Cork Protokolü wstETH Tahliyesinde 12 Milyon Dolar karşılığında Suistimal Edildi - DeFi Hack Haberleri 2026

Depeg riskini tokenize etmeye odaklanan Ethereum tabanlı bir platform olan Cork Protokolü, sarılmış stake edilmiş ETH'de (wstETH) yaklaşık 12 milyon dolar karşılığında boşaltıldı. Saldırgan, protokolün kasalarından 3.761,87 wstETH'yi çekmek için kötü niyetli bir sözleşme kullandı ve ardından gelirleri hemen aklamadan ham ETH'de birleştirdi. Sözleşmeler birkaç saat içinde durduruldu. Bu istismar bir dizi saldırının en sonuncusu DeFi 2026'yı karakterize eden güvenlik hataları.

Ne oldu

Cork Protokolü, bir saldırganın kötü niyetli bir sözleşme etkileşimi yoluyla, geçerli fiyatlarla yaklaşık 12 milyon dolar değerindeki 3.761,87 wstETH'yi protokolden çektiğini açıkladı. Açık, Cork'un ek kayıpları önlemek için ilgili akıllı sözleşmeleri duraklatmasıyla birkaç saat içinde kontrol altına alındı. Çalınan wstETH açıldı ve yerel ETH'ye dönüştürüldü, ardından saldırgan tarafından kontrol edilen tek bir adreste birleştirildi.

En son zincir içi kontroller itibarıyla fonların Tornado Cash, Railgun veya herhangi bir zincirler arası köprü aracılığıyla taşınmadığı görüldü. Bu tutma şekli dikkat çekicidir. Birçok DeFi saldırısında saldırganlar birkaç saat içinde fonları aklamak için yarışıyor. Cork'a saldıran kişi şu ana kadar elde ettiği geliri ETH'de tuttu; bu da Cork veya kolluk kuvvetlerinin bir geri dönüş için pazarlık yapabilmesi durumunda en azından teorik bir kurtarma penceresini açık bırakıyor.

Cork, istismarın teknik otopsi işleminin tamamını açıklamadı. Protokolün kamuya açık iletişimleri, kötü niyetli sözleşme modelini ve wstETH'nin geri çekildiğini doğruluyor ancak kesin güvenlik açığı yayınlanmadı. Bu boşluk, bir hacklemeden sonraki ilk 48 saat için tipiktir; bu sırada ekipler adli tıp işlemlerini tamamlar ve ifşa etme konusunda ödünleşimleri tartarlar.

Cork Protokolü gerçekte ne yapar?

Cork, niş ama ilginç bir soruna odaklanan nispeten genç bir DeFi ilkel ürünü: varlık depeg riskini tokenize etmek. Protokol, kullanıcıların, örneğin stETH veya USDC gibi bir hedef varlığın beklenen sabit değerden tanımlanmış bir eşikten daha fazla sapması durumunda ödeme yapan "depeg swap" araçlarını satın almalarına ve satmalarına olanak tanıyor. Yapı, geleneksel finanstaki kredi temerrüt swaplarına benzer.

Cork, bu takasları desteklemek için dayanak varlığı (bu durumda wstETH) teminat kasalarında tutuyor. Depeg takası, bir depeg olayı tetiklendiğinde bu kasalardan ödeme yapar. Kasalar tam olarak istismarın hedeflediği yüzeydir: Saldırgan, kötü niyetli bir sözleşme yoluyla etkileşim kurarak karşılık gelen depeg tetikleyicisi olmadan teminat elde edebildi.

Ürünün kendisi kavramsal olarak sağlamdır. Bu istismar, depeg-swap ekonomik modelinin bir başarısızlığı değil, uygulamadaki bir akıllı sözleşme başarısızlığıdır. Bu ayrım, herhangi bir yeniden inşa işlemi için önemlidir: Ekip, güvenlik açığını dile getirebilir, yamalayabilir, düzeltmeyi denetleyebilir ve mevduat sahipleriyle şeffaf bir şekilde iletişim kurabilirse, temel ürün bir güvenlik olayından sağ çıkabilir.

Bunun 2026 hack manzarasında yeri neresi

2026, DeFi güvenliği için acımasız bir yıl oldu. Bu yıl DeFi protokollerinden çalınanların toplamı şimdiden 2 milyar doları aştı. En büyük olay, Kuzey Kore'nin Lazarus Grubu'na atfedilen ve zehirli RPC manipülasyonu yoluyla 116.500 rsETH'yi boşaltan 292 milyon dolarlık KelpDAO köprüsü istismarı olmaya devam ediyor. Drift Protokolü, Solana'ya düzenlenen Lazarus bağlantılı ayrı bir saldırıda 280 milyon dolar kaybetti. Sui'deki Cetus Protokolü, AMM taşma kusuru nedeniyle 223 milyon dolar kaybetti. Verus'un Ethereum köprüsü, mayıs ayında 5.400 $'ın üzerinde ETH eşdeğerine kullanıldı.

Cork'un 12 milyon doları bu karşılaştırmaya göre küçük ama bir kalıba uyuyor. 2026'daki istismarların çoğu üç vektörden birinden kaynaklandı: köprü doğrulama kusurları, oracle manipülasyonu veya kapsamlı denetimler tamamlanmadan önce ölçeklenen yeni protokollerdeki akıllı sözleşme mantık hataları. Cork üçüncü kategoriye giriyor. Protokol yeni, ürün yeni ve saldırı yüzeyi, iyi niyetli incelemecilerin bile kritik yolları kaçırabileceği kadar karmaşık.

Piyasa etkisi

WstETH ve daha geniş Ethereum staking ekosistemi üzerindeki doğrudan etki minimum düzeydedir. Lido'nun stETH şamandırası 30 milyar doların üzerindedir ve paketlenmiş wstETH varyantı da benzer boyutta dolaşmaktadır. 12 milyon dolarlık bir ekstraksiyon, normal likidite akışının gürültü bandında yer alıyor. Lido'nun kendisi etkilenmedi: wstETH, Lido'nun sözleşmelerinde değil, Cork'un kasalarında tutuldu.

Piyasanın daha geniş tepkisi susturuldu. ETH fiyatı açıklamaya anlamlı bir tepki vermedi ve stETH, sabit noktasına sıkı bir şekilde işlem yapmaya devam etti. Açıktan yararlanmanın sınırlı doğası ve Cork'un başlıca DeFi protokollerine göre küçük boyutu, bulaşmayı sınırlı tuttu.

Cork'un mevduat sahipleri için etki daha doğrudandır. Protokolün TVL'si artık çalınan miktara göre daha düşük ve herhangi bir kurtarma, saldırganla müzakereye veya nihai kolluk kuvvetlerinin müdahalesine bağlı. Ekip, etkilenen kullanıcılara hazineden tazminat ödenip ödenmeyeceği veya protokolün bir yama ve denetimden sonra faaliyetlerine devam edip etmeyeceği de dahil olmak üzere henüz bir iyileştirme planı yayınlamadı.

Bağlam: kurtarma sorusu

Cork saldırısının ayırt edici özelliklerinden biri de saldırganın hırsızlık sonrası davranışıdır. Fonlar ETH'de, tek bir adreste, karışmadan kalır. Bu model bazen, istismarcının bir ödül karşılığında fonları iade etme niyetinde olduğu beyaz şapka veya gri şapka faaliyetleriyle tutarlıdır. Bu durum aynı zamanda saldırganların uyumluluk konusundaki dikkatin azalacağını umarak aklama öncesinde ilk inceleme dönemini beklemesiyle de tutarlıdır.

Cork, saldırganla zincir üstü iletişimin başlayıp başlamadığını açıklamadı. Daha önceki birkaç olayda protokoller, çalınan fonların %10 ila %20'sini hata ödülü olarak ve kovuşturma yapılmaması anlaşması olarak teklif ederek iadeleri başarıyla müzakere etti. 2026'nın başlarındaki Cetus Protokolü davası konuyla ilgili bir emsal teşkil ediyor: Cetus, hacker'a 223 milyon dolarlık hırsızlığa karşılık 6 milyon dolarlık bir ödül teklif etti ve kısmi kurtarma görüşmeleri zincir üzerinde halka açık olarak yürütüldü.

Cork saldırganı benzer bir ödül düzenlemesini kabul ederse, protokol anlamlı sermayeyi geri kazanabilir ve operasyonlara devam edebilir. Aksi takdirde, kolluk kuvvetlerinin kripto para aklama yollarına artan ilgisi gizli çıkışları iki yıl öncesine göre önemli ölçüde zorlaştırdığından, fonlar muhtemelen herhangi bir hareketten önce uzun bir süre ETH'de kalacak.

Nasıl takip edilir

Çalınan wstETH ve onun ETH türevi, saldırganın çeşitli zincir içi adli tıp hesapları tarafından yayınlanan konsolide adresi aracılığıyla Etherscan'de takip edilebilir. Bu fonların özellikle bir karıştırıcıya veya köprüye aktarılması, toparlanmanın olası olmadığının ilk sinyali olacaktır.

Cork kullanıcıları için resmi protokol kanalları telafi veya yeniden başlatma zaman çizelgeleri için tek kaynaktır. DeFiLlama ve DexTools dahil olmak üzere genel DeFi izleme hizmetleri, gerçekleştikçe herhangi bir TVL veya alım satım iyileşmesini yansıtacaktır.

SSS

Mantar Protokolü hala çalışır durumda mı?

Exploitten itibaren işlemler duraklatıldı. Ekip henüz yeniden başlama zaman çizelgesini açıklamadı. Gelecekteki operasyon, güvenlik açığının düzeltilmesine, denetimin tamamlanmasına ve etkilenen kullanıcılar için herhangi bir tazminat planına bağlıdır.

Lido kullanıcıları etkileniyor mu?

Hayır. Bu açık, Lido'nun sözleşmelerinde değil, Cork'un kasalarında tutulan WstETH'yi tüketti. stETH ve wstETH normal şekilde ticaret yapmaya devam ediyor ve Lido altyapısı etkilenmedi.

Para geri alınabilir mi?

Muhtemelen. Çalınan ETH, henüz aklama faaliyeti olmayan, saldırganın kontrolündeki tek bir adreste kalıyor. İyileşme müzakereye, gönüllü geri dönüşe veya nihai kolluk kuvvetleri müdahalesine bağlıdır.

Cork istismarının Kuzey Kore ile bağlantısı var mıydı?

Kamuya açık bir atıf yapılmamıştır. 2026'daki birçok büyük DeFi istismarı Lazarus Grubuyla ilişkilendirildi ancak Cork, kamuya açık raporlar itibarıyla devlet destekli aktörlerle ilişkilendirilmedi.

Bu, 2026'nın daha büyük hack'leriyle nasıl karşılaştırılıyor?

12 milyon dolarlık Cork kaybı, KelpDAO'nun 292 milyon dolarlık, Drift'in 280 milyon dolarlık veya Cetus'un 223 milyon dolarlık olaylarıyla karşılaştırıldığında küçük. Bu durum, toplamda 2026'nın 2 milyar doların üzerindeki DeFi kayıplarının çoğunu oluşturan orta ölçekli DeFi saldırılarının istikrarlı ritmine uyuyor.