Ethereum (ETH) cüzdan yetkileri için işlem ve süre sınırı taslağı yayımlandı

Ethereum (ETH) cüzdanlarında işlem yetkilerini kapsama ve süreye göre sınırlayıp yetkiyi veren tarafın iptal etmesine olanak tanıyan bir ERC taslağı geliştirici forumunda yayımlandı.

29'unda yayımlanan taslak, güvenli işlem doğrulama ve yetkilendirme (STVA) sürecinde geniş kapsamlı ve uzun süre geçerli izinlerin en az yetki ilkesiyle sınırlandırılmasını öneriyor. Taslağa göre geniş yetkiler, yüksek tutarlı varlık kayıplarına yol açabilecek bir risk oluşturuyor. Buradaki yetki tokenı, borsalarda alınıp satılan bir kripto varlık değil; belirli bir işleme izin veren imzalı bir belgedir.

Belgede yetkiyi kullanacak hesap ve hedef adres, azami transfer tutarı, izin verilen çağrı türleri ve yetkiler, başlangıç ve bitiş zamanları ile tekrar kullanımı önlemeye yarayan tanımlayıcılar yer alıyor. Hesap veya doğrulayıcı, imzayı ve geçerlilik süresini kontrol ederek işlemin belirtilen sınırlar içinde kalıp kalmadığını doğruluyor. Yetkiyi veren taraf, yetkiyi iptal listesine veya zincir üstü bir kayıt defterine ekleyerek geri alabiliyor. Kullanılmış yetkinin yeniden kullanılmasını önleme özelliği ise isteğe bağlı olarak sunuluyor.

İmza biçimi olarak EIP-712 yapılandırılmış veri nesnesi veya ERC-1271 uyumlu imza öneriliyor. Doğrulama için temel, standart ve sıkı olmak üzere üç seviye bulunuyor. Temel seviye sona erme zamanını ve yetki kapsamını kontrol ediyor; standart seviye buna bağımsız bir hash hesaplaması ekliyor. Sıkı seviyede simülasyon sonucu yetkiyle ilişkilendiriliyor ve donanım ekranında yetkinin kapsamının gösterilmesi isteniyor.

Bu taslak, 27'sinde yayımlanan önceki STVA taslağında ele alınan yetki tokenlarının biçimini ve doğrulama yöntemini ayrıntılandırıyor. Önceki taslak, insanların anlayabileceği işlem açıklamalarını, bağımsız simülasyonu ve kapsamı sınırlı yetkileri imzalama sürecinde bir araya getirmeyi öneriyordu. Teklif sahibi, 2025'te Bybit'in Safe çoklu imza cüzdanının ihlal edilmesini imzalama süreçlerindeki risklere örnek gösterdi.

Forumda, ön doğrulamanın bağımsız olup olmadığı tartışıldı. Katılımcılardan biri, işlem verilerini ve ekrandaki açıklamayı oluşturan sistemin simülasyonu da sağlaması halinde imzalanacak işlemin bağımsız biçimde doğrulanmasının zorlaşabileceğini belirtti. Teklif sahibi, üst doğrulama seviyesinde kullanıcı arayüzünden ayrı bir donanım, başka bir cihaz veya çevrimdışı araç kullanılarak ham işlem bilgilerinden hash'in yeniden hesaplanmasını öngören bir adım ekleyeceğini söyledi.

İmzalanan işlemin gerçek yürütme sonucunu garanti etmediği de gündeme geldi. İşlem yürütülmeden önce zincir durumu veya proxy sözleşmesinin uygulaması değişirse, aynı işlem verileri simülasyonda ve nihai sonuçta farklı sonuçlar doğurabilir. Teklif sahibi, simülasyonun dayandığı bloğun yanı sıra yürütme sırasında kesin olarak uygulanacak etkilerle varsayıma dayalı etkilerin ayrı gösterilmesi önerisini kabul etti. Yetki kapsamının biçimi, iptal listesinin nerede tutulacağı ve simülasyon sonucunun yetkiyle ne ölçüde ilişkilendirileceği taslağın tartışmaya açık konuları arasında yer alıyor. MetaMask de ajanlara yönelik cüzdanlarda işlem yetkilerini sınırlama ve yürütme öncesi kontrol özellikleri sunmuştu.