DefiLlama Research ve Firepan tarafından yayınlanan kapsamlı araştırma, 2011 ile 2026 yılları arasındaki 1.236 kripto hack olayını inceleyerek yapay zekânın kod tabanlı açıklar üzerindeki potansiyelini ve büyük vurgunların arkasındaki altyapı zafiyetlerini masaya yatırdı.
Kripto para ekosisteminde yapay zekânın saldırganlar tarafından ne ölçüde kullanılabileceği ve tarihsel hack vakalarının ne kadarının mevcut yapay zekâ ajanları tarafından yeniden üretilebileceği, DefiLlama Research ve Firepan ortaklığında hazırlanan kapsamlı bir araştırmayla incelendi. 30 Eylül 2026 tarihinde yayınlanan çalışma, Haziran 2011 ile Ağustos 2026 arasındaki 1.236 güvenlik ihlalini kod tabanı, saldırı türü ve kaybedilen fon miktarları üzerinden analiz etti.
Araştırma, yapay zekânın kod tabanlı açıklar üzerindeki teorik gücü ile milyarlarca dolarlık devasa kayıpların yaşandığı gerçek dünya olayları arasındaki keskin ayrımı gözler önüne seriyor.
Zincir Üzeri DeFi Açıklarında Yapay Zekânın Potansiyeli
Firepan ekibi, hacklenen projelerin saldırı öncesi kod tabanlarına geri dönerek güncel kod analizi ajanlarının bu zafiyetleri tespit edip çalıştırılabilir bir istismar inşa edip edemeyeceğini test etti. Analiz edilen 1.040 zincir üzerindeki DeFi olayının %68'inde, kod analizi ajanlarının zafiyeti tamamen keşfedip istismar üretebilecek kapasitedte olduğu belirlendi.
Olayların %12,9'luk kısmında ise açık kod üzerinde görünür durumdaydı; ancak istismarın tamamlanabilmesi için bir ajanın tek başına sağlayamayacağı dış etkenlere ihtiyaç duyuluyordu. Kalan %19,1'lik kesim ise doğrudan kod analizinin erişemediği kategorilerde yer aldı. Tüm merkezi borsalar, cüzdanlar ve ağ seviyesindeki arızalar dahil edilen 1.236 olaylık genel veri setinde ise tam olarak tekrarlanabilir vakaların oranı sadece 8 puan düşüşle %60 olarak kaydedildi.
Değerlendirilen teknik sınıflar arasında uygunsuz yetki kontrolü (137 olay), spot fiyat kehanet manipülasyonu (124 olay), yeniden giriş açıkları (58 olay), pay muhasebesi hataları (42 olay) ve aritmetik hatalar (30 olay) her kaydedilen örnekte yapay zekâ tarafından tamamen tekrarlanabilir kategoride puanlandı. Poly Network'ün 2021'de 611 milyon dolar kaybettiği yetki kontrolü açığı veya Cream Finance'in kehanet manipülasyonu bu sınıfa örnek teşkil ediyor.
Miktar ve Kayıp Dağılımı: Kod Açıkları Küçük, Anahtar Hataları Büyük Vurgun Getiriyor
Tekrarlanabilir olaylar veri setinin %60'ını oluşturmasına rağmen, toplam 20,12 milyar dolarlık kaybın yalnızca %23'ünü temsil ediyor. Buna karşılık, tekrarlanamayan olaylar veri setinin %27'sini kapsarken kaybedilen fonların %46'sına ulaşıyor.
İstatistikler, yapay zekânın kolayca çözebileceği kod açıklarının genellikle daha küçük ölçekli saldırılara yol açtığını gösteriyor. Yapay zekâ tarafından tekrarlanabilir olarak derecelendirilen medyan hack vakası yaklaşık 545.000 dolar kayıp yaşatırken, tekrarlanamayan vakalarda bu medyan 3,3 milyon dolara çıkıyor. Kayıpların en tepede yoğunlaştığı görülüyor; kayıtlardaki en büyük on olay, kayıpların %44'lük dilimini oluşturuyor. Bu devasa kayıplar kod hatalarından ziyade imzalayan kişi ve anahtar yönetimindeki zafiyetlerden kaynaklanıyor:
Bybit: 1.4 milyar dolar (imzalayan kimlik avı) Ronin: 624 milyon dolar (doğrulayıcı anahtarları) Coincheck: 534 milyon dolar (sıcak cüzdan anahtarları) LuBian: 3.5 milyar dolar (zayıf özel anahtar üretimi - Aralık 2020)
Kuzey Kore bağlantılı Lazarus Grubu gibi devlet destekli aktörlerin hedefi de çoğunlukla kodlar değil, anahtar ve altyapı bileşenleri oldu. DefiLlama verilerine göre Lazarus ve DPRK bağlantılı gruplara atfedilen 38 olay toplam 4.61 milyar dolarlık kayba yol açarken, Firepan bu 38 olaydan yalnızca ikisini 81 milyon dolar toplam değerle yapay zekânın çözebileceği kategoride değerlendirdi.
2026 Yılında Köprü Saldırıları ve Bitget Vakası
Araştırmanın veri seti kapandıktan kısa süre sonra, 2026'nın son çeyreğinde yaşanan gelişmeler altyapı ve arka uç sistemlerinin hackerlar için ne denli kritik bir hedef olduğunu bir kez daha kanıtladı. Eylül 2026 sonunda yaklaşık 352 milyon dolar ilerleyen günlerde 390 milyon dolara revize edilen varlık kaybeden Bitget borsası, arka uç cüzdan altyapısındaki bir sistemin ele geçirilmesiyle sarsıldı. Bitget CEO'su Gracy Chen, olayda hiçbir özel anahtarın çalınmadığını, saldırganın transferleri borsanın kendi onay mekanizması üzerinden sahte verilerle geçirdiğini belirtti. Borsanın Kuzey Koreli hackerları işaret etmesi, devlet destekli aktörlerin akıllı sözleşme açıklarından ziyade süreç ve yetkilendirme mekanizmalarını hedef aldığını doğruluyor.
Cointelegraph gibi ek kaynakların aktardığına göre, bu tür devasa fon hareketlerinin ardından THORChain gibi likidite protokollerinin çalınan fonları ve adresleri bloke edip edemeyeceği tartışmaları alevlenirken, geliştiricilerin olası kara para aklama suçlamalarıyla karşılaşıp karşılaşamayacağı hukukçular tarafından masaya yatırılıyor.
Saldırganlar ve Savunucular: Yapay Zekâ Gerçekte Nerede Kullanılıyor?
Firepan'in incelemesine göre, DefiLlama veri setindeki olayların %99,8'inde yapay zekâ kullanımına dair belgelenmiş bir kanıt bulunmuyor. On beş yıllık geçmişte saldırgan tarafında yapay zekâ kullanımının resmi olarak belgelendiği tek vaka, Zerion'un Nisan 2026'da Telegram, LinkedIn ve Slack üzerinden çalışanlara yönelik haftalarca süren yapay zekâ destekli sosyal mühendislik saldırısıyla 100.000 dolar kaybettiği olay oldu.
Buna karşılık savunma tarafında yapay zekâ izlerine rastlandı. Şubat 2026'da Moonwell'de yaşanan olay, hatalı bir cbETH kehanet konfigürasyonu oluşturan ve yapay zekâ yardımıyla yazılmış bir koda dayanıyordu. Ancak saldırgan bu açığı bulmak için yapay zekâya ihtiyaç duymadı. Veriler, yapay zekânın saldırganların oyun kitabından ziyade savunucuların kod havuzlarında daha erken boy gösterdiğini kanıtlıyor.
Araştırmanın neticesinde kripto güvenliği iki temel probleme ayrılıyor: Birincisi, kod tabanlı ve mevcut yapay zekâ ajanlarının baştan sona çözebildiği akıllı sözleşme açıkları; ikincisi ise milyarlarca dolarlık kayıplara yol açan, insan faktörüne, imzalayanlara ve altyapı süreçlerine dayanan anahtar ve yetkilendirme zafiyetleri.
