Zcash(ZEC), ‘sınırsız sahte basım’ açığıyla bir günde %45 çöktü: Gizlilik modeli altında arz güvenliği krizi

제트캐시(ZEC), ‘sınırsız sahte basım’ açığı sonrası bir günde %45 çöktü

제트캐şi(ZEC), ‘sınırsız sahte basım’ yapılmasına yol açabilecek bir güvenlik açığının açıklanmasının ardından bir gün içinde yaklaşık %45 değer kaybetti. *Gizlilik odaklı teknoloji* altyapısının tam merkezinde ortaya çıkan bu sorun, piyasada ciddi bir şok yarattı.

5’inde (yerel saatle) yayımlanan geliştirici raporuna göre, Zcash kurucusu Zooko Wilcox ve çekirdek araştırma ekibi, ‘Orchard’ gizli havuzunda kritik bir güvenlik açığı tespit etti ve acil bir yama sürecini tamamladığını duyurdu. Bu açık, bir saldırganın tespit edilmeden ‘sahte ZEC’ varlıklarını teorik olarak sınırsız şekilde üretebilmesine imkân tanıyordu.

Duyurunun ardından piyasa anında tepki verdi. Zcash fiyatı kısa süre içinde 600 dolar (yaklaşık 92 bin TL) seviyesinden 300 dolar (yaklaşık 46 bin TL) civarına inerek, saatler içinde neredeyse yarı yarıya geriledi.

Mayıs sonunda fark edilen ölümcül hata

Söz konusu güvenlik açığı, güvenlik araştırmacısı Taylor Hornby tarafından 29 Mayıs’ta Orchard devresini incelerken ortaya çıkarıldı. Hornby, Shielded Labs’in talebiyle protokol üzerinde ayrıntılı bir güvenlik denetimi yürütüyordu.

Bu süreçte özellikle Anthropic’in yapay zekâ modeli ‘Opus 4.8’ aktif biçimde kullanıldı. *Yapay zekâ destekli analiz* ile klasik güvenlik araştırma yöntemlerinin birleşmesi sayesinde, kritik hata yalnızca bir gün içinde ortaya çıkarıldı. Ardından bulgular Zcash Open Development Labs(ZODL) ekibine iletildi ve ekosistem genelinde başlatılan acil durum süreci sonucunda 2 Haziran’da yama tamamlandı.

‘Sınırsız basım’ ihtimali, arz güvenini hedef aldı

Sorunun merkezinde, ‘under-constrained’ olarak tanımlanan bir hata yer alıyor. Bu, belirli doğrulama adımlarının yeterince kısıtlanmaması nedeniyle, hatalı ya da manipüle edilmiş girdilerin sanki geçerliymiş gibi sistemden geçebilmesini sağlayan yapısal bir zafiyeti ifade ediyor.

Bu açıktan yararlanıldığında, eliptik eğri hesaplamaları sırasında sahte veriler sisteme sızdırılabiliyor ve buna rağmen işlem, ağ tarafından geçerli bir transfer gibi onaylanabiliyor. Yapılan testlerde, tespiti neredeyse imkânsız olan ‘sahte ZEC’lerin fiilen sınırsız şekilde üretilebildiği gösterildi.

Zcash, Bitcoin(BTC) gibi toplam arzı 21 milyon adetle sınırlandırılmış bir yapıya sahip. *Sabit arz* varsayımının fiilen bozulma ihtimali, varlığın uzun vadeli değerini ve onu destekleyen ekonomik modeli doğrudan tehdit ediyor.

Gizliliğin paradoksu: “İstismar edildi mi, asla bilemeyebiliriz”

Asıl sorunu büyüten unsur ise Zcash’in ‘gizlilik odaklı’ tasarımı. Orchard havuzu, gönderici, alıcı ve tutar bilgilerinin tamamını gizleyecek biçimde inşa edilmiş durumda.

Bu yapı sayesinde kullanıcı mahremiyeti güçlenirken, aynı zamanda açığın pratikte kullanılıp kullanılmadığını denetlemek de neredeyse imkânsız hâle geliyor. Araştırmacılar da bunu doğrulayarak, “İstismar olasılığının düşük olduğunu düşünüyoruz, ancak bunu *kanıtlayabilecek* bir yöntem de yok” ifadesini kullandı.

Söz konusu açık, Orchard’ın devreye girdiği 2022 Mayıs’ından bu yana, yaklaşık dört yıl boyunca sistemin içinde sessizce varlığını sürdürmüş olabilir.

Geliştiriciler: “İstismar düşük ihtimal” diyor, ancak güven sorunu sürüyor

Araştırma ekibi, açığın fiilen kullanılmış olma ihtimalini düşük gördüklerini belirtirken üç gerekçe öne çıkardı. Birincisi, yıllar boyunca çok sayıda güvenlik incelemesine rağmen bu hatanın kimse tarafından fark edilmemiş olması. İkincisi, şimdiki tespitin son derece odaklı ve derinlemesine bir çalışma sürecinin ürünü olması. Üçüncüsü ise açığın bulunmasının ardından yamanın oldukça hızlı biçimde uygulanması.

Buna rağmen ekip, kullanıcılardan ‘koşulsuz güven’ beklemediklerini özellikle vurguluyor. Zcash ekosisteminde güvenin yeniden tesis edilebilmesi için daha resmi, şeffaf ve ölçülebilir bir güven inşa sürecine ihtiyaç olduğu belirtiliyor. *yorum: Piyasada güven kaybının fiyat üzerindeki baskısının bir süre daha devam etmesi beklenebilir.*

Ağ yükseltmesi ve yeni arz denetimi modelleri masada

Shielded Labs ve geliştirici ekip, şu anda yeni bir gizli havuz tasarımıyla birlikte ‘turnstile accounting’ adı verilen muhasebe yöntemini değerlendiriyor. Bu yöntem, varlıkların eski havuzdan yeni havuza taşınması sırasında toplam arzı doğrulamaya dayanan bir mekanizma sunuyor.

Böyle bir yükseltme, Zcash ağında *arz doğrulaması* için ek bir güven katmanı sağlayabilir. Planlanan değişikliklerin, topluluk onayı ve geniş çaplı tartışmalar sonucunda hayata geçirilmesi bekleniyor.

Yapay zekâ güvenlik paradigmasını değiştiriyor

Olayın en dikkat çekici yönlerinden biri, yapay zekânın rolü oldu. Opus 4.8, tek başına açığı bulan taraf olmasa da uzman analizini destekleyerek, kritik hatanın keşif süresini ciddi ölçüde kısalttı.

Bu durum, özellikle kriptografi temelli sistemlerde *yapay zekâ tabanlı güvenlik araçlarının* merkezî bir rol üstlenebileceğine işaret ediyor. Küçük sayılabilecek bir mantık hatasının bile ağ genelinde yıkıcı sonuçlar doğurabildiği blokzincir yapısında, bu tür araçların önemi daha da artacak gibi görünüyor.

Sonuç olarak bu olay, Zcash(ZEC) için hem en büyük ‘gizlilik’ avantajının, hem de en büyük sistemik risklerden birinin yine aynı tasarımdan kaynaklandığını ortaya koydu. Piyasa kısa vadede sert bir şok yaşamış olsa da, *arz güvenliği* ve *şeffaflık artırıcı yükseltmeler* yoluyla güvenin yeniden inşa edilip edilemeyeceği, projenin geleceği açısından belirleyici olacak.