Kripto Köprüleri: Nasıl Çalışır, Neden Bu Kadar Sık Hacklenir?

Bir köprünün ne yaptığı, üç temel tasarım, kriptodaki en büyük hack rekorlarının neden köprülere ait olduğu ve bir köprüyü daha az riskle nasıl kullanacağınız.

Son inceleme: 2026-09-14

Köprülerin çözdüğü sorun

Blokzincirler birbirini göremez. Ethereum’un Arbitrum’da ne olduğunu bilmesinin bir yolu yoktur; bir token’ı birinden diğerine taşıyacak bir mekanizması da yoktur. Köprü bu sorunu dolaylı yoldan çözer: kaynak zincirde bir varlığı kilitler ve hedef zincirde o varlık üzerinde bir hak ihraç eder.

İşin kritik noktası şu: hiçbir şey karşıya geçmez. ETH’niz Arbitrum’a gitmez. Ethereum’da kilitli kalır, Arbitrum’da ise onu temsil eden bir token basılır. Bu temsilin bir değeri olması tamamen kilidin sağlam kalmasına bağlıdır.

Üç tasarım, üç farklı risk profili

Yerel rollup köprüleri. Arbitrum, Optimism ve Base’in her birinin, rollup’ın kendi kanıt sistemiyle korunan resmi bir köprüsü vardır. En güvenli kategori budur; çünkü köprü ayrı bir sistem değil, zincirin güvenlik modelinin bir parçasıdır. Bedeli zamandır: iyimser (optimistic) bir rollup’tan çekim yedi gün sürer; fonları sizin yerinize önceden ödeyen üçüncü bir tarafa ücret ödemediğiniz sürece.

Kilitle ve bas (lock-and-mint) köprüleri. Yatırılan varlıkları bir sözleşme ya da çoklu imzalı (multisig) bir cüzdan tutar; karşı tarafta bir token basılır. Güvenlik tamamen kilidi kimin kontrol ettiğine bağlıdır. Büyük köprü hack’lerinin neredeyse tamamı bu kategoriden çıkmıştır.

Likidite ağı köprüleri. İki zincirde de havuzlar bulunur ve bir aktarıcı (relayer) ödemenizi hedef zincirdeki havuzdan yapar. Hiçbir şey basılmadığı için bir arıza token’ın karşılığını bozmaz; zararı likidite sağlayıcıları üstlenir. Daha hızlıdır ve genellikle daha pahalıdır.

Hack’ler neden bu kadar büyük?

Kripto tarihindeki en büyük dört istismarın hepsi köprülerde yaşandı:

Ronin, 2022 — 624 milyon dolar. Dokuz doğrulayıcı anahtarından beşi sosyal mühendislikle ele geçirildi.
Poly Network, 2021 — 611 milyon dolar. Bir fonksiyon çağrısı açığı, saldırganın sözleşmenin yöneticisini (keeper) değiştirmesine izin verdi.
BNB Bridge, 2022 — 586 milyon dolar. Sahte bir Merkle kanıtı, yoktan iki milyon BNB bastı.
Wormhole, 2022 — 326 milyon dolar. İmza doğrulamasındaki bir hata, yatırma yapılmadan token basılmasına olanak tanıdı.

Bu örüntü yapısaldır. Köprü, ihraç ettiği bütün sarmalanmış (wrapped) token’ların teminatını tutan tek bir sözleşmedir. Bu da onu zincirdeki en değerli hedef hâline getirir; üstelik bağladığı zincirlerden daha yeni ve daha az sınanmıştır. Vitalik Buterin’in, güvenliğin zincirler arasında taşınmadığı, küçük bir zincirdeki %51 saldırısının büyük bir zincirdeki köprülenmiş bir varlığı çalabileceği yönündeki argümanı, sorunun hâlâ en net ifadesidir.

Köprüyü daha az riskle kullanmak

Resmi köprüyü tercih edin. Herhangi bir rollup için zincirin kendi köprüsü neredeyse her zaman en güvenli yoldur.
Ne kadar süredir var olduğuna ve ne kadar varlık tuttuğuna bakın. Üç yıldır 2 milyar dolar tutan bir köprü, pazarlaması daha iyi olan yeni bir köprüden çok daha fazla saldırı girişimini atlatmıştır.
Fonları yolda bırakmayın. Köprüleme bir geçiştir, para saklanacak bir yer değildir.
Daha önce kullanmadığınız her köprüde önce küçük bir tutarla deneyin.
Hiç köprü kullanmamayı düşünün. Bir borsadan doğrudan hedef zincire çekim yapmak çoğu zaman daha ucuzdur ve köprü sözleşmesini tamamen devre dışı bırakır.

Sarmalanmış token’lara dair bir not

Köprülenmiş bir varlık tuttuğunuzda, aslında bir sözleşme üzerinde hak sahibisinizdir. Köprü boşaltılırsa hedef zincirdeki sarmalanmış token karşılığını kaybeder ve fiyatı neredeyse sıfıra iner; orijinal varlık ise kaynak zincirde, dokunulmadan, saldırganın elinde durur. Aynı varlığın farklı köprülerden gelen “sarmalanmış” sürümleri, farklı risk taşıyan farklı token’lardır. Gerçekte hangisini tuttuğunuzu kontrol edin.