Ethereum(ETH) güncellemesinde güvenlik açığı: Fonlar çevrimdışı imzayla çalınabilir

Ethereum(ETH) ağında 7 Mayıs’ta (yerel saatle) 364032’nci epokta devreye giren son güncelleme ‘Pectra’, kullanıcı dostu akıllı hesap sistemi ve ağın *genişleyebilirliğini* artıracağı beklentisiyle dikkat çekmişti. Ancak güncellemenin ardından ortaya çıkan *ciddi güvenlik açığı*, kripto topluluğunda endişe yarattı. Özellikle yeni eklenen ‘SetCode işlemi’ özelliğinin kötü niyetli kişiler tarafından istismar edilmesi durumunda, sadece çevrimdışı bir imzayla bile dış sahipli hesaplardan (EOA) fon çalınabileceği uyarıları gündeme geldi.

Güncellemenin merkezinde yer alan EIP-7702 önerisi, kullanıcıların bir işlem imzası üretmeden cüzdan kontrolünü dış sözleşmelere devretmesini sağlıyor. Bu durum, kötü niyetli kişilerin sadece bir çevrimdışı imza toplayarak kurbanın cüzdan kodunu zararlı kodla değiştirmesine ve ardından fonları başka adreslere aktarmasına olanak tanıyor.

Solidity sözleşmeleri güvenliği konusunda uzmanlaşan Arda Usman, “Bir saldırgan yalnızca kullanıcıdan çevrimdışı bir imzalı mesaj elde ederek cüzdandaki varlıkları dışarı aktarabilir” diyerek tehlikenin boyutuna dikkat çekti. Bu da demek oluyor ki, herhangi bir zincir üstü işlem onayı gerekmeden Ether(ETH) ve ERC-20 token’lar başka hesaplara aktarılabiliyor.

Sorunun kaynak noktası ise 0x04 tipi işlemlerde yatıyor. Bu işlem türü, bir cüzdanın kodunu tamamen değiştirme yetkisi sağlıyor. Uzmanlara göre bu özellik kullanıcıya daha fazla işlevsellik sunsa da, aynı zamanda saldırganlar için *tehlikeli bir saldırı yüzeyi* oluşturuyor. Bir kez cüzdan kodu değiştirildiğinde, saldırganlar istedikleri gibi fon taşıyabiliyor.

Yaşanan bu gelişmeler, Ethereum ekosisteminde ‘akıllı hesaplarla kullanıcı deneyimini iyileştirme’ hedefinin, güvenlik temellerini riske atabileceğini gösterdi. Kripto sektöründe hızla yankı bulan bu açık sonrasında, Ethereum Vakfı ve geliştirici topluluğu üzerindeki *ek güvenlik yönergeleri* oluşturma baskısı giderek artıyor.