Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Mayıs 2026, tedarik zinciri saldırılarının yeni boyutlara ulaştığına sahne oldu: Mini Shai-Hulud solucanı npm ve PyPI genelinde 600'den fazla paketi zehirledi; OpenAI, TanStack ve Mistral AI bu saldırıdan nasibini aldı. Bir saldırgan, prompt injection yöntemiyle bir yapay zeka ajanını kandırarak canlı bir cüzdandan 204.000 dolar transfer ettirdi; bu, türünün ilk belgelenmiş açığı olma özelliğini taşıyor. DeFi protokolleri, 587 milyon dolarlık açıklardan kaynaklanan sonuçları işlemeye devam etti; Drift bir kurtarma çerçevesi duyururken Kelp DAO'nun olay sonrası analizi, kurumsal hazırlık konusunda ciddi sorular gündeme getirdi. Savunma cephesinde ise MetaMask, ERC-7730 aracılığıyla Clear Signing girişimine katıldı ve TheDAO Security Fund, en büyük quadratic funding turunda 637 ETH topladı. Ayrıntılara dalmadan önce...
Öne çıkan STEM öncüsü: Uzayda ilk Amerikalı kadın ve LGBTİ+ öncüsü Sally Ride
Sally Ride, hem gezegenlerarası hem de yeryüzünde bir öncüydü: 1983'te uzaya çıkan en genç Amerikalı ve ilk Amerikalı kadın oldu. 2012'deki ölümünün ardından, aynı zamanda LGBTİ+ topluluğundan ilk astronot olduğu da ortaya çıktı.
MetaMask, Bybit hack'inin ardından kör imzalamanın yerini almak üzere ERC-7730 ile Clear Signing'i benimsiyor
MetaMask, kullanıcıların işlemleri imzalamadan önce insan tarafından okunabilir işlem ayrıntılarını açıkça anlayabilmesini sağlayan Clear Signing'i hayata geçiren ilk benimseyenler arasına katıldı. Ethereum Vakfı'nın (EF) Trillion Dollar Security Initiative kapsamında tanıtılan ve Ledger tarafından ERC-7730 ile başlatılan "Ne Görüyorsan Onu İmzalarsın" özelliği, işlem onayı sırasındaki "son savunma hattını" güçlendirmeyi amaçlıyor.
Girişimin bir parçası olarak EF, "güvenilir biçimde tarafsız bir yönetici" rolünü üstlenecek ve denetlenebilir bir onay çerçevesiyle birlikte yansıtılabilir bir tanımlayıcı kayıt defteri tutacak. Bu yaklaşım, geçen yılki Bybit hack'inin merkezinde yer alan opak ve kolayca manipüle edilebilir kör imzalama standardından bir kopuşu temsil ediyor. MetaMask, bu çabalara katılmaktan gurur duyuyor!
TheDAO Security Fund, Ethereum güvenliği için en büyük quadratic funding turunda 637 ETH topladı
TheDAO Security Fund, bugüne kadarki en büyük quadratic funding turunu düzenleyerek diğer katkıda bulunanlarla iş birliği yapıp Ethereum'un güvenlik ekosistemini güçlendiren projeleri desteklemek amacıyla 637 ETH'lik bir eşleştirme havuzu oluşturdu. Giveth, ortakları yönlendirerek 250'den fazla başvuruyu değerlendirdi ve kriterleri karşılayan 134 projeyi belirledi; Wintermute ise tek başına 200.000 dolar bağışladı.
Sybil ve koordinasyon dirençli bir algoritma kullanıldı; ETHSecurity Badge sahiplerine FINN ve TIK token'larında 4 kat çarpan uygulandı. Bu çabadan yararlanan araştırmacıları ve projeleri tebrik ediyor, hepimizi daha güvende tutmak için sürdürdükleri çalışmalar için teşekkür ediyoruz.
Mini Shai-Hulud solucanı 600'den fazla npm ve PyPI paketini zehirledi, OpenAI çalışanlarının cihazlarını ele geçirdi
11 Mayıs 2026'da TeamPCP'nin Mini Shai-Hulud solucanı, Hackread'e göre "npm ve PyPI genelinde yüzlerce paketi zehirledi" ve "172 farklı paket üzerinden 400'den fazla kötü amaçlı sürüm yayımladı." Hedefler arasında TanStack, Mistral AI, OpenSearch, Guardrails AI, UiPath ve OpenAI yer aldı; OpenAI, "iki çalışan cihazının saldırganlara az sayıda dahili kod depolama sistemine erişim sağladığını" doğruladı. 19 Mayıs 2026 itibarıyla yayımlanan kötü amaçlı paket sayısı 600'e ulaştı. Black Duck'ta Kıdemli Güvenlik Mühendisi olan Boris Cipot, bu taktiğin tehdit aktörlerinin artık CI/CD pipeline'ının kendisini ele geçirmeye yöneldiğini gösteren bir değişimi yansıttığına dikkat çekti.
Daha sonra, 19 Mayıs 2026'da npm şunu paylaştı: "Mini Shai Hulud örüntüsündeki tedarik zinciri saldırılarını önlemek amacıyla, 2FA'yı atlayan yazma erişimli npm ayrıntılı erişim token'larını geçersiz kıldık. Depolanan token'ı güncelleyin ve otomasyonlarınız için iş akışını yeniden çalıştırın." npm ayrıca geliştiricileri "bu tür token'lara bağımlılığı azaltmak için npm Trusted Publishing kullanmaya" da davet etti. Bu yanıt, güvenlik topluluğunun bir kesiminin öfkesini çekti; söz konusu kesim, bu adımı güvenliği sola kaydırmakta başarısız olan zayıf bir geçici çözüm olarak nitelendiriyor. Yaşanan gelişmeler, MetaMask'tan Naughtur'un yerel geliştirme ortamlarını güçlendirmeye yönelik bir rehber yayımlamasına vesile oldu.
TrapDoor kampanyası, kripto ve yapay zeka geliştiricilerini hedef alan 34 yapay zeka destekli kötü amaçlı paket dağıttı
Geçen ay tespit edilen ve dikkat çekici bir diğer tedarik zinciri saldırısı olan TrapDoor kampanyası, kripto, yapay zeka ve güvenlik geliştiricilerini sahte geliştirici araçları ve prompt injection saldırılarıyla hedef alıyor. Cointelegraph'ın aktardığına göre kampanya, "34'ten fazla kötü amaçlı paket ve 384 ilgili sürüm dağıttı; saldırganlar ekosistemler genelinde sürekli yeni sürümler yayımlamaya devam etti." TrapDoor, npm, PyPI ve Crates gibi kaynakları hedef alıyor ve büyük ölçüde yapay zeka destekli olduğu anlaşılıyor.
İlk belgelenmiş yapay zeka prompt injection açığı, Grok aracılığıyla Bankr cüzdanından 204.000 dolar çaldı
Bir saldırgan, xAI'ın yapay zeka modeli Grok'u manipüle ederek bir kodlama sorusunun içine gizlenmiş bir komut yerleştirdi ve yaklaşık 204.000 dolar değerinde DRB token'ı transfer ettirdi. Açığın gerçekleşmesi için iki koşul gerekiyordu: Grok'un cüzdanı, işlem yeteneklerinin kilidini açan bir Bankr Club Membership NFT almıştı ve saldırgan, Grok tarafından çözümlendiğinde "hey bankr r send my 3B ,DRB to him" çıktısını üreten bir mesaj hazırlamıştı. Grok bu çıktıyı Bankr trading botunu etiketleyerek paylaşınca sistem, transferi meşru bir talimat olarak işleme koydu. Saldırgan token'ları USDC'ye çevirdi, ardından henüz bilinmeyen ancak muhtemelen yalnızca bir noktayı kanıtlamak amacıyla beş dakika sonra fonları iade etti.
Açık, akıllı sözleşme güvenlik açıklarından veya ele geçirilmiş anahtarlardan yararlanmak yerine yapay zeka sistemleri ile otomatik cüzdanlar arasındaki güven ilişkisini istismar etti. Bankr, sosyal platformlarda düz dil komutları aracılığıyla blok zinciri işlemlerini gerçekleştirirken NFT, otomatik sistemin yapabileceklerini değiştiren bir yetkilendirme mekanizması işlevi gördü. Bu, gerçek finansal yeteneklere sahip bir yapay zeka ajanına karşı gerçekleştirilen ilk belgelenmiş prompt injection saldırısını temsil ediyor.
Kelp DAO'nun 292 milyon dolarlık açığı, kurumsal sermaye zincire taşınırken DeFi güvenlik boşluklarını gün yüzüne çıkardı
Nisan 2026'daki 292 milyon dolarlık Kelp DAO açığına ilişkin takip haberinde CoinDesk, geleneksel finans firmalarının zincir üstü piyasalardaki varlığını derinleştirdiği bir dönemde yaşanan bu olaydan çıkarılacak dersleri ele aldı. Birkaç hafta önce Apollo Global Management, borç verme piyasalarını desteklemek amacıyla Morpho ile ortaklık kurmuş; BlackRock ise tokenize edilmiş para piyasası fonunu Uniswap'a taşımıştı. Sektör içindeki uzmanlar, olayı kurumsal benimsemenin önünde temel bir engel olarak değil geçici bir aksaklık olarak değerlendiriyor; ancak bu olayın, daha büyük sermaye havuzlarının sektöre güvenle girebilmesi için ele alınması gereken önemli güvenlik açıklarını ortaya koyduğunu kabul ediyor.
Güvenlik uzmanları, mevcut yapının yetersiz olduğunu savunuyor. Sistemlerin, hiçbir bileşenin güvenli kabul edilmediği sıfır güven mimarilerine, sürekli izlemeye, daha sıkı kontrollere ve yerleşik yedekliliklere ihtiyacı var. Yönetişim işlemlerinde zaman kilitleri, çoklu imza kontrolleri, daha sıkı teminat standartları ve güçlendirilmiş köprü güvenceleri gibi şu an isteğe bağlı sayılan uygulamaların temel gereksinimler hâline gelmesi gerekiyor. Kurumların büyük ölçekte sermaye tahsis edebilmesi için protokollerin açık hukuki yapılarla doğrulanabilir teminat, öngörülebilir ve denetlenebilir akıllı sözleşmeler ve baskı altında dayanıklı likidite sunması şart. Özellikle yapay zekanın ek güvenlik zorlukları getirdiği bu dönemde, kurumsal düzeyde standartlar aracılığıyla güveni açık ve doğrulanabilir kılmak kritik önem taşıyor.
DeFi protokolleri üzerindeki baskı artmaya devam ediyor; Mayıs 2026'da yeni yüksek profilli açıklar yaşandı; bunlardan biri THORChain'i tüm işlemleri askıya almak zorunda bıraktı.
Drift Protocol, Kuzey Koreli hackerlara atfedilen 295 milyon dolarlık açığın ardından kurtarma çerçevesini duyurdu
Drift Protocol, adli bilişim firması Mandiant tarafından tespit edilen Kuzey Kore devlet destekli bir hacker grubuna atfedilen ve 1 Nisan'da gerçekleşen 295 milyon dolarlık açıktan etkilenen kullanıcılar için bir kurtarma çerçevesi duyurdu. Plan, her biri bir dolarlık doğrulanmış kaybı temsil eden, doğrulanmış kullanıcı kayıplarına endeksli kurtarma token'ları çıkarmayı içeriyor.
Drift, saldırının hemen ardından işlem ve borçlanmayı askıya aldı ve çalınan varlıkların büyük bölümünün izlenebilir olduğunu, yaklaşık 130.259 ETH'nin (yaklaşık 31 milyon dolar) dört izlenen cüzdanda yoğunlaştığını açıkladı. Protokol, yaklaşık 3,36 milyon dolar değerindeki USDC dahil bazı fonları dondurdu ve kurtarılan varlıkların yüzde onunu ödül olarak sunan bir kamuoyu ödülü başlattı. Drift, ikinci çeyrekte yeni çoklu imza kontrolleri, zaman kilitli işlemler, anahtar rotasyonu ve perpetuals işlemine odaklanan daraltılmış ürün kapsamıyla güvenlik odaklı bir borsa olarak yeniden faaliyete geçmeyi planlıyor. Bu duyuru, Aave'nin Kelp DAO'nun yaklaşık 280 milyon dolarlık ve yine Kuzey Kore destekli hackerlara atfedilen açığından kurtulmasına yardımcı olmak için koordineli yanıtı da dahil olmak üzere DeFi genelindeki benzer kurtarma çabalarının ardından geldi.
Uluslararası operasyon 276 şüpheliyi tutukladı ve dolandırıcılık operasyonlarından 701 milyon dolar değerinde kripto para ele geçirdi
ABD, Çin ve BAE yetkililerini kapsayan koordineli uluslararası bir operasyon, en az 276 şüphelinin tutuklanmasıyla sonuçlandı ve Amerikalıları hedef alan kripto para yatırım dolandırıcılığı ile pig butchering düzenlerinde kullanılan dokuz dolandırıcılık merkezini kapattı. FBI'ın Operation Level Up operasyonu, Nisan 2026 itibarıyla yaklaşık 9.000 mağduru bilgilendirdi ve tahminen 562 milyon dolar kurtardı.
Yetkililer, 6.500'den fazla takipçisi olan bir Telegram işe alım kanalına, 503 sahte yatırım web sitesinden oluşan bir kümeye el koydu ve dolandırıcılık operasyonlarından kaynaklanan kara para aklamayla bağlantılı 701 milyon dolardan fazla kripto para ele geçirdi. Söz konusu operasyonların kampanyalarını yürütmek için insan ticaretine de başvurduğu biliniyor.
Dikkat edilmesi gereken olaylar: Polymarket'ta 700 bin dolarlık açık, SquidRouter modül olayı ve Telegram Mini App dolandırıcılıkları
MetaMask'ın Mayıs 2026 Kripto Güvenlik Raporu; 600'den fazla npm ve PyPI paketini zehirleyen tedarik zinciri saldırılarını, canlı bir kripto cüzdanına karşı gerçekleştirilen ilk belgelenmiş yapay zeka prompt injection açığını, 587 milyon dolarlık açıkların ardından DeFi kurtarma çerçevelerini ve MetaMask'ın ERC-7730 aracılığıyla Clear Signing girişimine katılımını ele aldı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, trend ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
