DeFi Güvenliğinin Temelleri
DeFi güvenliği önemli ölçüde gelişti, ancak riskler hâlâ mevcut. Beş korunma sütununu anlamak, portföyünüzü büyütmek ile onu bir gecede kaybetmek arasındaki farktır.
Tehdit Ortamı
Olumlu tarafta: daha fazla protokol birden fazla denetimden geçiyor, DeFi sigortası olgunlaşıyor, donanım cüzdanları standart hâle geldi ve topluluk odaklı izleme her zamankinden güçlü.
Ancak tehlike yer değiştirdi. 2025'te kripto genelinde çalınan yaklaşık 3,4 milyar doların kabaca dörtte üçü, akıllı sözleşme hatalarından değil; ele geçirilen anahtarlardan, imza süreçlerinden ve sosyal mühendislikten geldi. En büyük tekil olay olan 1,5 milyar dolarlık Bybit saldırısı, imza altyapısının kendisini ele geçirdi. 2026'nın ilk yarısında olay sayısı rekor kırarken toplam kayıplar düştü; bu, saldırıların protokollerden insanlara kaydığına işaret ediyordu. Üçüncü çeyrek bu tabloyu değiştirdi: 2026'nın 3. çeyreğinde kayıplar 247 olayda yaklaşık 1,26 milyar dolara yükseldi, bu da 2. çeyreğe göre yaklaşık %54 artış demek (CertiK); Eylül yılın en kötü ayı oldu. En büyük olaylar, Bitget borsasının sıcak ve ılık cüzdanlarının ele geçirilmesi (~387,5 milyon dolar) ve Liquid Network yan zincirindeki bir basım (minting) hatasıydı (~320 milyon dolar); akıllı sözleşme istismarları yeniden çeyrek kayıplarının yaklaşık yarısını oluşturdu (Hacken). Her iki saldırı yüzeyi de önemli: para yatırdığınız kod ve imzaladığınız şey.
Süregelen riskler arasında hâlâ akıllı sözleşme hataları, flash-loan ekonomik saldırıları, imza oltalaması, zincirler arası köprü açıkları ve kötü niyetli ekiplerin rug pull'ları var — ancak bireysel bir kullanıcı için en önemli saldırı yüzeyi, imzaladığınız şeydir.
İmza Oltalaması: Cüzdanlar Gerçekte Nasıl Boşaltılıyor
Kullanıcı fonlarının çoğu artık biri seed ifadesini sızdırdığı için çalınmıyor — kurban bir şey imzaladığı için çalınıyor. permit ve Permit2 gibi zincir dışı imzalar, görünür hiçbir işlem olmadan token transferlerine yetki verebilir. "Kör imzalama", neyi onayladığınızı okunamaz verilerin arkasına gizler. Sahte airdrop sayfalarının, sahte destek sohbetlerinin ve arama reklamlarının arkasındaki drainer kitleri ise tek bir dikkatsiz imzayı boşaltılmış bir cüzdana çevirir.
Savunma prosedüreldir: her imza isteğinde yavaşlayın ve dört kural uygulayın.
Okuyamadığınız şeyi asla imzalamayın
Cüzdanınız ham onaltılık veri veya çözülmemiş anlamı olmayan çıplak bir "Mesajı imzala" gösteriyorsa reddedin. Rabby ve güncel MetaMask gibi modern cüzdanlar istekleri çözer ve simüle eder — bunu yapan birini kullanın.
"Permit"i transfer gibi görün
Gassız bir permit imzası, token'lerinizin daha sonra görünmez şekilde harcanmasına yetki verebilir. Harcayıcı adresini, tutarı ve son tarihi, zincir üstü bir işlemde yapacağınız gibi kontrol edin.
İmzalamadan önce simüle edin
Simülasyon araçları (Rabby'de yerleşik veya Pocket Universe gibi uzantılar) bir imzanın ya da işlemin gerçekte ne yapacağını önceden gösterir. Önizleme, varlıkların cüzdanınızdan beklenmedik şekilde çıktığını gösteriyorsa durun.
Aciliyete ve bedava paraya güvenmeyin
Drainer siteleri airdrop taleplerini, token lansmanlarını ve "destek" görevlilerini taklit eder; arama reklamları, ele geçirilmiş sosyal medya hesapları ve DM'lerle gelir. Sizi hemen şimdi imzalamaya zorlayan her şey, düşünmenizi engellemek için tasarlanmıştır.
DeFi Güvenliğinin 5 Sütunu
Kapsamlı bir güvenlik duruşu beş sütuna dayanır. Her biri farklı bir saldırı yüzeyini ele alır — herhangi bir sütunu ihmal etmek, fonlarınızı savunmasız bırakır.
1. Cüzdan Güvenliği
$1 000 üzerindeki tutarlar için donanım cüzdanı (Ledger, Trezor) kullanın. Yalnızca resmi üreticiden satın alın, kurcalama karşıtı mühürleri doğrulayın, fon yüklemeden önce kurtarmayı test edin. Mobil cüzdanlarda biyometrik kimlik doğrulamayı etkinleştirin, otomatik kilidi 1–5 dakikaya ayarlayın ve tohum ifadelerinin (seed phrase) asla ekran görüntüsünü almayın.
2. Protokol Ön İncelemesi
Herhangi bir protokolü kullanmadan önce şunları kontrol edin: birden fazla bağımsız denetim (son 12 ay içinde), herkesçe bilinen bir ekip, $10 M üzeri TVL, 6+ aylık faaliyet, açık kaynak kod ve aktif bir hata ödül (bug-bounty) programı. Anonim ekipler, %100 üzeri APY vaatleri ve hızlı hareket etme baskısı tehlike işaretleridir.
3. İşlem Güvenliği
Her URL’yi doğrulayın (meşru siteleri yer imlerine ekleyin), onaylamadan önce alıcı adreslerini, tutarları ve gas ücretlerini gözden geçirin. Yalnızca gereken tam token miktarını onaylayın — asla sınırsız değil. Eski onayları Revoke.cash üzerinden düzenli olarak iptal edin.
4. Bilgi Güvenliği
Özel anahtarlarınızı, tohum ifadelerinizi veya cüzdan şifrelerinizi kimseyle asla paylaşmayın. Resmi destek bunları asla istemez. Sahte destek DM’lerine, benzer alan adlarına sahip oltalama sitelerine ve sosyal medya çekiliş dolandırıcılıklarına dikkat edin.
5. Risk Yönetimi
Tüm fonlarınızı tek bir protokole koymayın — en fazla 3–5 kullanın. Birden fazla blok zincirine yayın. Stablecoin’leri ve oynak varlıkları harmanlayın. Her şeyi bir kerede yatırmak yerine pozisyonlara maliyet ortalaması (dollar-cost averaging) ile girin.
Güvenlik Araçları ve Hizmetleri
Güvenlik araçları ekosistemi hatırı sayılır ölçüde olgunlaştı. Bundan yararlanın.
Onay Yönetimi
Revoke.cash, Unrekt.net, Etherscan Token Approvals
İşlem Simülasyonu
Tenderly, Blocknative, Pocket Universe
Portföy İzleme
Zapper, DeBank, Zerion
Sigorta
Nexus Mutual, OpenCover
Gerçek Zamanlı Uyarılar
Forta Network, OpenZeppelin Defender, Tenderly Alerting
Olay Müdahalesi
Bir güvenlik ihlalinden şüphelenirseniz, hız her şeydir. İlk 10 dakika, fonlarınızın bir kısmını mı yoksa tamamını mı kaybedeceğinizi belirler.
Kanamayı Durdurun (ilk 10 dk.)
Cüzdanın tüm DeFi protokolleriyle bağlantısını kesin. Kalan fonları yeni ve güvenli bir cüzdana taşıyın. Tüm token onaylarını iptal edin. Tüm şifreleri ve 2FA’yı değiştirin.
Hasarı Değerlendirin (sonraki saat)
Toplam kayıpları hesaplayın. Saldırı vektörünü belirleyin. Devam eden açıkları kontrol edin. Kanıtları koruyun — işlem hash’leri, ekran görüntüleri, zaman damgaları.
Güvenceye Alın ve Kurtarın (sonraki günler)
Yeni bir tohum ifadesiyle yeni bir cüzdan kurun. Fonlar borsalara taşındıysa borsalarla iletişime geçin. Önemli kayıplar için polise başvuruda bulunun. Protokolün tazminat sunup sunmadığını veya sigortanın geçerli olup olmadığını kontrol edin.