Orijinal başlık: "EP28: Zincir Üstü Güvenlik Hakkında Ne Kadar Bilginiz Var: Sıradan İnsanlar Kripto Varlıkları İçin Nasıl Bir Güvenlik Duvarı Oluşturuyor"

Orijinal kaynak: Mint Ventures

· Sunucu: Mint Ventures Araştırma Ortağı Alex

· Konuk: Blockchain güvenlik şirketi BlockSec CEO'su Zhou Yajin

· Kayıt saati: 2025.3.28

Açıklama: Bu podcast'te tartışılan içerik, konukların bulunduğu kurumların görüşlerini temsil etmemektedir ve bahsedilen projeler herhangi bir yatırım tavsiyesi oluşturmamaktadır.

Herkese merhaba, Mint Ventures tarafından başlatılan WEB3 Mint To Be'ye hoş geldiniz. Burada, gerçekleri açıklığa kavuşturmak, gerçeklikleri keşfetmek ve WEB3 dünyasında fikir birliğine varmak için sorular sormaya ve derinlemesine düşünmeye devam ediyoruz. Sıcak konuların mantığını açıklayın, olaylara dair içgörüler sunun ve birden fazla bakış açısı sunun.

BlockSec'in hizmet kapsamı ve hedef müşterileri

Alex: Bu bölümde herkesi yakından ilgilendiren bir konu olan şifreli dünyanın güvenliği hakkında konuşacağız. Gerçek risklerle karşılaşana kadar, haberlerdeki güvenlik olaylarının kurbanı olmayacağımızı düşünürüz. Şifreleme yolculuğumuza başlamadan önce varlıklarınız için bir güvenlik duvarı nasıl inşa edileceği ve güvenli bir ortama nasıl yatırım yapılacağı zorunlu bir konudur.

Bu podcast'te, kripto güvenliği konusunu konuşmak üzere blockchain güvenlik şirketi BlockSec'ten Zhou Yajin'i davet ettik. Lütfen bize merhaba deyin, Öğretmen Zhou.

Zhou Yajin:Herkese merhaba, adım Zhou Yajin, şu anda BlockSec'in CEO'suyum. Ben aynı zamanda Zhejiang Üniversitesi'nde siber güvenlik alanında çalışan bir araştırmacıyım. Hepinizle tanıştığıma çok memnun oldum.

Alex: Tamam, bugün konuya gelelim. Dinleyicilerin birçoğunun blockchain güvenlik şirketleri ve güvenlik hizmetleri konusunda çok fazla bilgisi olmadığını düşünüyorum. Bay Zhou, lütfen önce bize BlockSec'i tanıtır mısınız? Hangi hizmetleri veriyorsunuz ve müşteriniz kimler ve kurumlar olacak?

Zhou Yajin: Tamam, BlockSec bir Web3 güvenlik şirketidir. 2021 yılında kurulduk ve kurucu ortağımız Profesör Wu'ydu. Web3'ün güvenliğinden bahsedildiğinde akla ilk gelen şey muhtemelen güvenlik denetimidir. Aslında BlockSec’in iş kapsamı sadece güvenlik denetimleriyle sınırlı değil. Ayrıca bir dizi başka güvenlik ürünleri ve hizmetleri de sağlıyoruz. Hizmetler özellikle üç ana bölüme ayrılabilir.

İlk bölüme zincir üstü protokoller için güvenlik adını veriyoruz. Zincir üstü protokoller, DeFi, NFT veya diğer faaliyetleri yürütmek için blok zincirinde dağıtılan akıllı sözleşmelerdir. Bu sözleşmelerin güvenliği nasıl sağlanmalı? BlockSec güvenlik denetim hizmetleri ve güvenlik izleme ürünleri sağlar.

Daha fazla endişe duyduğumuz ikinci alan ise varlıkların güvenliğidir. Varlık güvenliği olarak adlandırılan kavram, kullanıcıların elinde bulunan varlıkları ifade eder. Örneğin, bu varlıklar kendi sözleşme cüzdanlarındadır veya bazı zincir üstü protokollere yatırılmıştır. Bu kullanıcı varlıklarının güvenliğinin nasıl sağlanacağı da BlockSec hizmet alanlarımızdan biridir.

Üçüncü kısım ise uyum ve denetimdir. Giderek daha fazla sayıda geleneksel finans kuruluşunun Kripto sektörüne girdiğini görüyoruz. Son zamanlarda ABD'deki geleneksel bankaların, kripto paraların sınır ötesi ödeme sektörüne girmesi de dahil olmak üzere, zincir üzerinde bazı stablecoin varlıkları çıkardığına dair haberler gördük. Aslında geleneksel finans kuruluşlarının sektöre girmesiyle denetim konusunda zor bir sorun ortaya çıktı. Düzenleyici kurumlar nasıl denetim yapacaklarını bilmiyorlardı ve bu kurumlar da yönetmeliklere nasıl uyacaklarını bilmiyorlardı. Bu nedenle, düzenleyici kurumların Kripto sektörüne giren oyuncuları denetlemesine yardımcı oluyoruz veya Kripto sektörüne giren geleneksel kurumların düzenlemelere uymasına yardımcı oluyoruz. Bunlar işimizin üç alanıdır.

Müşterilerimiz geniş bir yelpazeye yayılıyor. Herkesin aklına, zincir üzerinde merkezi olmayan finans veya diğer hizmetleri sağlayan proje tarafları gelebilir; örneğin, zincir üzerinde kredi platformları ve merkezi olmayan ticaret platformları sağlamak gibi. Bu proje tarafları bizim müşterilerimizdir. Akıllı sözleşmeleri zincire yerleştirmeden önce bazı güvenlik denetimleri yapmalarına yardımcı olabilir ve geliştirdikleri akıllı sözleşmelerin güvenlik açısından güvenlik açıkları olup olmadığını inceleyebiliriz. Güvenlik açıkları varsa bunların zamanında giderilmesi gerekir. Aynı zamanda protokolleri zincire dağıtıldıktan sonra protokollerinin güvenlik risklerini izlemek için 7/24 izleme platformumuz da olacak. Herhangi bir güvenlik riski oluşması durumunda platformumuz protokolü derhal bilgilendirerek riskleri ve saldırıları otomatik olarak engelleyebilir.

Bu nedenle, akıllı sözleşmeleri zincirde dağıtan bu geliştiriciler ve proje tarafları tipik müşterilerimizdir. İkinci tip tipik müşteriler, varlık sahibi olan kişilerdir; belki de sözleşme cüzdanında bazı varlıkları bulunan bazı yüksek net gelirli müşteriler veya bu yüksek net gelirli müşteriler zincirdeki bazı sözleşmelere yatırım yapacaktır. Hizmetlerimiz ve ürünlerimiz, yatırım yaptıkları protokollerin güvenliğini daha iyi izlemelerine yardımcı olabilir. Bir madalyonun iki yüzü gibi, protokol projesinin bakış açısından, protokolün güvenliğini iyileştirmelerine yardımcı olabiliriz.

Protokollerine yatırım yapan yüksek net değerli müşterilerin bakış açısından, yatırım yaptıkları protokollerin güvenliğini izlemelerine yardımcı olabiliriz. Yatırım yaptığı protokolde saldırıya uğrama gibi güvenlik riskleri olduğunda, paralarını mümkün olan en kısa sürede çekebilmesi gerekir. Üçüncü müşteri tipi ise az önce bahsettiğim denetim ve uyum müşterisidir. Bu tip müşteriler çoğunlukla bazı düzenleyici kurumlardır. Örneğin Hong Kong Menkul Kıymetler ve Vadeli İşlemler Komisyonu aslında bizim müşterimizdir. Yurt dışında da bazı kolluk kuvvetleri var. Dijital parayla ilgili suçları soruşturmaları gerektiğinde, delil çıkarma ve fon takibi gibi bazı soruşturma faaliyetlerini kolaylaştırmak için araçlarımızı ve platformlarımızı kullanmaları gerekir. Bu temel olarak bizim genel işimiz ve müşterilerimizin kapsamıdır.

Şifreleme güvenliğiyle ilgili üç öneri

Alex: Anlıyorum. Profesör Zhou az önce müşteri tiplerinden, ihtiyaçlarından ve genel sektör durumundan bahsetti. İkinci soru, özellikle dinleyicilerimizin birçoğunun Web3'ü yeni öğrenmeye ve yatırım yapmaya başladığı göz önüne alındığında, bireysel yatırımcılar için daha alakalı olabilir.

Kripto yatırımı alanına yeni giren ve sizin kripto güvenlik hizmetleriyle uğraştığınızı bilen bir arkadaşınız varsa, lütfen ona kripto güvenliği konusunda üç öneri verin. Ona hangi üç öneriyi verirdiniz?

Zhou Yajin: Bu çok iyi bir soru. Arkadaşlarım sık sık benden güvenlik konusunda tavsiye isterler. Onlar da bu sektöre girmek istiyorlar ama birçok kişinin bazı risklerle karşılaştığını duyuyorlar. Eskiden şöyle bir şakamız vardı: Kripto dünyasına girerseniz ve dolandırılmazsanız veya dolandırılmazsanız, bu alanda kıdemli bir oyuncu olamazsınız. Elbette bu bir şaka ama bu sektörde çok sayıda riskin olduğunu görebilirsiniz.

Üç öneride bulunacak olsaydım, kesinlikle herkesin aklına gelecek ilk şey, özel anahtar koruması olurdu. Kripto alanında, fonların size ait olduğunu nasıl kanıtlarsınız? Aslında, özel anahtarınızı hesabınızın size ait olduğunu kanıtlamak için kullanırsınız. Özel anahtar, kişisel kimliğinizle hiçbir şekilde bağlantısı olmayan, sadece bir sayı dizisidir. Bu sayı dizisi kaybolduğunda veya sızdırıldığında, başkaları sizin paranız üzerinde sizinle aynı kontrole sahip olabilir. Bu bizim gerçek dünyamızdan çok farklı. Gerçek dünyada, banka şifreniz sızdırılırsa, bankayı arayıp hesabınızı dondurmalarını isteyebilirsiniz, böylece başka hiç kimse paranızı çekemez. Ancak Kripto dünyasında, özel anahtarınız sızdırılırsa, özel anahtarınıza sahip olan kişi, hesabınızdaki paranızı kısıtlama olmaksızın transfer edebilir.

Genel olarak, özel anahtarları korumak için çeşitli yollar vardır. Örneğin, özel anahtarları korumak için donanım cüzdanlarımız, sözleşme cüzdanlarımız veya mobil telefon uygulamalarımız var. Aslında her yöntemin kendine göre avantajları ve dezavantajları var. Kendi deneyimim ve çevremizdeki bazı güvenlikçi arkadaşlarımın genel deneyimlerine göre, temel prensip özel anahtarın şifresini yazıp bir kasaya koymaktır. Bu kasa ister evinizde olsun, ister bankada olsun, onu iyi muhafaza edin ve normal şekilde hareket ettirmeyin. Temel olarak, onu kullanmanıza gerek kalmayacak. Daha sonra özel anahtarınızı saklamak için nispeten güvendiğiniz bir cihaz kullanın; bu bir donanım cüzdanı veya cep telefonu olabilir. Bu cep telefonunun özel bir cihaz olması gerekiyor. Başka hiçbir işlem için kullanmayınız. Sadece kendi dijital varlıklarınızı yönetmek için kullanılır. Bu ilk öneri.

İkinci önerimiz, zincir üzerinde işlem yaparken güvenlik ve risklerin farkında olmaktır. Esasında hatırlamanız gereken tek şey şudur: bedava öğle yemeği diye bir şey yoktur. Kullanıcıların zincir üzerinde işlem yaparken kimlik avı risklerinin çok yüksek olduğunu tespit ettik. Kripto dünyasında tanıdığımız birçok KOL ve OG, kimlik avı saldırılarıyla karşılaştı ve çok miktarda para kaybetti. Eğer tanımadığınız bir web sitesi sizden sözde airdrop ödüllerini alabilmeniz için cüzdanınızı bağlamanızı istiyorsa, bu noktada daha dikkatli olmanız ve güvenliğe dikkat etmeniz gerekiyor.

Üçüncü önerimiz ise kripto varlıklar hakkında bazı temel bilgilere sahip olmanız gerektiğidir. Temel bilgi, kripto varlıklarda yetkilendirme kavramını ifade eder. Bu, geleneksel finans sisteminden farklıdır. Örneğin, USDT veya USDC gibi bir tür dijital varlığa sahipseniz, varlığı zincir üstü imzalar aracılığıyla bir sözleşmeye veya başka bir kullanıcıya yetkilendirebilirsiniz ve bu tür bir yetkilendirme, cüzdanınız aracılığıyla anlamadığınız bir sürü garip şeyi imzalayarak elde edilebilir.

Dolayısıyla cüzdan imzasını atarken, bunu anlamazsanız veya kandırılıp yetkili işlemi imzalarsanız, başkaları sizin tüm dijital varlıklarınızı kullanabilir. Dolayısıyla cüzdanınızı imzalarken yanlışlıkla bu tür işlemleri imzalamamak için yetkilendirme konusunda temel bir anlayışa sahip olmanız gerekir. Özetle temel öneriler şunlardır: Birincisi, kendi özel anahtarınızı korumanızdır ve bunun için bazı pratik yöntemler verilmektedir; İkincisi, zincir üstü işlemler gerçekleştirirken her zaman dikkatli olmak, güvenliğe dikkat etmek ve kimlik avına maruz kalmaktan kaçınmaktır; Üçüncüsü, Crypto'nun yetkilendirme mekanizması hakkında temel bir anlayışa sahip olmak ve yanlışlıkla bazı yetkilendirilmiş işlemleri imzalamamak.

Alex: Aslında etrafımda çok sayıda yüksek gelirli arkadaşım var ve onlar da sektörde eski veya deneyimli kişiler. Mantıksal olarak hepsinde bahsettiğiniz güvenlik bilinci var ama her yıl çevremdeki büyük yatırımcıların soyulduğunu duyuyorum.

Sektörde bir söz vardır; eğer profesyonel bir hacker sizi hedef alırsa, cüzdanınızda para olduğunu bilir. Eğer elinizdeki tüm kaynakları kullanırsanız, kurtulmanız çoğu zaman zor olur. Bu ifadenin mantıklı olduğunu düşünüyor musunuz? Gerçekten durum böyle mi?

Zhou Yajin: Sorunuz çok güzel. Aslında güvenlik konuları, özellikle Kripto güvenliğini ilgilendiren konular, özünde dengesiz bir çatışmadır. Cüzdanınızda yeterli varlık varsa hedefli saldırıların hedefi haline gelmeniz çok kolaydır. Birinin hedefli saldırısının hedefi olduğunuzda, sosyal mühendislik kaynakları, teknik kaynaklar veya diğer kaynaklar olsun, hedef kişinin günlük davranış kalıpları, yaşam alışkanlıkları vb. temelinde size karşı saldırı yöntemleri tasarlamak için çok sayıda kaynak seferber edeceklerdir. Bu durumda, %100 kesin olduğunu söyleyemem, ancak kendinizi savunmanız çok zordur çünkü başkaları size karşı savaşmak için çok sayıda kaynak seferber etmiştir ve elinizde yalnızca kendiniz vardır. Yani çok asimetrik bir çatışma söz konusu.

Bu durumda, temel ilkenin, her şeyden önce, biz Çinlilerin servetin ifşa edilmemesi gerektiği yönünde bir sözü olduğunu düşünüyorum, yani varlıklarınızı kamuya açık hale getirmemeli ve kişisel çevrimdışı kimliğiniz ile zincir içi varlıkların kimliği arasındaki ilişkiyi ifşa etmekten kaçınmalısınız. İkinci nokta ise, yüksek gelirli bir kullanıcı olsanız bile varlıklarınızın başkaları tarafından sızdırılmış olma ihtimalinin bulunması nedeniyle varlıklarınızı mümkün olduğunca izole etmeniz gerekiyor. Yani günlük hayatınızda genellikle kullandığınız varlıklar, özel cüzdanınızda en fazla 100.000 yuan bulundurabilir. Eğer başkaları sizi hedef alırsa, yapabilecekleri en fazla şey, sizi bu 100.000 yuandan dolandırmaktır. Diğer büyük varlıklarınızı nadiren kullanmanız gereken bir cüzdanda tutmalısınız. Bu varlıkları kullanmanız gerekiyorsa, çok büyük risklerden kaçınmak için daha iyi bir dizi işletme prosedürü ve spesifikasyonları incelemenize yardımcı olacak bir güvenlik uzmanı bulmalısınız.

En etkileyici üç güvenlik olayı

Alex: Anlıyorum. Bu öneri gerçekten çok önemlidir. Kariyerinizde yaşadığınız en etkileyici üç güvenlik olayını bizimle paylaşabilir misiniz? Bu sizin kendi deneyiminiz olabilir, arkadaşlarınızın deneyimleri olabilir veya kendi gözlemleriniz olabilir.

Zhou Yajin: Bizzat katıldığımız ve üzerimizde derin izler bırakan bazı güvenlik olaylarını sizinle paylaşabilirim. Hatırladığım ilk örnek 10 Şubat 2023 civarında, Platypus Protokolü adı verilen zincirdeki bir protokolün saldırıya uğramasıydı. Diğer fonksiyonları da olan bir kredi platformudur. Bu protokolün bir güvenlik açığı bulunuyor ve bilgisayar korsanları bu açığı kullanarak yaklaşık 9 milyon dolar değerinde varlığı çalmıştı. Bu olayın bende derin izler bırakmasının sebebi ise hacker'ın Platypus protokolüne saldırırken hata yapmasıdır. Akıllı sözleşmeye saldırdığında, kendisinin de bir akıllı sözleşme geliştirmesi gerekiyor. Akıllı sözleşme, kendi başına çalışabilen bir kod dizisi olarak düşünülebilir. Bir hacker saldırı yaptığında kendi saldırı sözleşmesini devreye sokar ve bu saldırı sözleşmesi tüm saldırı sürecini tamamlar.

Ancak saldırganlar insandır ve hepimiz insanların hata yapabileceğini biliyoruz. Saldırı akıllı sözleşmesini yazarken bir hata yaptı ve sözleşmede istismar edilebilecek bir güvenlik açığı vardı. Bu güvenlik açığı, saldırı sözleşmesinde saklanan ve aynı zamanda Platypus protokolüne yapılan saldırıyla elde edilen fonların da ele geçirilmesine neden olabilir. Biz bir güvenlik şirketi olarak aslında zincir üzerindeki saldırı olaylarını sürekli takip ediyoruz ve zincir üzerinde gerçekleşen bu tür saldırıları ilk anda tespit edebilecek bir dizi saldırı tespit motorumuz mevcut.

Tesadüfen, ornitorenk saldırıya uğradığında bunu hemen tespit ettik. Bu güvenlik olayını bağımsız olarak analiz edeceğiz; saldırının sebebini, zafiyetin nerede olduğunu tespit edeceğiz. Aynı zamanda proje tarafıyla iletişime geçip onlara yardımcı olacağız ve sorunu nasıl yamalayıp çözeceklerini anlatacağız. Bu süreçte bir hacker açığını keşfettik ve proje ekibine bunu istismar edebileceklerini söyledik. Daha sonra saldırganın sözleşmesindeki 9,5 milyon doların 2,4 milyonunu çıkarmak için proje sahibiyle birlikte bir kod geliştirdik. Bu aynı zamanda blockchain güvenliğinin tüm tarihinde ilk kez gerçekleşen bir eylemdir; yani hack-back olarak adlandırılan eylem, açıklarından yararlanılarak çalınan paraların geri alınması ve proje ekibine iade edilmesidir. Bu, özellikle ilginç bir yüzleşme ve bende derin bir izlenim bıraktı.

Alex: Platypus ile daha önce bir işbirliğiniz var mıydı yoksa bu olaydan sonra mı iletişim kurmaya başladınız?

Zhou Yajin:Aslında daha önce herhangi bir işbirliği ilişkimiz yoktu ve ancak bu olay yaşandıktan sonra iletişime geçtik. Güvenlik olayı işleme sürecinin tamamını daha ayrıntılı olarak anlatabilirim. Bizim kendi içimizde güvenlik saldırı motorumuz var. Bir güvenlik olayı meydana geldiğinde, motorumuz derhal bir alarm gönderecek ve olayı birlikte analiz etmek üzere dahili bir acil durum müdahale ekibimiz var. Öncelikle hangi protokolün saldırıya uğradığına bakacağız, ardından proje tarafıyla on-chain Twitter veya diğer yollarla çeşitli yollarla iletişime geçmeye çalışacağız.

Platypus'un durumunda, daha önce onların iletişim bilgilerine sahip değildik. Twitter üzerinden proje tarafıyla iletişime geçtik ve saldırının tüm nedenlerinin analiz edilmesinde yardımcı olduk, çünkü proje tarafı çoğu zaman neden saldırıya uğradıklarını bilmiyordu. Neyse, anlaşmadaki para ortadan kayboldu ama sebebi belli değil. Bu esnada kendisine analiz konusunda yardımcı olacak bir güvenlik şirketine ihtiyaç duyulmaktadır. Analiz sonrasında protokolün nasıl onarılacağı sorusu ortaya çıkıyor.

Eğer sebep açıksa, o zaman açığın giderilmesi gerekir. Yamanın nasıl uygulanacağı, yama uygulandıktan sonra güvenli olup olmadığı ve çalınan paraların takibi de bizim gibi güvenlik şirketlerinin ona yardımcı olmasını gerektiriyor. Acil müdahale sürecinin tamamında proje tarafıyla birlikte çalışacağız. Özellikle bu durumda, aslında daha önce bu projeyle hiçbir temasımız olmamıştı ama neyse ki, süreç devam ederken kendisiyle zamanında iletişime geçtik ve paranın bir kısmını kurtarabildik. Aslında çoğu durumda saldırıyı fark ettik ama proje tarafıyla iletişime geçemedik.

İkinci vaka da oldukça ilginç ve o da 2023 yılında yaşandı. Çinli dinleyicilerimiz buna daha aşina olabilirler çünkü bu vaka ParaSpace adlı bir projeyi içeriyor. ParaSpace, Bored Ape'i bağışlamak ve diğer varlıkları ödünç almak için kullanılabilen bir NFT'dir. Birçok Çinli OG'nin aslında Boring Ape NFT'sinin sahibi olduğunu biliyorum. Bu protokolün aslında bir güvenlik açığı var ve Mart 2023'te saldırıya uğradı. Pekin saatine göre sabah veya öğlen civarı olduğunu net bir şekilde hatırlıyorum. Sistemimiz uyarıyı hemen verdikten sonra,

öncelikle sorunun nedenini analiz etmek için proje tarafıyla iletişime geçtik. Ancak sistemimizde gerçekleşen ilk saldırı işleminin zincir üzerinde geri döndüğünü tespit ettik. Geri alma, saldırganın saldırı sırasında yeterli işlem ücretine sahip olmadığı ve bu nedenle saldırı işleminin zincire başarıyla yüklenemediği anlamına gelir. Ancak saldırının işlem davranışı ve izi zincir üzerinde ortaya çıktı. Sistemimiz ayrıca ters işlemler olarak adlandırdığımız, başarısız olmasına rağmen zincire eklenen işlemleri de tespit edebiliyor. Bu, motorumuzun bunun bir saldırı işlemi olduğunu belirleme yeteneğidir.

Yargıyı yaptıktan sonra, saldırı işleminin davranışını simüle etmenin ve onunla aynı olan ancak bu saldırının tırnak işareti içine alınması gereken ve işlemdeki kâr adresini kendi adresimizle değiştirmemiz gereken bir saldırı işlemi otomatik olarak üretmenin bir yolunu düşündük. Bu şekilde, şu anda tehlike altında olan anlaşmadaki fonları kurtarıp kendi güvenli hesabımıza yatırabilir ve daha sonra proje tarafıyla iletişime geçerek fonların kendilerine iade edilmesini sağlayabiliriz. Bu, kötü adamın bıçağının onu kesmek üzere olduğunu ancak bazı nedenlerden dolayı ilk denemenin başarısız olduğunu söylemeye benzer. Aynı yöntemi kullanarak parayı önceden çekmeyi de deneyebiliriz, böylece saldırgan saldırıyı ikinci kez denediğinde protokolde hiç para kalmayacak ve saldırı başarısız olacaktır.

Bu fikri ortaya attıktan sonra, aslında bu süreci hızla otomatikleştirebilecek dahili bir sistemimiz vardı. Daha sonra otomatik olarak bir "saldırı" işlemi oluşturduk, bunu zincire gönderdik ve ParaSpace protokolünden 5 milyon dolarlık varlığı çektik. Daha sonra proje tarafıyla iletişime geçerek paranın kendilerine iade edilmesini istedik. Bu aslında çok ilginç. Tarihin en büyük miktarı. Biz buna kurtarma diyoruz, yani zincirdeki fonları kurtarma operasyonu. Bu kurtarma yapılmasaydı, mal varlıkları yağmalanabilirdi.

Ancak bu güvenlik olayı aslında bizi çok düşündürdü, çünkü işin içinde çok sayıda güvenlik ahlaki ve etik sorunu var. Mesela bir saldırı gözlemledikten sonra protokoldeki paraları çeksek bile aslında bu yine de bir saldırı işlemidir. Saldırganın davranışlarını taklit eder. Her ne kadar fonlar iyi niyetle çekilip proje tarafına geri verilse de, bu yine de katı bir ifadeyle bir saldırıdır. Bu, uyumluluk ve güvenlik etiği konularını içerir.

O zamanlar düşündüğümüz şey, kötü bir adamın iyi bir adamı bıçakladığını gördüğünüzde onu durdurmaya mı çalışmalısınız yoksa olduğu gibi mi bırakmalısınız. Her ne kadar bazı ahlaki ve güvenlik etiği sorunları olsa da, bence bizim seçimimiz bunu durdurmak için harekete geçmek. Bu olaydan sonra, az önce bahsettiğimiz gibi, zinciri geriye doğru hackleyerek güvenliğin kurtarılamayacağını da derinden anladık. Proje sahibi, karşı karşıya olduğu güvenlik riskleri hakkında ilk fırsatta bilgilendirilmelidir. Projenin saldırıya uğradığını bilmeli ve buna göre bazı otomatik operasyon stratejileri yapılandırabilir.

Bu güvenlik olayları gerçekleştiğinde sistemimiz ona protokolü otomatik olarak duraklatabilmesi gerektiğini söylüyor, böylece saldırı başarılı olmayacak. Sadece saldırıları önlemekle ve kullanıcıların parasını kurtarmakla kalmıyor, aynı zamanda her türlü güvenlik etiği riskini de ortadan kaldırıyor. Bu iki olaydan sonra Phalcon saldırı izleme ve engelleme ürünlerinin geliştirilmesinin ardındaki fikir budur. Bu hatırladığım ikinci büyük güvenlik olayı.

Alex: Sanırım o sırada bu güvenlik olayını fark ettim. Az önce koruyucu saldırılardan bahsettiniz. Bir detay sormak istiyorum. Az önce bahsettiğiniz geri dönüş saldırısı gerçekleştikten sonra, koruyucu saldırı başlatıp başlatmamaya dair içsel bir tartışma ve karar yapmalısınız. Olayın öğrenilmesinden fonların korunmasına karar verilmesine kadar ne kadar zaman geçti?

Zhou Yajin: Çok hızlıydı. İlk farkına vardığımız andan, tamamladığımız ana kadar geçen süre sadece birkaç dakika sürdü. Şirket çok kapsamlı bir güvenlik işleme süreci oluşturduğu için, güvenlik konularını öğrendikten hemen sonra tartışıp karar alacaktır. Karar verildikten sonra bazı otomatize araçlar olduğu için işler daha hızlı yapılabiliyor.

Alex: Anlıyorum.

Zhou Yajin: Üçüncü vaka ise son zamanlarda herkesin dikkat etmesi gereken Bybit güvenlik olayıdır. Şubat ayında 1,5 milyar dolar değerinde varlık çalındı. Bu saldırı aynı zamanda güvenlik camiasında bugüne kadar gerçekleşen en maliyetli güvenlik olayıdır ve verdiği zararlar daha önce bahsettiğim diğer iki güvenlik olayından çok farklıdır. Önceki iki güvenlik olayı sözleşme açıklarından kaynaklanmıştı ancak Bybit'in yaşadığı güvenlik olayının akıllı sözleşme açıklarıyla hiçbir ilgisi yok. Biz buna uzun güven zinciri diyoruz. Bu kadar büyük miktarda paranın ve bu kadar uzun bir güven zincirinin olduğu bir sistemde saldırgan, sosyal mühendislik saldırılarıyla en zayıf halkayı bulup saldırıyı tamamlamıştır. Bybit, bunu yönetmek için akıllı bir sözleşme cüzdanı olan SAFE adlı bir sözleşme cüzdanı kullanıyor.

SAFE çoklu imzalı bir cüzdandır. Bunu aynı anda üç kişinin açması gereken bir kilit olarak düşünebilirsiniz. Ancak o zaman kilit açılabilir ve içindeki paralar çıkarılabilir. Bu kilit, böyle bir sözleşme cüzdanı sağlayan bir proje tarafından yapılmıştır. Bu sistemdeki güven zincirinin, SAFE cüzdanının geliştiricileri, SAFE protokolünü çalıştıran kişiler ve SAFE cüzdanını kullanırken tarayıcıdaki kullanıcı arayüzü de dahil olmak üzere çok uzun olduğunu göreceksiniz. Ayrıca SAFE cüzdanının operatörü, yani üç anahtarı olan Bybit çalışanı veya fonları yönetme yetkisine sahip kişi de var. SAFE cüzdanını bir bilgisayar tarayıcısı veya donanım cüzdanı aracılığıyla çalıştırması gerekiyor. Burada pek çok unsurun söz konusu olduğunu göreceksiniz.

Güvenlikten bahsettiğimizde, güvenlik saldırı ve savunmasındaki zorluk, savunma yaparken sisteminizin hiçbir eksiği olmamasını sağlamanız gerektiğidir, çünkü sistemin güvenlik seviyesi sistemdeki en kısa karta bağlıdır. Saldırganın sisteminizin iyi çalışan kısımlarına girmesine gerek yoktur. Tek yapması gereken sisteminizdeki en zayıf noktayı bulup oradan saldırı başlatmak ve tüm süreci tamamlamak. Bybit olayında tüm saldırı süreci şu şekilde işliyor. Öncelikle bunun hedefli bir saldırı olduğunu düşünebilirler çünkü akıllı sözleşmenin cüzdanı olan Bybit SAFE cüzdanının çok sayıda varlık barındırdığını tespit ettiler. Seçtikleri hedef, SAFE cüzdanının geliştiricisidir, çünkü az önce de söylediğimiz gibi, sonunda onu kim çalıştırırsa çalıştırsın, varlıklarınızı çalıştırmak için SAFE'nin sağladığı kullanıcı arayüzü, yani web sitesi üzerinden geçmeleri gerekir.

Sosyal mühendislik veya diğer yollarla geliştiricinin bilgisayarına girebilirsem ve geliştiricinin SAFE web sitesinde kötü amaçlı bir kod dağıtmasına izin verebilirsem ve daha sonra herhangi biri cüzdanını çalıştırmak için SAFE web sitesine gittiğinde gördükleri işlem davranışı zincirdeki gerçek işlem davranışıyla tutarsızsa, ancak normal kullanıcılar bunu anlamıyorsa ne olur? Örneğin, normal bir kullanıcı bankanın APP'sinde işlem yaptığında, banka APP'sinde 100 yuan'lık bir transfer görüyor, ancak aslında 900 yuan transfer ediliyor, ancak ben bunu bilmiyorum çünkü bu APP'de gördüğüm 100 yuan'lık bir transfer. APP geliştiricisini veya SAFE cüzdan geliştiricisini hacklerseniz ve cüzdanda operatörün gördüğü işletim arayüzünü gerçek davranış kurallarıyla tutarsız hale getirirseniz, tüm saldırı sürecini tamamlayabilirsiniz. Aslında bu şekilde de yapılıyor.

Peki bu geliştirici iznini nasıl elde edebilir? Tüm saldırı süreci sosyal mühendislik saldırıları ile tamamlandı. Aslında, SAFE geliştiricileri ihlal edildiğinde bile hâlâ başka fırsatlarımız var. Örneğin, cüzdanınız imzalandığında imzalanan işlemin ne olduğunu söyleyebiliyorsa ve bu, web sitesinde gördüğünüz işlemle uyuşmuyorsa, o zaman aslında bir şans var demektir. Geçmişte birçok bankanın U-Shield'i vardı. Eğer deneyiminiz varsa, U-Shield'daki düğmeye bastığınızda 500 yuan transfer edildiğine dair bir ekran göreceksiniz. İsteseniz de istemeseniz de U-Shield cihazı üzerinden bunu doğrulayabilirsiniz. Aslında bu sorunu çözüyor, çünkü APP'im saldırıya uğrasa bile APP size 100 yuan transfer ettiğinizi söylüyor, ancak sonunda onaylamaya gittiğinizde U kalkanı size 500 yuan transfer ettiğinizi söylüyor ve tutarsızlığı buluyorsunuz.

Özellikle Bybit'te, imza cüzdanınızın daha iyi bir hatırlatma yeteneğine sahip olması, bu tür saldırıları önleyebilir. Ancak ne yazık ki bu durumda imzalama donanım cüzdanı pek de iyi bir performans göstermedi. SAFE'nin kullanıcı arayüzü hacklendikten sonra kötü niyetli bir yükseltme işlemi imzalandı ve ardından saldırgan cüzdanı ele geçirerek 1,5 milyar doları transfer etti. Bu da bende derin izler bırakan bir şey oldu.

Bu olayın bize getirdiği bir gerçek de, büyük miktardaki fonlar söz konusu olduğunda çapraz doğrulamanın gerekli olduğudur. Tek bir sağlayıcının veya tek bir noktanın size söylediğine güvenemezsiniz. Bilgiyi size ileten tek bir satıcıya veya tek bir arayüze güveniyorsanız, bunlar tehlikeye girdiği anda sistem bağlantısı kesilir. Bu nedenle çapraz doğrulama gereklidir. Gördüklerinizin üçüncü taraf bakış açısıyla doğru olup olmadığını doğrulamanıza yardımcı olacak üçüncü bir tarafın olması gerekir. Bu gibi durumlarda risk daha da azaltılabilir.

Sosyal mühendislik saldırısına ilişkin kişisel deneyimim

Alex: Az önce bahsettiğin durumda, "sosyal mühendislik saldırısı" diye bir terim var. Bu kavramın anlamını her dinleyici anlamayabilir. Açıklayabilir misiniz?

Zhou Yajin: Sosyal saldırının tam adı sosyal mühendislik saldırısıdır. Herhangi bir teknik araçtan yararlanmıyor, sizin çalışma alışkanlıklarınızı, kişiler arası ilişkilerinizi, iş sorumluluklarınızı vb. kullanarak size karşı bir dizi saldırı yöntemi tasarlıyor. Herkesin daha iyi anlayabilmesi için, bizzat yaşadığım bir sosyal hizmet görevlisi saldırısına dair örnek verebilirim. BlockSeo'nun CEO'su olarak, çoğunlukla iki kategoriye giren bilgiler alıyorum. Birinci kategori podcast, konferans ve röportajlara katılım davetleridir. İkinci kategori ise sizinle iletişime geçerek size yatırım fırsatlarından bahsedecek olan yatırım kuruluşlarıdır. Bir keresinde şirketin e-posta hesabına bir yatırım kuruluşundan olduğunu ve bazı yatırım fırsatlarını görüşmek istediğini söyleyen bir e-posta gönderen biriyle tanıştım.

Güçlü bir güvenlik anlayışımız var ve e-postasını ve alan adını izleyeceğiz. Bazen bazı geçmiş araştırmaları yaparız ve şirketinin web sitesine ve yatırım profiline bakarız. Biraz araştırma yaptıktan sonra, daha önce hiç duymadığım halde, oldukça saygın bir kuruluş olduğunu gördüm, bu yüzden Takvim üzerinden bir randevu ayarladım. Ama tam bu sırada ilk tuhaf olayın gerçekleştiğini göreceksiniz. Takvim'de bir toplantı planladığınızda size herhangi bir toplantı bağlantısı sağlanmaz.

Toplantılarımızı genellikle Zoom, Google Meet veya diğer konferans yazılımları aracılığıyla planlıyoruz. Ama herhangi bir toplantı linki vermedi, sadece randevu verdi. Toplantı zamanı geldiğinde kendisine e-posta atıp, zaten bir toplantı yapıyoruz, lütfen bana toplantı linkini gönder diyorsunuz. Hemen size toplantı bağlantısını gönderecek. Bağlantıya tıkladığınızda garip bir şeyle karşılaşacaksınız: Sizden bir yazılım indirmenizi istiyor.

Eğer bu dönemde deneyimsizseniz ve yaklaşan toplantı konusunda kaygılı hissediyorsanız, o sizin kaygınızdan faydalanacak ve sizi e-postalarla sürekli olarak teşvik edecek ve e-posta bombardımanına tutacaktır. Bu fırsatı değerlendirmek için can atıyorsunuz ve tereddüt etmeden yazılımı kurabilirsiniz, ancak aslında bu, bilgisayarınızda saklanan özel anahtarlarınızı çalacak kötü amaçlı bileşenlere sahip bir video konferanstır. Bu benim yaşadığım gerçek bir sosyal mühendislik saldırısıdır. Yani saldırganın şirket içindeki pozisyonumu ve iş sorumluluklarımı hedef aldığını, toplantılar öncesi yaşadığım kaygıyı fırsat bildiğini görebiliyorsunuz.

Alex: Birkaç gün önce sektörde çok ilgi çeken bir olaya tanık oldum. Bir protokolün kurucusu, çevrimdışı bir partiye katıldığında cep telefonunun yaklaşık on dakika yanından ayrıldığını ve cep telefonu cüzdanından yaklaşık birkaç milyon yuan değerinde paranın çalındığını söyledi. Bu saldırının, kullanıcının telefonu yokken gerçekleştiğini varsayarsak, bu da bir tür sosyal mühendislik saldırısı mıdır?

Zhou Yajin:Evet, bunun bir tür sosyal mühendislik saldırısı olduğunu düşünüyorum, ancak bizim alıştığımız anlamda bir sosyal mühendislik saldırısı değil. Çünkü bu durumda telefonundan yalnızca bir süreliğine uzak kalmıştı. Elbette başkalarının onu davet etmesinin veya ona yaklaşmasının asıl amacı telefonunu almak olabilir, ancak telefonu aldıktan sonra, telefonun kilidini nasıl açacağınız ve içindeki parayı nasıl alacağınız aslında çok güçlü bir teknik destek gerektiriyor.

Blockchain protokolleriyle etkileşim kurarken güvenlik ilkeleri

Alex: Anlıyorum. Az önce çok sayıda temsili büyük güvenlik olayından bahsettik. Şimdi, bizim gibi sıradan insanların blockchain protokolleriyle etkileşime girdiği zamana geri dönelim. Dediğiniz gibi daha önce hizmet verdiğiniz projelerin birçoğu Defi protokolü ve birçoğumuz da zincir üzerinde etkileşime girdiğimizde Defi protokollerini kullanıyoruz.

Bu Defi protokolleri veya diğer protokollerle etkileşime girdiğimizde uymamız gereken herhangi bir güvenlik ilkesi var mı? Çoğu sıradan kullanıcının kodu okuma yeteneğinin olmadığını, hatta imzalanmış bilgileri bile okuyamayacağını düşünüyorum. Bu durumda bu riski nasıl en aza indirebiliriz?

Zhou Yajin: Bence sıradan kullanıcılar zincir üstü işlemler yapmak istiyorlarsa, öncelikle proje tarafı hakkında bazı arka plan kontrolleri yapmalılar. Bunun çok önemli olduğunu düşünüyorum. Eğer küçük bir sermayeyle bir zincir projeye yatırım yapıp denemek isterseniz, sorun olmayabilir. Ancak eğer çok ciddiyseniz ve on-chain protokollerine yatırım yapmak isteyen bir yatırımcı olduğunuzu söylüyorsanız, o zaman sermaye hacminiz nispeten büyük olduğundan, proje tarafı hakkında daha iyi bir durum tespiti yapmanız gerekebilir. Buradaki titiz incelemeyi temel olarak şu seviyelere ayırmak mümkündür.

Birinci seviye, bu projenin kurucusunun kim olduğunu ve anonim olup olmadığını söylemektir, çünkü bazı zincir üstü protokoller anonim protokol projeleridir. Protokolün kalitesini bilmeniz, kamuoyunda tanınan kurucunun kim olduğunu ve projeyi sertleştirme geçmişinin olup olmadığını bilmeniz gerekir. Bu çok önemli. Yani öncelikle sözleşmenin içeriği ve kurucunun kimliği konusunda bazı arka plan kontrolleri yapmalısınız.

İkinci nokta, proje tarafının teknik yetenekleri hakkında bazı arka plan kontrolleri yapmanız gerektiğidir. Projenizin önde gelen bir güvenlik şirketi tarafından denetlenip denetlenmediğini kontrol edebilirsiniz. Az önce de söylediğiniz gibi, birçok kullanıcı teknolojiyi, kodları anlamayabilir ve denetim raporlarını anlayamayabilir, ancak denetim raporunu açıp bazı temel noktaları inceleyebilirsiniz. Örneğin, denetimleri hangi şirketler yaptı, itibarları ne durumda ve raporda herhangi bir temel güvenlik açığı var mı? Raporda temel güvenlik açıklarının bulunması, protokolün güvenli olmadığı anlamına gelmez. Aksine, bu durum güvenlik şirketinin daha dikkatli davranarak bazı güvenlik açıkları bulmuş olabileceği ve bu durumun projenin genel güvenlik riskini azaltacağı anlamına gelir. Bu konuya diyalektik açıdan bakmak gerekir. Proje ekibiyle ilgili geçmiş kontrollerini yaptıktan sonra, onlarla etkileşime girerken kademeli bir yaklaşım benimsemelisiniz. Büyük miktarda parayı tek seferde yatırmaktan kaçının, çünkü bu yine de nispeten yüksek bir risk oluşturur.

Bir diğer husus ise saldırı izleme, bazı araçlar ve platformlar gibi bazı profesyonel güvenlik araçlarını kullanmanız gerekiyor. Büyük miktarda sermayeniz varsa, yatırım yaptığınız protokollerin güvenlik risklerinin her zaman farkında olmalısınız. Yatırım yaptığınız protokollerin genel güvenliğini, Phalcon platformumuz gibi bazı platformlar aracılığıyla izleyebilirsiniz. Daha küçük sermayeye sahip kullanıcılar için, zincir üstü işlemler yaparken korunmaları gereken en büyük riskin kimlik avı olduğunu düşünüyorum. Sonuçta protokolün saldırıya uğrama olasılığı nispeten düşüktür, ancak zincir üzerinde kimlik avı ve yetkilendirme gibi riskler, sıradan kullanıcıların zincir üzerinde olduğu her an mümkündür.

Bu risklere karşı korunmak için çok açgözlü olmamalısınız, çünkü gökten pasta yağmaz. Etkileşime girdiğinizde bunun resmi bir web sitesi olduğundan ve taklit bir web sitesi olmadığından emin olmaya çalışın. Resmi bir web sitesi olduğunun nasıl teyit edileceği konusuna gelince, yine de belirli bilgi toplama ve düzenleme yetenekleri gerektirebilir. Elbette, kimlik avı sitelerini tespit etmek için bazı güvenlik araçlarını da kullanabilirsiniz. Bu şekilde bazı risklerin önüne geçilebilir.

Alex: Bir olay fark ettim. Binance, birkaç gün önce sağlayabildikleri operasyonların standartlara uygun olmadığını belirterek birçok projenin token'larını kaldırmış, bu nedenle de bunları kapatmıştı. Daha sonra proje ekibi, çeşitli sorunlar nedeniyle projenin bundan sonra işletilemeyeceğini ve yarı metruk bir durumda kalacağını bildirdi.

Daha sonra bu kullanıcının bir veya iki yıl önce DeFi protokolünü kullanmış olabileceğini varsayalım. Şu anda bu protokolden sorumlu kimse yok ve kodun yükseltme yetkisinin kimde olduğunu da kimse bilmiyor. Böyle özel bir durumda, yükseltme izinleri düzgün yönetilmediği için, hacker'ların veya art niyetli kişilerin eline geçebilir. Önceki yetkilendirmeniz iptal edilmezse, cüzdanınızdaki para bu sonraki etkilerden dolayı tehdit altına girecektir.

Zhou Yajin: Evet, bu da mümkün. Özellikle az önce dediğiniz gibi, bir kullanıcı fonlarını bazı protokollere yetkilendiriyorsa ve bu protokoller ve akıllı sözleşmeler artık sürdürülemiyorsa, yetkilendirme iptal edilmezse aslında güvenlik riskleri olabilir. Bu sorunun çözümü, sıradan kullanıcıların yetkilerini düzenli olarak gözden geçirmelerini her zaman tavsiye etmemizdir. Kullanmadığınız yetkileri iptal edebilirsiniz.

Birçok kullanıcı hangi projeleri yetkilendirdiklerini bilmiyor olabilir. Yetkilendirme Tanılama Aracı adında bir araç geliştirdik. Bir adres giriyorsunuz ve biz size bu adresin hangi protokoller için yetkilendirildiğini söyleyebiliyoruz. Birçok kullanıcının aslında onlarca protokolü yetkilendirdiğini, ancak bunların çoğunun artık aktif olmadığını tespit ettik. Bu etkin olmayan ve güvenlik yükseltmesi yapılmamış protokollerde güvenlik açıkları olabilir. Yetkilendirdiğiniz protokoldeki bir güvenlik açığı olduğu sürece başkaları sizin paranızı sizin adınıza transfer edebilir ki bu da aslında çok büyük bir risktir.

Alex: Anlıyorum. Etkileşimin güvenliği konusunda bir sorum daha var. Geçmişte saldırıya uğramış bazı DeFi protokolleri veya diğer protokoller olsun, DEX'teki hırsızlık ve saldırı sayısının, borç verme veya staking'deki kadar fazla olmadığını tespit ettik. Bunun bu iki protokol türünün akıllı sözleşme türleriyle bir ilgisi var mı? Yoksa başka bir sebep mi var?

Zhou Yajin: Kesinlikle haklısın. Nispeten konuşursak, DEX'in güvenlik riski diğer borç verme, getiri çiftçiliği ve bazı finansal türev protokollerine göre daha düşüktür. Öncelikle DEX'in genel protokolü nispeten basittir ve zincir üzerindeki DEX protokolü xy=k gibi sabit bir çarpımdır. Elbette Uniswap V3 biraz farklı, ancak temel çekirdeği sabit ürün formülüdür. Öncelikle protokolü basit, ikincisi ise Uniswap gibi çok iyi bir referans örneği mevcut. Birçok DEX Uniswap'tan türemiştir, bu nedenle zincire bir DEX yerleştirmek için yalnızca birkaç basit değişiklik yapmanız gerekir. Genel güvenlik riski pozisyonu daha düşük olacaktır.

Ancak, borç verme, getiri çiftçiliği veya diğer kaldıraçlı borç verme işlemleri ve daha karmaşık işlevlere sahip bazı protokoller için, protokolün tasarımı nispeten karmaşıktır. Mesela bir kredi platformu kurarsak prensip olarak şöyle bir şey olur; A varlığını koyarım, B varlığını veririm. Varlığın tamamının sağlığını kontrol ettiğim sürece her şey yolunda gider. Ancak örneğin teminat olarak desteklemek istediğiniz varlık türleri, varlıkların fiyat dalgalanmaları ve kaldıraç desteği sağlamak istiyorsanız, kullanıcılar size geri ödeme yapsa bile genel sağlığın her zaman korunduğundan nasıl emin olabilirsiniz? Protokolün karmaşıklığı nispeten yüksektir, dolayısıyla bu protokollerin saldırıya uğrama olasılığı daha yüksektir. Bence birinci sebep budur.

İkinci neden ise DEX'in kendisinin para saklamamasıdır. Tabi ki DEX'teki para likidite sağlayıcıları tarafından sağlanıyor, yani sizin likidite sağladığınız para DEX'e yerleştiriliyor. Eğer gerçekten DEX kullanıyorsanız, sadece takas yapmanız, token A'yı koymanız ve token B'nin hemen geri gelmesi yeterli olacaktır, dolayısıyla varlıklarınız DEX Havuzunda olmayacaktır. DEX'in havuzu saldırıya uğrasa bile kullanıcıların çoğu para kaybetmeyecek, ancak likidite sağlayanlar zarar görecek. Ancak kredi platformunda ve diğer platformlarda durum farklı. Varlıklarınız aslında oraya yerleştirilmiş ve aşırı teminatınız var. Eğer daha karmaşık protokolleriniz varsa, çok sayıda kullanıcı varlığı bunlarda tutulacaktır. Saldırı sonrasında zarar gören kullanıcı grubu nispeten büyük olacaktır. İkinci sebebin bu olduğunu düşünüyorum.

Daha sonra DEX'in geçmişte saldırıya uğradığını da bulduk. Saldırıya uğramasının nedenleri ise oldukça basit. Öncelikle DEX'in risk maruziyeti aslında yetkilendirmede yatmaktadır. Swap yapmak istediğinizde kendi tokenlarınızı DEX yönlendirme sözleşmesine yetkilendirmeniz gerekmektedir. Yönlendirme sözleşmesi para saklamasa da, yönlendirme sözleşmesinde bazı keyfi yürütme açıkları varsa, DEX yetkisi olan tüm kullanıcıların fonlarının alınması mümkündür. En büyük kayıplara yol açan DEX açıklarının çoğunlukla bu türde olduğunu tespit ettik, ancak bu türün tespiti nispeten kolaydır. Denetçinin nispeten nitelikli olması durumunda, tespiti aslında oldukça kolaydır.

Alex: Az önce bahsettiğiniz yetkilendirme açığı durumunda, bir denetim şirketi DEX'in bu tür keyfi yürütme izinlerine sahip olduğunu tespit ederse, genellikle bunun mantıksız olduğunu bildirir veya raporu açıkladığında herkese bunu hatırlatır mı?

Zhou Yajin: Evet, bu bir boşluk olmalı ve mantıksız olmalı. Bir güvenlik şirketi bunu denetleyecek olsa, bunu düzeltmek zorunda kalırdı çünkü bu çok kritik bir güvenlik açığıdır.

Blockchain güvenlik sektörünün mevcut durumu ve potansiyeli

Alex: Tamam, güvenlik saldırısı ve savunması hakkında çok konuştuk, ayrıca kişisel varlıkların güvenliğinin nasıl korunacağına dair bazı özel konulardan da bahsettik. Bugünkü son sorumuz olan blockchain güvenlik sektöründeki durum hakkında konuşalım.

Söylediğiniz gibi, 21 ve 22'de, çok sayıda DeFi nedeniyle, blockchain güvenlik sektörünün çok sayıda müşterisi var. Peki bu yıl itibarıyla güvenlik sektörünün mevcut ölçeği nedir? Gelişim durumu ve karlılık düzeyi nedir?

Zhou Yajin: Bu çok iyi bir soru, çünkü biz blockchain güvenlik sektöründeyiz, şirketin daha iyi gelişmesi için sektörün mevcut aşamasını ve tavanın nerede olduğunu her zaman bilmelisiniz. Şu anda, blockchain güvenlik sektörünün tamamının piyasa değeri hakkında bilinen bir veri bulunmuyor. Ancak internette bazı raporlar var veya kendi tahminlerine göre, blockchain güvenliğinin genel endüstri ölçeğinin yıllık yaklaşık 3 milyar ABD doları olduğunu düşünüyorlar. Bu ölçek aslında geleneksel siber güvenlik sektörüyle kıyaslandığında oldukça küçüktür. Örneğin 2024 yılında geleneksel siber güvenliğin ölçeğinin 100 milyar dolar civarında olması bekleniyor. Aslında 1.000 dolar ile 3 milyar dolar arasında büyük bir uçurum var.

Bunun tüm endüstrinin mevcut gelişim durumuyla ilgili olduğunu düşünüyorum, çünkü blockchain güvenliği esasen blockchain endüstrisine hizmet eden güvenli bir ürün ve hizmettir. Blockchain sektörü bir bütün olarak aslında hala erken aşamalarda. Örneğin, nispeten iyi bir gelişme dönemi, bazı yeni yeniliklerin geldiği Defi Yazı sırasında yaşandı.

Geçtiğimiz bir veya iki yılda, Defi Yazı'ndaki finansal yenilik çılgınlığından sonra, özellikle iyi ve daha yenilikçi bir şey ortaya çıkmamış gibi görünüyor ve bunun sonucunda tüm blockchain sektörünün ölçeği aslında 2022'de en yüksek TVL'sine ulaşacak. O dönemde tüm blockchain güvenliğinin en yüksek TVL seviyesinin 177 Milyar olması gerektiğini hatırlıyorum, bu da 100 milyar ABD dolarından fazla. Ama bugün bu programa katılmadan önce verilere bir göz attım. Şu anki TVL 99 Milyar, yani zirvenin yarısından biraz fazlası. Sonuç olarak, blockchain sektörümüzün gelişimi bir darboğaza girmiş gibi görünüyor.

Ancak aynı zamanda bu sektörde yeni bir potansiyel de keşfettik; yani geleneksel finans kuruluşları yavaş yavaş bu sektöre giriyor. Geleneksel finans kuruluşlarının sektöre girdiğine dair bazı sinyaller var. Örneğin, geleneksel bankalar zincir üzerinde stablecoin ihraç ediyor ve bu da düzenlemelere uygun. Stripe gibi geleneksel ödeme sağlayıcıları Kripto ödemelerini destekliyor. Bazı sınır ötesi ödemeler, geleneksel sınır ötesi e-ticaretin karşılaştığı ödeme sorunlarını çözmek için Kripto para birimini kullanır.

Bu nedenle, 2021 ve 2022'deki DeFi Yazı gibi TVL'de yeni bir zirveye yol açan bir yenilik olmasa da, gerçek yaşam ihtiyaçları olan geleneksel finans kuruluşları ve tüccarların bu sektöre girdiğini ve girdikten sonra tüm sektöre uyumluluk getireceğini göreceğiz. Bir sektör büyümek istiyorsa, düzenleyici çerçeve ve sisteme uygun şekilde gelişmelidir. Bunun son bir iki yılda gördüğümüz bir fırsat olduğunu düşünüyorum. Yani genel olarak konuşursak, blockchain güvenliğinin genel endüstriyel ölçeği hala nispeten küçük ve henüz erken aşamalarında. Ancak geleneksel finans kurumlarının devreye girmesi ve giderek daha fazla denetim ve uyumluluğun sağlanmasıyla, bu alanda bir patlama potansiyelinin hâlâ nispeten büyük olduğunu düşünüyorum. Bu benim kendi gözlemim.

Önde gelen güvenlik şirketlerinin hendeği

Alex: Tamam. 2021 ve 2022 yıllarında özellikle akıllı sözleşme denetimi yapan blockchain güvenlik şirketlerinin çok karlı göründüğüne dair çok derin bir izlenimim var. Hatta bazı tanınmış güvenlik şirketleri bile, sıra beklemeden size izin verip daha hızlı bir denetim ayarlamanızı bir ayrıcalık olarak görebilir. Sizce önde gelen güvenlik şirketlerinin temel hendekleri nelerdir?

Zhou Yajin: Birkaç nokta olabileceğini düşünüyorum. Birinci nokta marka ve güvenle ilgili. Özellikle güvenlik denetimi, aslında çok güçlü bir marka bilinirliği gerektiren bir hizmettir. Az önce piyasanın daha iyi olduğu dönemlerde denetimin çok popüler olduğunu ve beklemenin uzun zaman alabileceğinden bahsettiniz. Aslında bu durum günümüzün önde gelen güvenlik denetim şirketleri için hâlâ geçerlidir. Bir proje ekibi denetime geldiğinde insan kaynaklarının hemen hazır olması söz konusu değildir. Marka etkisi olan önde gelen güvenlik şirketleri hala talebi aşan bir arz durumundadır. O yüzden hendek marka ve güvendir diye düşünüyorum. Blockchain güvenlik sektöründe daha iyi bir marka imajının nasıl oluşturulacağı ve markanın arkasındaki güvenin, ister kullanıcılardan, ister proje taraflarından veya diğer katılımcılardan gelsin, nasıl sağlanacağı çok önemlidir.

İkinci nokta ise güvenli yenilikçi teknolojilere olan ihtiyaçtır. Blockchain güvenlik sorunlarını çözmenin ve güvenlik denetimleri yapmanın yanı sıra, gerçekten de desteklenmesi gereken başka çözümlerimiz yok mu? Güvenlik denetimi, yalnızca projenin akıllı sözleşmesinin zincire dağıtılmasından önce bir güvenlik incelemesi yürütme sorununu çözebilir. Ancak proje fiilen başlatıldıktan sonra proje tarafı parametreleri değiştirebilir ve günlük bazı yapılandırmalar yapabilir. Günlük yükseltmeler kuyruk veya maliyet kaygıları nedeniyle denetlenmemektedir. Yani akıllı sözleşmenin devreye alınmasından sonra çeşitli sebeplerden dolayı birçok güvenlik sorunu ortaya çıkmaktadır. Bu tür sorunların çözümünde yalnızca güvenlik denetimlerine güvenemeyiz. Bu tür sorunları çözebilmek için bazı yenilikçi güvenlik teknolojilerine ve ürünlerine ihtiyacımız var. BlockSec ile diğer blockchain güvenlik çalışmaları arasındaki en büyük farkın da bu olduğunu düşünüyorum. Akıllı sözleşme güvenliği için protokolün çevrimiçi hale getirilmesinden önce sunduğumuz güvenlik denetim hizmetlerinin yanı sıra, akıllı sözleşmenin çevrimiçi hale getirilmesinden sonra da saldırıların izlenmesini ve engellenmesini sağlayabilen bir platformumuz bulunuyor. Ayrıca, akıllı denetim ve saldırı izleme özelliklerine sahip, akıllı sözleşmelerin tüm yaşam döngüsünü kapsayabilen dünyadaki tek blockchain güvenlik şirketidir. Bu çok önemli. Bu pazardaki kullanıcıların sorunlarını gerçek anlamda çözebilmelerine yardımcı olabilecek, güvenli ve yenilikçi teknolojilere ve ürünlere sahip olmalısınız.

Üçüncü nokta ise uyum, düzenleme ve jeopolitik etki. Kripto endüstrisinin büyük ölçekli geliştirme fırsatlarına sahip olabilmesi için nihayetinde uyumlu olması ve düzenlenmesi gerekecektir. Herkes bu görüşe katılmıyor, ancak biz bu sektörde uzun yıllardır faaliyet gösteriyoruz ve bu sektörün gelişebilmesi için güneşin altında olması ve geleneksel eski parayı bu sektöre çekebilmek için bir uyumluluk ve düzenleme sisteminin olması gerektiğini görebiliyoruz. Bu durumda, uyumlu ve mevzuata uygun ürün ve hizmetleri önceden hazırlayın. Uyumluluk ve düzenleyici ürün hizmetleri, sektörün düzenleyici politikaları ve uyumluluk gereklilikleri hakkında nispeten derin bir anlayışa sahip olmanızı ve ardından bunları ürünlere dönüştürebilmenizi gerektirir. Bir diğer sözde jeopolitik etki ise bazı bölgelerin tedarikçi seçerken aslında bazı jeopolitik hususları göz önünde bulundurmasıdır. Örneğin Hong Kong'daki düzenleyiciler ABD dışındaki tedarikçilerin ürünlerini tercih edebilir. Dolayısıyla düzenleyici politika uyumluluğu konusunda derin bir anlayışa sahip olduğunuzda, daha iyi ürünlere sahip olduğunuzda ve ayrıca bir miktar jeopolitik etkiye sahip olabildiğinizde, bunun bir blockchain güvenlik şirketinin hendeği olduğunu düşünüyorum.

Alex: Anlıyorum. Bugün şifreleme güvenliğini birçok açıdan ele alıyoruz; belirli bir güvenlik olayından, herkesin dikkat etmesi gereken bazı güvenlik prensiplerine ve tüm sektörün gelişim ölçeğine kadar. Bugün programımıza gelip bu görüşleri bizimle paylaştığınız için çok teşekkür ederim Zhou Yajin. Umarım gelecekte daha ilgili konuları konuşma fırsatımız olur.

Zhou Yajin: Teşekkür ederim, Alex.

Orijinal bağlantı

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia