Yapay Zekâ, Merkeziyetsiz Finans İçin Bir Tehdit mi?

Eski OpenZeppelin CTO’su Manuel Aráoz, arkadaşlarına ve ailesine Aave, MakerDAO ve Compound’dan çıkmalarını tavsiye etti. Aráoz, yapay zekâ kodlama ajanlarının artık güvenlik açıklarını tespit etmede “insanüstü” seviyeye ulaştığını belirterek endişelerini dile getirdi.

Yapay zekâ, merkeziyetsiz finansın tüm mimarisini tehdit edecek kapasiteye sahip. Bu modeller bugün mevcut ve zamanla daha da ucuzlayacak. Yapay zekâdaki her sıçrama, hem savunucular hem saldırganlar için ilerleme anlamına geliyor. Savunucular daha akıllı tehdit tespiti, daha iyi denetim ve daha hızlı müdahale avantajı elde ediyor. Saldırganlar ise aynı avantajları tersine çevirerek; daha akıllı keşif, gelişmiş sosyal mühendislik ve güvenlik açıklarından daha hızlı yararlanma imkânı buluyor. Fark şu: Savunucuların her seferinde doğru hamleyi yapması gerekirken, saldırganların bir kez başarılı olması yeterli.

Yapay zekâ destekli saldırıların DeFi’yi nasıl tehdit ettiğini ve paranızı koruyan araçları ele alıyoruz.

Glasswing Projesi

Anthropic, Mythos’u Glasswing Projesi kapsamında, aralarında JPMorgan, Goldman Sachs, Amazon, Apple, Microsoft ve CrowdStrike’ın da bulunduğu yaklaşık 40 kuruluşun yer aldığı bir koalisyonun kullanımına özel olarak kapattı. Şirket, bu partnerlere 100 milyon dolarlık API kredisi ve açık kaynak güvenlik kuruluşlarına 4 milyon dolar doğrudan bağış taahhüt etti.
 

Geleneksel bankacılık sektörü, Claude Mythos’u sistemik bir olay olarak değerlendiriyor. Merkez bankaları acil toplantılar düzenliyor, Wall Street ise modeli kendi güvenlik altyapısına entegre ediyor.
 

İngiltere Merkez Bankası Başkanı Andrew Bailey, Mythos’un tüm siber risk dünyasını altüst edebileceği konusunda kamuoyunu uyardı. Hazine Bakanı Scott Bessent ve ABD Merkez Bankası Başkanı Jerome Powell, Wall Street CEO’larıyla özellikle bu modeli görüşmek üzere bir araya geldi. Goldman Sachs CEO’su David Solomon ise bankasının bu yeni modellerin gelişmiş yeteneklerinin tamamen farkında olduğunu belirtti.

Geleneksel finans böyle tepki verirken, kripto sektörü bu yeni tehdide karşı ne yapıyor?

2026’da 771 Milyon Dolar Kayıp

Kripto sektörü, 2026’nın ilk dört ayında 47 ayrı olayda toplam 771,8 milyon dolar kaybetti. Sadece Nisan ayında 606 milyon dolarlık kayıp yaşandı ve bu, Şubat 2025’teki Bybit saldırısından bu yana tek ayda görülen en büyük kripto hırsızlığı oldu.
 

Nisan ayındaki zararın büyük kısmı iki olaya dayanıyor: 293 milyon dolarlık KelpDAO istismarı ve 285 milyon dolarlık Drift Protocol saldırısı. Her ikisi de altyapı katmanına yönelik saldırılardı ve yapay zekânın rol oynayıp oynamadığını kesin olarak teyit edemiyoruz.

CertiK’in kıdemli araştırmacısı Natalie Newson, 2026 yılı için dört ana tehdit kategorisi belirledi: 

• Yapay zekâ destekli oltalama ve deepfake sosyal mühendislik,
• Cüzdan tarayıcı eklentilerine yönelik tedarik zinciri saldırıları,
• Çapraz zincir altyapı açıkları,
• İmza tabanlı cüzdan boşaltma saldırıları.

Mythos’un yapması gereken, mevcut tehdit kategorilerini daha hızlı, daha ucuz ve ölçekli olarak uygulamak. Aralık 2025’teki Trust Wallet tedarik zinciri ihlali için yapay zekâ gerekmiyordu. Ancak aynı saldırı modelinin otomatikleşip, Chrome Web Mağazası’ndaki tüm tarayıcı eklentilerine karşı sürekli çalıştığını düşünün.

Claude Mythos Neler Yapabilir?

Mythos’un yetenekleri konusunda net olalım; çünkü yapılan haberler ölçülüden felaket senaryolarına kadar uzanıyor.

Claude Mythos, olağanüstü güçlü kodlama, muhakeme ve ajan davranışı sergileyen genel amaçlı bir frontier yapay zekâ modelidir. Siber yetenekleri, muhakeme ve kod üretimindeki genel ilerlemelerin bir yan ürünü olarak ortaya çıktı.
 

Uzman düzeyindeki Capture the Flag siber güvenlik yarışmalarında (Nisan 2025 öncesinde hiçbir yapay zekâ modelinin tamamlayamadığı görevler), Mythos %73 başarı oranına ulaşıyor. AISI, gerçek tehdidi ölçmek için daha zorlu bir test geliştirdi: "The Last Ones" adlı 32 adımlık kurumsal ağ saldırı simülasyonu; keşif, yatay hareket, kimlik bilgisi hırsızlığı, ayrıcalık yükseltme ve tam ağ ele geçirme adımlarını içeriyor. Mythos, bu simülasyonu baştan sona tamamlayan ilk model oldu.
 

Peki ya ekonomi boyutu? Mythos’un performansı, ayrılan işlem gücüyle doğru orantılı olarak artıyor. Testlerde modele 100 milyon token’a kadar çıkarım gücü sağlandı. Performans, bir sınır noktasına ulaşmadan artmaya devam etti; tek sınır, saldırganın kullanmaya istekli olduğu token sayısıydı.

Kripto Sektörünün Zayıf Noktaları

DeFi protokolleri, kaynak kodu herkesin erişimine açık olan akıllı sözleşmelerdir; yani kamuya açık blok zincirlerinde çalışan yazılımlardır. Şeffaflık, güvene dayalı olmayan etkileşimi mümkün kılar; ancak aynı zamanda kodun her satırının Mythos benzeri modellere açık olduğu anlamına gelir. 

Bu modeller, statik analiz araçlarının kaçırdığı ince güvenlik açıklarını tespit edebilir ve bir sözleşmede oracle manipülasyonu yaparak başka bir sözleşmede arbitraj koşulu oluşturup, üçüncü bir protokoldaki likidite havuzunu boşaltmak gibi çok adımlı sömürü zincirlerini analiz edebilir.

DeFi ve Akıllı Sözleşmeler

Daha derin yapısal sorun, DeFi’nin geleneksel finans kadar hızlı yanıt verememesidir. Dağıtılmış bir akıllı sözleşme tasarım gereği değiştirilemezdir; dolayısıyla bir açık bulunduğunda, seçenekler ya yavaşça yeni bir sözleşmeye geçmek ya da acil durdurma (tartışmalı) uygulamaktır.
 

Yapay zekâ, keşiften istismara kadar olan süreyi saatlere, hatta dakikalara indirirken, çözüm süreci günler veya haftalar alabiliyor. Bu dengesizlik, Nisan 2026’daki Aave bulaşma olayının bu şekilde gelişmesine yol açtı. KelpDAO’daki tek bir açık, saatler içinde tüm borç verme ekosisteminde 5 milyar dolarlık panik çekilişine neden oldu. Yapay zekâ destekli saldırılar, DeFi’yi mümkün kılan bileşenlerin birbiriyle etkileşimini tehdit ediyor; çünkü artık her protokolün risk profili, etkileşimde bulunduğu tüm diğer protokollerin risklerini de içeriyor.

Yazılım Cüzdanları

Kripto piyasasının önemli bir kısmı, özel anahtarlarını bilgisayardaki diğer tüm yazılımlarla aynı çalışma ortamını paylaşan tarayıcı eklentilerinde saklıyor.

Bir tarayıcı eklentisi cüzdanı, internet bağlantılı bir cihazda, bir işletim sistemi üzerinde, bir tarayıcı içinde çalışan bir JavaScript uygulamasıdır. Özel anahtar, bir yazılım sürecinde veri olarak tutulur ve cihazdaki diğer tüm uygulamalarla bellek, çalışma zamanı ve sistem kaynaklarını paylaşır.

Burada herhangi bir cüzdanın kod kalitesini eleştirmiyoruz. Bu, yazılım cüzdanlarının güvenliğinin, etkileşimde bulunduğu her sistemin güvenliğine bağlı olduğu bir mimari gerçektir. Yapay zekâ, bu sistemlerin her birindeki açıkları bulmada sistematik olarak daha iyi hale gelecek.

CryptoSlate’in analizine göre, kişisel cüzdanların ele geçirilmesi 2024’teki toplam kripto kayıplarının %44’ünü oluşturdu. Donanım anahtarı depolama ile hava boşluklu imzalama kullanan cüzdanlarda olay oranı %5’in altındayken, yalnızca yazılım tabanlı cüzdanlarda bu oran %15’in üzerindeydi.

Donanım Cüzdanları Nasıl Fark Yaratacak?

Yapay zekâyı yazılım cüzdanları için bu kadar tehlikeli yapan saldırı modelleri — otonom keşif, zincirleme istismar, açık-kapatma sömürü zincirleri ve tedarik zinciri ihlalleri — ağı üzerinden erişilebilen bir yazılım sürecini hedef alır.

Bir donanım cüzdanı, yazılım cüzdanının daha iyi bir versiyonu değildir. Tamamen farklı bir mimariye ve tehdit modeline sahiptir. Örneğin Tangem’i ele alalım. Tangem Card, belirli fiziksel ve mantıksal saldırılara karşı sertifikalı güvenli bir çip içerir. Kartı etkinleştirdiğinizde, çipin içindeki Gerçek Rastgele Sayı Üreteci, özel anahtarınızı oluşturur. Tasarım gereği, bu anahtar asla şifrelenmemiş şekilde çipin dışına çıkmaz; kopyalanamaz, okunamaz veya iletilemez.

İmza işlemleri güvenli çipin içinde gerçekleşir. Sonuç, NFC ile iletilen imzalı işlemdir. Claude Mythos’u tüm internete yönlendirip bir yıl çalıştırabilirsiniz; yine de güvenli çipte saklanan özel anahtara ulaşamaz. Çünkü saldırıya açık bir ağ yolu veya yazılım süreci yoktur.

Yapay Zekâ Tehdidi Donanım Cüzdanlarını Ana Akım Yapacak mı?

Eskiden donanım cüzdanlarının, yeterince kripto parası olanlar için maliyet ve kullanım zorluğuna değdiği düşünülürdü. 500 dolar değerinde ETH tutuyorsanız, bir tarayıcı eklentisi yeterli görülürdü. 

Varsayım şuydu: Hedef alınma olasılığı, varlık büyüklüğüyle orantılıydı. Gelişmiş saldırılar yüksek değerli cüzdanları hedefler, küçük yatırımcılar ise gözden kaçardı. Yapay zekâ destekli saldırılar, bu varsayımı yatay ölçeklenebilir saldırılarla geçersiz kılıyor.
 

Bir insan saldırgan, zaman kısıtlı olduğu için hedeflerini seçerek belirler. Mythos destekli bir saldırı hattı ise her şeyi hedef alacak. Güvenlik açığı olan tarayıcı eklentilerini taramanın, oltalama saldırısı üretmenin veya bilinen CVE’leri sömürmenin maliyeti deneme başına kuruşlara düştüğünde, saldırgan artık bir cüzdanın hedef olmaya değer olup olmadığını düşünmez. Onun yerine, saatte kaç cüzdan boşaltabileceğine odaklanır.

Bir Tangem Card setinin fiyatı, insanların telefon kılıfı veya ekran koruyucuya harcadıklarının yanında oldukça makul kalıyor. Ancak bu kart, üzerinde saklanan tüm varlıkları tarihin en hızlı büyüyen siber tehdit kategorisine karşı koruyor.
 

Bugün sormamız gereken soru şu: Bir donanım cüzdanı edinmenin maliyeti, elinizdeki kripto miktarına göre ne kadar? Mevcut anahtar saklama sisteminiz, yapay zekâdaki önümüzdeki iki yıllık gelişmeye dayanabilecek mi?