Zksync’te 5 Milyon Dolarlık Saldırı Happy End’le Bitti: Hırsız 90 %’I İade Etti, 10 %’U “Ödül” Olarak Aldı

5 Milyon Dolarlık ZKSync Saldırısı Nasıl Çözüldü?​

Layer‑2 ölçeklenme projesi ZKSync, 15 Nisan’daki 5 milyon $’lık istismar sonrası çalınan varlıkların %90’ını geri aldı. Saldırgan, platformun 72 saatlik “güvenli liman” teklifini kabul ederek fonları iade etti ve %10’luk kısmı hata ödülü (bounty) olarak aldı. İşte olayın tüm ayrıntıları:

Saldırının Seyri​

Hangi Sözleşmeler Etkilendi?​

• Yalnızca 3 airdrop dağıtım sözleşmesi açıkta kaldı.
• Çekirdek protokol, kullanıcı varlıkları ve yönetişim sözleşmeleri güvende kaldı.
• Dağıtıcı sözleşmeler zaten “cap”’li olduğundan yeni token basılması engellendi.

ZKSync’in Müdahalesi​

1. Safe Harbor: 72 saat içinde geri iade eden saldırgana hukuki yaptırım uygulanmıyor.
2. Bounty: Çalınan fonun %10’u, hatayı ifşa eden kişiye ödül olarak bırakılıyor.
3. İşlem Filtresi: Matter Labs, kötü niyetli adreslerden gelen işlemleri geçici olarak engelledi.
   • ZKSync Era hâlâ “Stage 0”’da olduğundan merkezi önlemler mümkün.
   • Filtre, yönetişim oylamasıyla kaldırılabilecek.

Neden Önemli?​

• Sektörde nadir bir başarı: Çoğu DeFi saldırısında fonlar kaybolur; bu vaka geri kazanımla sonuçlandı.
• Yönetişim Bağlantısı: Saldırı, doğrudan ZK token arzını etkilediği için yönetimsel risk barındırıyordu.
• Güvenlik Modelleri: Safe‑harbor + bounty yaklaşımı, projelere “beyaz bayrak” opsiyonu sunuyor.

Bundan Sonra Ne Olacak?​

• Güvenlik Konseyi elindeki fonları ne şekilde dağıtacağına dair topluluk oylaması başlatacak.
• Nihai rapor kısa sürede yayımlanacak; açık nasıl keşfedildi, hangi önlemler kalıcı hale getirilecek, detaylanacak.
• Merkezi filtreler topluluk kararıyla aşamalı olarak kaldırılacak; uzun vadede tam merkeziyetsizlik hedefleniyor.

Değerlendirme​

ZKSync, hızlı aksiyon ve ödül mekanizmasıyla kriz yönetiminde “kitaplık” niteliğinde bir örnek sergiledi. Fonların büyük bölümünün kurtarılmış olması, hem projeye hem de bounty tabanlı güvenlik yaklaşımlarına duyulan güveni artırabilir. Ancak olay, merkezi admin anahtarlarının henüz tam anlamıyla kaldırılmadığı projelerde “tek nokta zafiyetinin” sürdüğünü de hatırlatıyor. Sıradaki sınav, yönetişimin kurtarılan fonları şeffaf ve adil biçimde yönetmesi olacak.