLink’in bu ağlara kurduğu kasa sözleşmelerinde olduğunu ayrıca belirtmek gerekiyor.

Bir ayrıntı daha var: zkLink, Mart 2025’te bu ikincil ağlardaki sözleşmelerini küçülme sürecinin parçası olarak duraklatmıştı. Parapet’e göre bu duraklatma yalnızca yatırmaları engelliyordu, çekimler açık kalmıştı. Bu yüzden duraklatılmış görünen kasalar da boşaltılabildi.

zkLink ne açıkladı, hangi önlemleri aldı?

zkLink’in ilk resmî açıklaması TSİ 12.06’da geldi. Ekip, zkLink Nova’nın Ethereum ve Optimism üzerindeki Arbitrator sözleşmesini hedef alan ve hâlâ süren bir saldırı tespit ettiğini yazdı. Aynı paylaşımda saldırganlara seslenerek bütün zincirlerdeki istismarı durdurmalarını ve fonları iade etmelerini istedi. Karşılığında fonların yüzde 20’sini “beyaz şapka” ödülü olarak bırakmayı ve iade hâlinde başka bir işlem yapmamayı teklif etti.

TSİ 16.08’deki ikinci açıklamada ise alınan önlemler sıralandı: zkLink Nova’da blok üretimi durduruldu, etkilenen sözleşmeler acil yamayla kapatıldı ve çekim kanalları geçici olarak devre dışı bırakıldı. Ekip, tüm bileşenleri incelediğini ve riskler tamamen giderilmeden hizmetlerin açılmayacağını belirtti. Açıklamada ne kesin kayıp rakamı ne de kullanıcılara telafi yapılıp yapılmayacağına dair bir bilgi vardı.

Kayıp tahminleri arasındaki fark yöntemden kaynaklanıyor: Parapet saldırı anındaki zincir üstü fiyatları kullanırken Blockaid ve SlowMist farklı saatlerde kendi verileriyle hesapladı. İkinci dalga bu rakamlara dahil değil; bu nedenle olayın toplam maliyeti, zkLink resmî bir döküm yayımlayana kadar kesinleşmiş sayılmamalı. Ayrıca Parapet’in TSİ 13.00 civarındaki notunda Manta ağındaki yaklaşık 39 bin dolarlık kasanın hâlâ risk altında olduğu yazıyordu. zkLink’in sonraki yama açıklamasından sonra bu kasanın son durumu ayrıca açıklanmadı.

Köprü saldırıları neden tekrar ediyor?

Zincirler arası köprüler, kripto dünyasında en çok saldırıya uğrayan yapıların başında geliyor. 2022’de Ronin köprüsünden yaklaşık 625 milyon, Wormhole’dan yaklaşık 320 milyon, Nomad’dan da yaklaşık 190 milyon dolar çekilmişti. Ortak nokta, bir zincirdeki kasanın başka bir zincirden gelen “bu çekim geçerli” bilgisine güvenmesi; o bilgi taklit edilebildiğinde kasanın tamamı risk altına giriyor. zkLink Nova olayı tutar olarak bu örneklerin çok altında. Ama mekanizma olarak aynı zayıflığı yeniden gösteriyor.

Benzer bir tabloyu dün Zilliqa’da da görmüştük. Orada da bir köprü ve token sözleşmelerinin etkilendiği güvenlik olayı yönetim değişikliğine kadar uzanmıştı; ayrıntıları Zilliqa X-Bridge güvenlik olayı haberimizde anlattık. İki olay arasında doğrudan bir bağ yok.

Bizim değerlendirmemize göre zkLink Nova olayının asıl dersi teknik açığın kendisinden çok, sonrasında geçen süre. Açık kamuoyuna duyurulduktan sonra sözleşmeler saatlerce yamalanmadan ve duraklatılmadan kaldı. Bu süre, ikinci bir kişinin aynı yöntemle dört ağı daha boşaltmasına yetti. Küçülme sürecinde yalnızca yatırmaların kapatılması da, içinde para duran eski sözleşmelerin risk taşımaya devam ettiğini gösteriyor. Bunlar kesin hükümler değil; tam olay raporu tabloyu değiştirebilir.

Kullanıcılar için ne anlama geliyor?

zkLink Nova’da varlığı bulunan kullanıcılar şu an çekim yapamıyor. Ekip, hizmetlerin ancak risklerin tamamen giderildiği doğrulandıktan sonra açılacağını söylüyor, ama bir tarih vermedi. Bu dönemde sahte “iade” ya da “telafi” sayfalarına karşı dikkatli olmak, yalnızca resmî kanallardaki duyurulara itibar etmek gerekiyor. Projenin ZKL tokeni ise saldırıdan önce de çok düşük bir piyasa değerine sahipti. CoinGecko verisine göre ZKL, TSİ 17.41’de 0,000189 dolardan işlem görüyor ve 24 saatte yüzde 3,1 değer kaybetmiş; toplam piyasa değeri 123 bin dolar civarında.

Önümüzdeki günlerde izlenecek noktalar belli: zkLink’in kesin kayıp dökümü ve kök neden raporu, saldırganların ödül teklifine yanıt verip vermediği, fonların izlendiği adreslerdeki hareketler ve kullanıcılar için bir telafi planının açıklanıp açıklanmayacağı.

ABD açılışı ve kripto piyasası

New York borsaları TSİ 16.30’da Fed’in dünkü kararı ve Alphabet bilançosunun ardından satıcılı açıldı; Nasdaq diğer endekslerden sert düştü. Kripto tarafı daha sakin. Bitcoin sabah saatlerinde 80 bin doların altına sarktıktan sonra yeniden 81 bin dolar seviyesine yerleşti.

Endeks verileri Yahoo Finance üzerinden, kripto verileri CoinGecko üzerinden 29 Ekim TSİ 17.41’de tarafımızca alındı.

ETH’nin gün içindeki seyri, zkLink Nova saldırısının piyasa geneline yansımadığını gösteriyor. Olayın asıl etkisi fiyatlarda değil, köprü ve katman 3 projelerine duyulan güvende hissedilebilir.

Kaynaklar

• zkLink (X) – Saldırının doğrulanması ve %20 ödül teklifi (29 Ekim 2026, 09.06 UTC)
• zkLink (X) – Acil önlemler: blok üretimi durduruldu, sözleşmeler yamalandı (29 Ekim 2026, 13.08 UTC)
• Etherscan – Saldırı işlemi (blok 26.294.188)
• SlowMist (X) – zkLink saldırısı kök neden özeti
• Blockaid (X) – zkLink köprüsünde süren saldırı uyarısı
• Parapet Labs – zkLink Nova Exploit Post-Mortem
• The Crypto Times – zkLink Nova Bridge Exploited for ~$786K
• Lookonchain – zkLink açıklaması aktarımı
• CoinGecko – zkLink (ZKL)

Yatırım tavsiyesi değildir. Bu yazı yalnızca bilgilendirme amaçlıdır; kripto paralar yüksek risk taşır, karar vermeden önce kendi araştırmanızı yapın.