Veda CEO'sundan uyarı: Kasalarda asıl tehdit anahtar yönetimi

Zincir üstü (on-chain) kasalarda asıl riskin akıllı sözleşme hatalarından çok anahtar yönetimi ve operasyonel güvenlikte olduğu yönünde sektörden yeni bir değerlendirme geldi. Kullanıcı varlıkları otomatik DeFi stratejilerine aktarılırken sadece kodun değil, yetkilendirme, imza ve para çekme kontrollerinin de dikkatle izlenmesi gerektiği vurgulanıyor.

CryptoBriefing'e göre, 10'unda (yerel saatle), Veda(Veda) kurucu ortağı ve CEO'su Sun Raghupathi(Sun Raghupathi), zincir üstü kasalarda 'gerçek tehdidin akıllı sözleşme hataları değil, anahtar yönetimi' olduğunu söyledi. Veda, borsaların ve uygulamaların DeFi getiri stratejileri sunabilmesi için kasa altyapısı sağlayan bir şirket.

Zincir üstü kasalar, kullanıcıların yatırdığı varlıkları akıllı sözleşme tabanlı stratejilere dağıtan bir yapı. Kullanıcı tarafında basit bir yatırma ekranı gibi görünse de arka planda strateji yürütme yetkisi, varlık transferi ve para çekme onay süreçleri iç içe işliyor.

Anahtar yönetimi, yönetici yetkileri ve işlem imzaları için gereken şifreleme anahtarlarının üretilmesi, saklanması ve kullanılması sürecini kapsıyor. Bir anahtar çalınırsa ya da yetkilendirme yanlış kurulursa, akıllı sözleşme kodunda hiçbir kusur olmasa bile izinsiz varlık hareketleri yaşanabiliyor.

Veda, resmi güvenlik dokümanında 'güvenlik otomasyonu', 'gelişmiş anahtar yönetimi' ve 'tüm yaşam döngüsü izleme'yi kasa güvenliğinin temel unsurları olarak sıraladı. Şirket, yönetici anahtarlarının kriptografik olarak korunan cihazlarda saklandığını açıkladı.

Akıllı sözleşmenin saldırı yüzeyini küçültecek bir tasarım da uygulanmış durumda. Kasanın dışarıya açtığı fonksiyonlar en aza indirilirken, yalnızca önceden onaylanmış işlemler Merkle doğrulamasından geçirilerek çalıştırılıyor; gecikmeli para çekme, zincir üstü izleme ve dış denetimler kontrol mekanizması olarak kullanılıyor.

Merkle doğrulaması, bir işlem talebinin önceden onaylanmış listede yer alıp almadığını kriptografik olarak teyit eden yöntem. Gecikmeli para çekme ise talep ile fiilen varlık transferi arasına zaman koyarak olağandışı hareketlerin tespit edilmesine ya da müdahale edilmesine alan tanıyor.

Veda, 2024 yılında kurulduğundan bu yana 200'den fazla kasada 32 milyar dolar üzerinde işlem hacmi gerçekleştirdiğini ve aktif kullanıcı sayısının 300 bini aştığını açıkladı. Zincir üstü entegrasyon sayısı ise 100'ün üzerinde.

Veda'nın 10 Haziran'da yayımladığı verilere göre, Kraken(Kraken) DeFi Earn Vault'taki mevduatlar 400 milyon dolara, kullanıcı sayısı ise 65 bini aştı. Daha sonra Veda'nın resmi LinkedIn(LinkedIn) hesabında mevduatların 600 milyon dolara, kullanıcı sayısının ise 80 binin üzerine çıktığı paylaşıldı.

Kraken DeFi Earn'deki her kasa bağımsız bir risk yöneticisi tarafından işletiliyor ve Kraken kasa mevduatlarını kontrol etmiyor. Gömülü cüzdanlar (embedded wallets) da kullanıcı kontrolünde. Hizmet arayüzü ile fiili varlık yönetimini üstlenen taraf birbirinden ayrı olduğundan, kullanıcıların her tarafın yetki sınırını ayrı ayrı değerlendirmesi gerekiyor.

Uzman risk yöneticilerinin kasaların teminat ve maruziyet limitlerini belirlediği yapı DeFi piyasasında yaygınlaşıyor. TokenPost daha önce Ethereum(ETH) ve Base ağlarındaki küratörlü kasalarda uzman risk yöneticilerinin yönettiği fonların yoğunlaştığını aktarmıştı.

Ancak anahtar yönetiminin öneminin artması, akıllı sözleşme riskinin ortadan kalktığı anlamına gelmiyor. Kraken, DeFi Earn'ün riskleri arasında akıllı sözleşme açıklarını, kötü alacakları ve likidite yetersizliğini de birlikte duyuruyor.

Kraken'in Bitcoin(BTC) kasası da getiri oranının değişebildiği ve zarar oluşabilecek bir ürün. Operasyonel güvenlik güçlendirilse bile bu durum, alttaki protokolün açıklarını ya da piyasa likiditesindeki bozulmayı tamamen ortadan kaldırmıyor.

OpenZeppelin(OpenZeppelin), 11 Mart'ta yayımladığı raporda son iki yılda yaşanan kripto para kayıplarının büyük bölümünün akıllı sözleşme hatalarından çok kimlik avı (phishing) ve zayıf anahtar yönetimi gibi zincir dışı saldırılardan kaynaklandığını belirtti. Blockaid(Blockaid) de 17 Haziran'daki analizinde 2025 ve 2026 başında yaşanan DeFi kayıplarının büyük kısmının hasar görmüş cüzdan altyapısı ve özel anahtarlardan (private key) kaynaklandığını açıkladı.

Zincir üstü kasa kullanıcılarının getiri oranının yanı sıra fiili varlık yönetimini kimin üstlendiğini, yönetici anahtarlarının nasıl saklandığını, para çekmede gecikme mekanizması olup olmadığını ve olağandışı işlemlerin nasıl izlendiğini kontrol etmesi gerekiyor. Kod denetimi ile operasyonel güvenlik, birinin diğerinin yerini aldığı değil, birlikte işlemesi gereken iki kontrol katmanı.

Doğrulama kaynakları: CryptoBriefing, Veda güvenlik yazısı, Veda dokümantasyonu, Veda Hakkında, Kraken SSS, OpenZeppelin, Blockaid