Blockaid tarafından yayımlanan 2026 yılı güvenlik raporuna göre, Ocak-Ağustos dönemindeki 60 büyük hack olayında çalınan 1,18 milyar doların yalnızca %0,8'i mağdurlara iade edilebildi. Saldırganların fonları medyan 17 dakikada hareket ettirdiği belirtilirken, merkeziyetsiz varlıklarda tutulan 287 milyon doların dondurulamadığı vurgulandı.
Blokzincir güvenlik şirketi Blockaid, 2026 yılının ilk sekiz ayında gerçekleştirilen büyük çaplı zincir üstü saldırılara ilişkin kapsamlı bir rapor yayımladı. Pazartesi günü yayımlanan rapora göre, Ocak-Ağustos döneminde yaşanan 60 büyük hack olayında toplam 1,18 milyar dolar çalınırken, bu fonların yalnızca %0,8’i (9,8 milyon dolar) 2 Eylül itibarıyla mağdurlara iade edilebildi. Araştırma, saldırganların fonları çok hızlı bir şekilde transfer ettiğini ve dondurulması teknik olarak mümkün olmayan 287,1 milyon doların hâlâ korsan cüzdanlarında bulunduğunu ortaya koydu.
Saldırıların Ardından Hızlı Hareket: Medyan Süre 17 Dakika
Blockaid, incelenen 59 olayda saldırganların fonları istismarın ardından ne kadar sürede hareket ettirdiğini analiz etti ve medyan sürenin 17 dakika olduğunu belirledi. Olayların %68’inde (40 vakada) fonlar bir saat içinde, %22’sinde (13 vakada) ise ilk dakika içinde cüzdanlar arası transfer edildi.
Konuya ilişkin değerlendirmede bulunan Blockaid Kurucu Ortağı ve CEO'su Ido Ben-Natan, on yedi dakikanın herhangi bir güvenlik ekibinin bir saldırıyı tespit etmesi, paranın nereye gittiğini belirlemesi ve ortak bir yanıt koordine etmesi için inanılmaz derecede kısa bir pencere olduğunu ifade etti.
Dondurulamayan 287 Milyon Dolar ve Drift Vakası
Raporda yer alan verilere göre, 16 farklı olayda ele geçirilen toplam 287,1 milyon dolar; merkezi bir ihraççısı bulunmayan, dolayısıyla belirli bir adresten transferleri engellemek imkansız olan ETH, Bitcoin, sarılmış token'lar ve likit staking varlıklarında tutuluyor.
Bu meblağın yaklaşık 229 milyon dolarlık kısmını, Nisan ayında yaşanan Drift protokolü istismarı oluşturuyor. 2 Eylül verilerine göre, bu olaya bağlı olarak yaklaşık 107.165 adet ETH üç farklı saldırgan cüzdanında tutulmaya devam ediyor. Blockaid, bu varlıkların bir borsaya yatırılması veya dondurulabilir bir varlığa dönüştürülmesi durumunda müdahale şansı doğabileceğini, ancak varlıkların karıştırıcılardan geçirilmesi halinde kurtarma sürecinin imkansıza yakın hale geleceğini belirtti.
Dondurulan ve Kurtarılan Fonların Dağılımı
İncelenen dönemde toplam 91,2 milyon dolarlık fon donduruldu veya sahiplerine iade edildi. Bu rakamın 81,4 milyon dolarını dondurulan ancak henüz sahiplerine teslim edilmemiş fonlar oluşturuyor. Genel toplamda fonların kurtarılması veya dondurulması sadece 5 olayda başarılı oldu.
Kurtarılan veya dondurulan 91,2 milyon doların %99,1'ine denk gelen 90,4 milyon dolarlık kısmının, protokollerin, yönetişim organlarının veya validatörlerin kendi kontrol mekanizmaları vasıtasıyla güvenceye alındığı kaydedildi. Bu kapsamda öne çıkan müdahaleler şu şekilde sıralandı:
* Arbitrum Güvenlik Konseyi tarafından Kelp DAO hack'ine bağlı yaklaşık 71 milyon doların dondurulması. * Syscoin ağında yetkisiz token'ların yakılması yoluyla yaklaşık 9 milyon doların kurtarılması. * Stellar validatörlerinin Blend saldırısının ardından yaklaşık 6,9 milyon doları karantinaya alması.
Blockaid, protokollerin ve finansal kurumların fonları dondurma yetkisinin kimde olacağını ve bunun için hangi kanıtların gerekeceğini saldırıdan önce planlaması gerektiğini vurguladı. CEO Ido Ben-Natan, kuruluşların fonlar çalınmadan önce tehlikeli işlemleri engellemeye odaklanması gerektiğini belirtti.
Öne Çıkan Doğrulanmış Veriler
* İncelenen Zaman Aralığı: Ocak 2026 - Ağustos 2026 (60 büyük zincir üstü exploit). * Toplam Çalınan Tutar: 1,18 milyar dolar. * Mağdurlara İade Edilen Tutar: 9,8 milyon dolar (%0,8). * Dondurulan ancak İade Edilmeyen Tutar: 81,4 milyon dolar. * Dondurulamayan Riskli Tutar: 287,1 milyon dolar (16 olay). * Fon Hareket Medyan Süresi: 17 dakika.
