Blok Zinciri Teknolojisi ve Güvenin Dengesi: Sui Olayının Yarattığı Düşünceler

Giriş

Son zamanlarda gerçekleşen olaylar, sermaye gücünün zaferini simgeliyor ve bu, kullanıcı çıkarlarının yansıması değil. Bu durum, sektör gelişimi açısından bir gerileme olabilir.

Merkeziyetsizlik tehdit altına girdiğinde, Bitcoin'in felsefesi giderek daha fazla önem kazanmaktadır. Dünya sadece daha iyi bir küresel finansal altyapıya ihtiyaç duymuyor, aynı zamanda özgürlük peşinde koşan topluluklar için de bir alan ayırmalıdır.

Bir zamanlar, birleşik zincirler düzenleyici gereksinimleri karşıladığı için popüler oldu. Ancak, bu durumun azalması, sadece düzenlemeye uyum sağlamanın kullanıcıların gerçek ihtiyacı olmadığını gösteriyor. Eğer düzenlenmiş kullanıcı grubunu kaybedersek, düzenleyici araçların varlık nedeni ne olacaktır?

1. Olay Özeti

2025 yılının 22 Mayıs'ında, Sui blok zinciri ekosistemindeki en büyük merkeziyetsiz borsa bir siber saldırıya uğradı ve 2.2 milyar doların üzerinde kayba neden oldu, birçok işlem çiftinin fiyatı çöktü.

Olay Zaman Çizgisi:

• 22 May sabahı: Bir DEX'e siber saldırı gerçekleşti, 230 milyon dolar çalındı, borsa acil olarak sözleşmeleri askıya aldı ve bir duyuru yayınladı.
• 22 May öğleden sonra: Hırsız, yaklaşık 60 milyon doları çapraz zincirden çıkardı, geriye kalan 162 milyon dolar Sui zincirinde kalmaya devam ediyor.
• 22 May akşamı: Bir yönetici, fonların dondurulduğunu ve iade sürecinin başlayacağını doğruladı.
• 23 Mayıs: Borsa açıkları onarmaya ve sözleşmeleri güncellemeye başladı.
• 24 Mayıs: Açık blok zinciri PR'si, fon geri alımının takma ad mekanizması ve beyaz liste aracılığıyla gerçekleştirileceğini açıklıyor.
• 26 Mayıs: Zincir üzerindeki yönetim oylaması başlatıldı, protokol yükseltmesini uygulayıp uygulamamaya ve hacker varlıklarını saklama adresine aktarıp aktarmamaya dair öneri.
• 29 Mayıs: Oylama sonuçları açıklandı, 2/3'ten fazla doğrulayıcı düğüm ağırlığı destekledi.
• 30 Mayıs - Haziran başı: Protokol güncellemesi geçerli olacak, belirlenen işlem hash'i yürütülecek, hacker varlıkları transfer edilecek.

2. Saldırı Prensibi

Saldırganlar, büyük miktarda token ödünç almak için flaş kredi kullanarak işlem havuzunun fiyatını hızla düşürdü. Ardından, saldırganlar çok dar bir fiyat aralığında likidite pozisyonu oluşturarak hesaplama hatalarının gerekli token sayısı üzerindeki etkisini artırdı.

Saldırının temelinde, borsanın gerekli token miktarını hesaplamak için kullandığı fonksiyonun tam sayı taşma açığı bulunuyor. Saldırganlar büyük miktarda likidite eklediklerini iddia ediyorlar, ancak gerçekte sadece az miktarda token yatırıyorlar. Yanlış tespit koşulları nedeniyle sistem, gereken token miktarını küçümsüyor ve bu da saldırganların çok düşük maliyetle büyük miktarda likidite elde etmelerine olanak tanıyor.

Teknik açıdan, açıklar akıllı sözleşmede yanlış bir maske ve koşul kullanılması nedeniyle oluşmaktadır, bu da çoğu değerin tespiti atlatarak geçmesine neden olmaktadır. Soldan kaydırma işlemi sonrası yüksek bit verileri kesilir, sistem yalnızca çok az sayıda token alarak büyük bir likiditeye sahip olduğunu düşünmektedir.

Olaydan sonra resmi olarak iki aşamalı işlem uygulandı: "dondurma" ve "geri alma".

• Donma aşaması, reddetme listesi ve düğüm konsensüsü ile tamamlanır.
• Geri alma aşaması, zincir üzerindeki protokol güncellemesi, topluluk oylaması ve kara listeyi atlamak için belirli işlemlerin gerçekleştirilmesini gerektirir.

3. Donma Mekanizması

Bu halka açık blok zinciri, özel bir reddetme listesi mekanizması içerir ve hacker fonlarının dondurulmasını sağlar. Ayrıca, token standardı da "düzenlenen token" modelini içermekte olup, yerleşik dondurma işlevine sahiptir.

Bu acil dondurma, bu özelliği kullandı: doğrulayıcı düğümleri, yerel yapılandırma dosyalarına çalınan fonlarla ilgili adresleri hızlı bir şekilde eklediler. Teorik olarak her düğüm operatörü, yapılandırmayı değiştirip kara listeyi güncelleyebilir, ancak ağ tutarlılığını sağlamak için, vakıf başlangıç yapılandırmasının yayıncısı olarak merkezi bir koordinasyon gerçekleştirdi.

Mağdurları dondurulmuş fonlardan kurtarmak için, kamu blok zinciri ekibi beyaz liste mekanizması yamasını sundu. Bu, belirli işlemlerin önceden "denetimden muaf listeye" eklenmesine izin verir ve bu işlemlerin imza, izin, kara liste gibi tüm güvenlik kontrollerini atlamasına olanak tanır.

Dikkat edin, beyaz liste yaması doğrudan hacker varlıklarını transfer edemez; sadece belirli işlemlere dondurulmuş olanları aşma yetkisi verir, gerçek varlık transferi hala yasal imza veya ek sistem izin modülü gerektirir.

Buna karşılık, sektörün ana akım dondurma çözümleri genellikle token sözleşme katmanında gerçekleşir ve ihraççı tarafından çoklu imza ile kontrol edilir. Örneğin, bir stabilcoin üzerinden, sözleşme içinde kara liste fonksiyonu bulunmaktadır; ihraççı şirket, ihlalde bulunan adresleri dondurabilir. Bu tür bir çözüm, zincir üzerinde dondurma talebini başlatmak için çoklu imza gerektirir ve bu da uygulama gecikmesine neden olabilir.

Bu halka açık zincirin dondurulması, temel protokol seviyesinde, doğrulayıcı düğümlerinin kolektif işlemleri ile gerçekleşir ve yürütme hızı normal sözleşme çağrılarından çok daha fazladır. Bu modelde hızlı yürütmeyi sağlamak için, doğrulayıcı düğümlerinin yönetiminin yüksek derecede birleştirilmesi gerekmektedir.

4. "Transfer Tabanlı Geri Alım" Uygulama Prensibi

Daha da şaşırtıcı olanı, bu halka açık zincirin sadece hacker varlıklarını dondurmakla kalmayıp, aynı zamanda zincir üstü güncellemelerle çalınan fonları "geri transfer" etmeyi planlamasıdır.

27 May'da, mağdur borsa topluluk oylama önerisi sundu ve protokolün yükseltilmesini, dondurulan fonların çoklu imza cüzdanına gönderilmesini talep etti. Vakıf hemen zincir üzerindeki yönetim oylamasını başlattı.

29 Mayıs'ta, oylama sonuçları açıklandı, yaklaşık %90.9 ağırlığa sahip doğrulayıcılar bu öneriyi destekledi. Resmi olarak duyuruldu ki, öneri onaylandığında, tüm dondurulmuş fonlar, bir hacker imzasına gerek olmaksızın tek bir çoklu imza cüzdanına geri alınacaktır.

Resmi GitHub PR'inden anlaşıldığı üzere, protokol adres takma adı mekanizmasını tanıttı. Güncelleme içeriği arasında: protokol yapılandırmasında önceden takma ad kurallarının belirlenmesi, böylece bazı izin verilen işlemlerin yasal imzaları bir hacker hesabından geliyormuş gibi değerlendirebilmesi yer alıyor.

Özellikle, gerçekleştirilecek kurtarma işlemine ait hash listesinin hedef adresle (yani hacker adresi) bağlanmasıyla, bu sabit işlem özetlerini imzalayan ve yayımlayan herhangi bir uygulayıcı, geçerli bir hacker adresi sahibi olarak işlem başlatmış sayılır. Bu belirli işlemler için, doğrulayıcı düğüm sistemi reddetme listesi kontrolünü atlayacaktır.

Kod seviyesinden baktığımızda, işlem doğrulama mantığına yeni bir kontrol eklenmiştir: Bir işlem kara liste tarafından engellendiğinde, sistem imzacıları gözden geçirir ve takma ad kurallarını karşılayıp karşılamadığını kontrol eder. Eğer herhangi bir imzacı bu koşulu sağlıyorsa, bu işlem izin verilen olarak işaretlenir, önceki engelleme hatası göz ardı edilir ve normal şekilde paketlemeye devam edilir.

5. Görüş

5.1 Temel İnançların Zorluğu

Bu olay kısa sürede yatışabilir, ancak benimsenen model sektör üzerinde uzun vadeli bir etki yaratacak, çünkü bu, Blok Zinciri'nin değiştirilemez geleneksel mutabakatını altüst etti.

Blok zinciri tasarımında, sözleşme yani hukuk, kod yani yargıçtır. Ancak bu olayda, kod geçersiz hale geldi, yönetim müdahale etti, güç üstün geldi ve "oy verme davranışı kod sonuçlarını belirleme" modeli oluştu.

Bu kamu zincirinin doğrudan transfer işlemi, ana akım blok zincirlerinin hacker sorunlarını ele alma şekliyle büyük farklılıklar göstermektedir.

5.2 Tarihteki "Konsensüs Değişikliği"

Tarihsel olarak:

2016 yılında, ünlü bir olay, kayıpları telafi etmek için sert çatallanma ile transferleri geri almayı denemiştir, ancak bu, zincirin bölünmesine yol açmış ve süreç büyük tartışmalara neden olmuştur. Sonuçta, farklı grupların farklı konsensüs inançları oluşmuştur.

Bitcoin topluluğu da benzer teknik zorluklarla karşılaşmıştı: 2010'daki değer sızması hatası acil olarak düzeltildi ve konsensüs kuralları güncellendi, yaklaşık 18.4 milyar yasadışı olarak üretilen Bitcoin tamamen silindi.

Bunların hepsi, defteri sorun meydana gelmeden önceki duruma geri döndürmek için sert çatallama modeli kullanmaktadır; kullanıcı hangi defter sistemi altında devam edeceğine kendisi karar verebilir.

Buna karşılık, bu kamu zinciri dallanmayı seçmedi, bunun yerine protokol güncellemeleri ve yapılandırılmış takma adlar aracılığıyla bu olaya hassas bir şekilde yanıt verdi. Bu, zincirin sürekliliğini ve çoğu konsensüs kuralını değiştirmeden korudu, ancak aynı zamanda temel protokolün hedefli "kurtarma eylemleri" gerçekleştirmek için kullanılabileceğini de gösteriyor.

Sorun şu ki, tarihteki "hard fork" kullanıcıların inançlarını seçmelerine olanak tanıdı; fakat bu seferki "protokol düzeltmesi" zincirin kullanıcılar adına bir karar vermesidir.

Uzun vadede, bu "Anahtarlar sizde değilse, coinler de sizde değil" ilkesinin bu zincir üzerinde parçalandığı anlamına geliyor: Kullanıcıların özel anahtarları tam olsa bile, ağ kolektif protokol değişiklikleri ile varlık hareketini engelleyebilir ve varlıkları yeniden yönlendirebilir.

Eğer bu, gelecekte Blok Zinciri'nin büyük güvenlik olaylarına yanıt verme konusunda bir örnek olursa ve hatta tekrar takip edilebilecek bir gelenek olarak kabul edilirse, o zaman "bir zincir adalet için kuralları çiğneyebildiğinde, her türlü kuralı çiğneme konusunda da bir öncü olur." Bir kez "kamu yararına para toplama" başarılı olursa, bir sonraki sefer "ahlaki belirsizlik alanları" ile ilgili işlemler ortaya çıkabilir.

5.3 Potansiyel Etki

Geleneksel sistemde, yasa dışı gelirlerin korunmaması oldukça normaldir, dondurma ve transferler geleneksel bankaların rutin işlemleridir. Ancak teknik teoride bunun yapılamaması, tam olarak Blok Zinciri sektörünün gelişiminin kaynağı değil midir?

Sektörün uyum gereksinimlerinin sürekli artmasıyla birlikte, bugün hackerları etkisiz hale getirmek için hesap bakiyelerini dondurmak veya değiştirmek mümkünse, gelecekte coğrafi veya çatışma faktörleri nedeniyle keyfi değişiklikler yapmak mümkün mü? Eğer blok, bölgesel bir araç haline gelirse, sektörün değeri de büyük ölçüde sıkışacaktır; en iyi ihtimalle, daha kullanışsız bir finansal sistemin başka bir versiyonunu elde edeceğiz.

Bu da sektör felsefesine bağlı kalmanın sebebidir: "Blok Zinciri, dondurulamaz olduğu için değerli değildir, onu nefrete duysan da senin için değişmez."

5.4 Regülasyon ve Zincirin Ruhu

Sektör gelişimi açısından, düşünmemiz gerekenler şunlardır:

• "Verimli merkeziyetçilik" blok zincirinin gelişiminde kaçınılmaz bir aşama mı?
• Eğer merkeziyetsizliğin nihai hedefi kullanıcıların çıkarlarını korumaksa, merkeziyeti bir geçiş aracı olarak tolere edebilir miyiz?
• Zincir üzerinde yönetişim bağlamında, "demokrasi" aslında token ağırlıkları tarafından belirlenir. Eğer bir hacker büyük miktarda tokena sahip veya oy verme hakkını kontrol ediyorsa, kendisini "yasal olarak aklama" hakkına sahip olur mu?

Sonuç olarak, blok zincirinin değeri, dondurulup dondurulamayacağı değil, topluluğun dondurma yeteneğine sahip olduğu halde bunu tercih etmemesidir.

Bir zincirin geleceği, teknik mimarinin değil, onu korumayı seçtiği inanç sisteminin belirlediği bir şeydir.