Bybit saldırısı sonrası merkezi borsalar yeniden tartışma konusu oldu

Bir kez daha büyük bir merkezi kripto para borsası(CEX) siber saldırıya uğradı. Bu olay, insanlık tarihindeki en büyük hack girişimlerinden biri olarak değerlendiriliyor. Her ne kadar kripto para piyasasının tamamen çökmesi gibi felaket senaryoları gerçekleşmemiş olsa da, sektör bu sarsıntının etkisinden hâlâ kurtulabilmiş değil. Olay, merkezi borsaların kripto para ekosisteminde ne kadar ‘kritik altyapı’ olarak görülse de mutlak güvenlik sağlayamayacağını bir kez daha gözler önüne serdi.

Merkezi borsalar kullanıcı varlıklarını açıkça saklayıp yönetme özgürlüğüne sahip. Ancak bu yapı, beraberinde ‘hack’, ‘fonların dondurulması’ ve ‘iflas’ gibi son derece ciddi riskleri getiriyor. Kullanıcı bir varlığı merkezi borsaya yatırdığı anda, özel cüzdanının ‘anahtarını’ da fiilen devretmiş oluyor. Öte yandan, yeni nesil teknolojilerle geliştirilen ‘saklama hizmeti verilmeyen’ (no-custodial) cüzdanlar, kullanıcıların bu anahtarı kendi kontrolünde tutmasını sağlayarak güvenli varlık yönetimi yapmasına imkan tanıyor.

Yakın dönemde yaşanan ve yaklaşık 1,5 milyar dolarlık zararla sonuçlanan Bybit saldırısı, merkezi borsa yapısının sistemsel zafiyetini yeniden hatırlattı. Şans eseri, borsadaki varlıkların bire bir oranla hazırda bulunması sayesinde daha büyük bir kriz önlendi. Ancak, eğer likidite sıkıntısı yaşansaydı, bu olay da tıpkı 2022’deki FTX iflasında olduğu gibi bir ‘bank run’ (toplu çekim) panik havasına dönüşebilirdi. 2012'den bu yana yaşanan 118 büyük CEX saldırısında toplamda 11 milyar doların üzerinde kayıp verilmiş olması, bu sorunların istisna olmadığını açık şekilde ortaya koyuyor.

Bu sorunların temelinde merkezi borsaların varlıkları birkaç cüzdanda toplaması yatıyor. Bu, siber saldırılarda kayıpların devasa boyutlara ulaşmasına neden oluyor. Multisig (çoklu imza) sistemleri ve soğuk cüzdan uygulamaları, dış sistemlere olan bağımlılıkları nedeniyle tek başına yeterli güvenlik sağlayamıyor. Nitekim Bybit örneğinde olduğu gibi, işlemler için kullanılan imza birleştirme sisteminin zaafları büyük bir risk doğurabiliyor.

Merkezi borsaların tek tehdidi siber saldırılarla sınırlı değil. Yasal müdahalelerle varlıkların dondurulması, çekimlere kısıtlama getirilmesi ya da kötü yönetim gibi nedenlerle kullanıcıların zarar görme ihtimali her zaman mevcut. Kullanıcılar, varlıklarının kontrolünü borsaya verdiği sürece, bu gibi olaylar karşısında hiçbir savunma şansları kalmıyor. Bu yüzden güvenliğin ilk adımı, sorumluluğu bireysel olarak üstlenmek ve kendi cüzdanını doğrudan yönetmekten geçiyor.

Saklama hizmeti sunmayan cüzdanlar, özel anahtarları kullanıcı cihazında şifreli biçimde tutar ve herhangi bir dış sistemin kontrolüne bırakmaz. Bu özgürlükle birlikte güçlü bir sorumluluk da kullanıcıya geçer. Ayrıca, merkeziyetsiz finans (DeFi) protokollerinin de son dönemde hackerların yoğun hedefi haline gelmesi, bu modellerin dikkatli kullanılmasını gerekli kılıyor.

İyi haber şu ki, cüzdan teknolojisi hızla gelişiyor. Gelişmiş şifreleme çözümleri ve çok taraflı hesaplama (MPC) yöntemi gibi güvenlik katmanları artık standart hale geliyor. MPC tabanlı cüzdanlar, özel anahtarları birden fazla cihaz arasında dağıtarak, tek bir cihaza erişim kaybedilse dahi tam kontrol zafiyeti oluşmasının önüne geçiyor. Ayrıca, işlem onayı için şifre girme, merkeziyetsiz uygulamalarla(DApp) bağlantı sırasında izin denetimi gibi özellikler sayesinde güvenlik önemli ölçüde artırılıyor.

Bazı cüzdanlar güvenliği bir adım öteye taşıyor. Kimlik avı saldırıları, sahte adresler ya da dolandırıcılık amaçlı sözleşmeleri otomatik olarak tanıyıp kullanıcıyı uyarabiliyor. Aynı şekilde, fazla ve gereksiz izin verilmiş uygulamaları kolaylıkla iptal edebileceğiniz yönetim araçları da sunuluyor. Üstelik birçok saklama hizmeti sunmayan cüzdan, düzenli olarak bağımsız güvenlik denetimlerinden geçiyor. NFT marketi ya da swap gibi diğer özelliklerle bütünleşik çalışan bu platformların kodları da inceleniyor. Bazı cüzdan sağlayıcıları, kullanıcı kayıplarını telafi etmek için koruma fonları dahi oluşturmuş durumda.

Sonuçta, “anahtar senin değilse, Bitcoin de senin değildir” sözü geçerliliğini hâlâ koruyor. Merkezi borsaların büyük miktarda varlık barındırıyor olması, siber saldırganlar için sürekli bir davet anlamına geliyor. Çözüm ise oldukça net: Daha fazla kullanıcı, kendi cüzdanlarıyla varlık kontrolünü ele almalı ve artık gelişmiş güvenlik teknolojileriyle donatılmış bu çözümlerden tam olarak faydalanmalı.