DeFi’de ‘doğrulanmamış sözleşme’ krizi: 6 ayda 36,7 milyon dolar buharlaştı

Son 6 ayda ‘검증되지 않은 스마트 sözleşme’ kaynaklı DeFi saldırılarında en az 36,7 milyon dolar buharlaştı. Blockchain analiz şirketi 체이널리시스(Chainalysis), saldırganların özellikle ‘미검증 계약’ kullanan protokolleri hedef aldığını açıklarken, gizlenen kodların artık bir ‘güvenlik duvarı’ sayılamayacağını vurguladı.

체이널리시스 verilerine göre en büyük kayıp ‘트루비트(Truebit)’ protokolünde yaşandı. Ethereum(ETH) üzerinde 2021’den beri ‘검증되지 않은’ şekilde duran bir akıllı sözleşmedeki ‘tam sayı taşması(zero overflow)’ açığı istismar edildi ve yaklaşık 26,2 milyon dolar çalındı. Aynı dönemde ‘트러스티드 볼륨스(Trusted Volumes)’, ‘아페처 파이낸스(Aperture Finance)’, ‘에쿠보(Ekubo)’ gibi projeler de benzer zafiyetler üzerinden saldırıya uğradı.

체이널리시스, bu vakaların ortak noktasının ‘미검증 계약’ olduğunu belirtiyor. Sözleşme kaynak kodu blockchain gezginlerinde yayınlanmadığı için bağımsız güvenlik araştırmacılarının inceleme yapması zorlaştı ve bu sözleşmelerin önemli bir bölümü ‘bug bounty’ programlarının kapsamına bile girmedi. ‘Kullanıcı fonlarını yöneten ama dış denetime kapalı’ bu yapı, zamanla istismara açık bir ‘kör nokta’ya dönüştü.

Şirket ayrıca ‘디컴파일’ araçlarındaki gelişmeler ve ‘인공지능(AI)’ kullanımının saldırı maliyetini dramatik biçimde düşürdüğüne dikkat çekiyor. Önceden tek bir akıllı sözleşmenin tersine mühendisliği günler alırken, bugün yüzlerce ‘미검증 계약’ otomatik analizle taranabiliyor. 체이널리시스, DeFi ekosisteminde uzun süre geçerli sayılan ‘kodu saklarsan daha güvendesin’ anlayışının hızla çöktüğünü belirtiyor. ‘yorum: Artık asıl risk, kimsenin görmediği kod parçalarında birikiyor.’

Rapor, savunma tarafında üç başlık öne çıkarıyor: ‘소스코드 검증’, daha geniş kapsamlı ‘bug bounty’ programları ve zincir üzeri ‘실시간 izleme’ araçlarının yaygınlaştırılması. 체이널리시스’e göre DeFi güvenliğinin kalbinde artık ‘비공개’ değil, ‘검증 가능성’ bulunuyor. Yani kodu saklamak yerine açıklamak, olası açıkların daha erken tespit edilmesini sağlıyor ve temel savunma hattını güçlendiriyor.

Öte yandan bu tablo, genel kripto saldırı trendiyle de örtüşüyor. Bu yıl Nisan ayında kripto para odaklı siber saldırıların yol açtığı zarar 629,7 milyon dolara fırlayarak son 1 yılın aylık bazdaki en yüksek seviyesine çıktı. Mayıs’ta kayıp 68,3 milyon dolara gerilese de büyük ölçekli saldırıların yarattığı tedirginlik sürüyor. DeFi protokollerinde yaşanan peş peşe güvenlik olayları, sektöre yönelik temkinli yaklaşımı daha da güçlendirirken, ‘검증 edilmeyen sözleşme’ riski tartışmaların odağına yerleşmiş durumda.