Kelp DAO rsETH saldırısı: Ripple(XRP) CTO’su Schwartz, DeFi köprü güvenliğini hedef aldı

DeFi köprü ‘brigde’ güvenliği yeniden tartışma konusu oldu. Ripple(XRP) baş teknoloji sorumlusu (CTO) onursal unvanına sahip olan David Schwartz(David Schwartz), Kelp DAO’nun rsETH köprüsüne yönelik son saldırı hakkında konuşarak, “En kritik güvenlik özelliklerini fiilen devre dışı bırakmaya teşvik eden ‘alışkanlıkların’ bu tür krizleri büyüttüğünü” söyledi.

13’ünde (yerel saatle), Cointelegraph’e göre Schwartz, RLUSD entegrasyonunu değerlendirirken birçok köprü sisteminin tasarımını inceledi. Schwartz’a göre bu sistemlerin önemli bir kısmı güçlü güvenlik mekanizmalarına sahip olmasına rağmen, ‘kullanım kolaylığı’ gerekçesiyle bu güvenlik katmanlarının devreye alınması müşterilere önerilmiyor. Schwartz, “Çoğu müşterinin, karmaşıklık nedeniyle kilit güvenlik mekanizmasını kullanmayacağı” varsayımıyla yapılan satış ve entegrasyon süreçlerinin tekrarlandığını vurguladı.

Kelp DAO cephesinde zararın boyutu oldukça büyük. Proje ekibi, 19 Nisan’da (yerel saatle) rsETH ile ilişkili şüpheli cross-chain hareketleri tespit ettikten sonra, ana ağ ile çeşitli Layer 2 ağlarındaki ilgili akıllı sözleşmeleri duraklattı. Zincir üstü veri analizi yapan D2Finance’e göre, LayerZero ile ilişkili sözleşme çağrıları üzerinden yaklaşık 116.500 adet rsETH sistemden çekildi. Mevcut piyasa fiyatlarıyla hesaplandığında toplam kayıp yaklaşık 292 milyon dolar seviyesinde.

Olayın merkezinde ise ‘köprü’ altyapısının yapısal zafiyetleri bulunuyor. Farklı blokzincirleri birbirine bağlayan bu köprüler, tasarım olarak ne kadar basit ve ‘kullanıcı dostu’ hale getirilirse, saldırı yüzeyleri de o kadar genişleyebiliyor. D2Finance, kaynak zincirdeki özel anahtar ‘private key’ sızıntısının güven zincirini bozduğunu ve saldırganların bu sayede köprü mekanizmasını manipüle etmiş olabileceğini belirtiyor.

Schwartz, Kelp DAO’nun pratiklik uğruna LayerZero’nun bazı kritik güvenlik özelliklerinden feragat etmiş olabileceğine dikkat çekiyor. LayerZero, dağıtık doğrulayıcı ağı gibi güçlü güvenlik seçenekleri sunuyor. Ancak ‘kelime’minimum yapılandırma‘kelime’ ile yalnızca tek bir doğrulayıcıya dayalı bir kurulum tercih edildiğinde, sistem doğal olarak çok daha kırılgan hale geliyor. ‘yorum: Schwartz’ın ima ettiği, pek çok protokolün “hızlı entegrasyon” ve düşük operasyonel yük için kasıtlı olarak daha zayıf güvenlik profili seçtiği yönünde.’

Bu son saldırı, DeFi ekosisteminde ‘genişleme yarışı’nın güvenlik gerekliliklerinin önüne geçtiğinde ortaya çıkabilecek tabloyu net biçimde gösteriyor. Birçok protokol yeni chain’lere hızla açılmak, likiditeyi büyütmek ve kullanıcı deneyimini basitleştirmek için acele ederken, ‘kelime’güvenlik önlemleri‘kelime’ çoğu kez ikinci plana itiliyor. Ancak köprüler, karmaşık ve çok taraflı yapıları nedeniyle zaten sistemin en hassas halkalarından biri.

Köprü pazarının büyümesiyle birlikte, ‘kelime’kullanım kolaylığı‘kelime’ ve ‘kelime’üst düzey güvenlik‘kelime’ arasında sağlıklı bir denge kurma gerekliliği daha da öne çıkıyor. Uzmanlar, çoklu doğrulayıcı yapıları, bağımsız oracle’lar, donanım güvenlik modülleri ve katmanlı izleme gibi araçların aktif biçimde kullanılması gerektiğini hatırlatıyor. Aksi halde, ‘en zayıf halka’ olan köprüler DeFi’de milyarlarca dolarlık yeni kayıpların ana hedefi olmaya devam edecek.