DeFi fonlarınız admin key kadar güvende

"Anahtar senin değilse, coin senin değildir" cümlesini muhtemelen binlerce kez duymuşsunuzdur. Kriptonun altın kuralı budur. Ama çoğu yeni başlayanın tamamen gözden kaçırdığı ikinci ve daha sessiz bir kural daha var: Özel anahtarlarınızı bir donanım cüzdanda tutsanız bile, kullandığınız protokol merkezi bir admin key kullanıyorsa hala soyulabilirsiniz. 2019'da piyasaları takip etmeye başladığımdan beri bunun defalarca yaşandığını gördüm. Değiştirilemez bir kod parçasıyla etkileşim kurduğunuzu sanıyorsunuz ama aslında paranızı, ellerinde "tanrı modu" butonu olan bir grup geliştiriciye teslim ediyorsunuz. Bir projenin gerçekten merkeziyetsiz olup olmadığını anlamak için timelock yapısını nasıl kontrol edeceğinizi öğrenmek istiyorsanız, pazarlama sloganlarını bir kenara bırakıp kontrat mantığına bakmanız lazım.

Olay nedir?

Admin key, protokol geliştiricilerinin akıllı kontrat kurallarını değiştirmesine, fonları taşımasına veya kullanıcı onayı olmadan kodu güncellemesine izin veren özel bir anahtardır. Eğer bu anahtar çalınırsa veya geliştiriciler kötü niyetli davranmaya karar verirse, protokole bağlı tüm cüzdanları tek bir işlemle boşaltabilirler. Çözüm ise timelock yani zaman kilididir. Timelock, herhangi bir yönetici değişikliğinin yürürlüğe girmesinden önce bir gecikme süresi (genellikle 48 saat veya daha fazla) zorunlu kılar. Böylece şüpheli bir güncelleme gördüğünüzde fonlarınızı çekmek için zamanınız olur.

Sistem nasıl çalışıyor?

Kusursuz bir dünyada, bir akıllı kontrat yayına alınır ve ardından "feragat edilir" (renounced). Bu, geliştiricilerin anahtarları çöpe attığı ve kodun kanun haline geldiği anlamına gelir. Ama gerçek dünya karmaşıktır. Hatalar olur ve protokollerin gelişmesi gerekir. Bunu yönetmek için geliştiriciler bir admin key tutarlar.

Sorun tam burada başlıyor. Çoğu protokol bunun için tek imzalı (EOA) bir cüzdan kullanıyor. Bir geliştiricinin laptopu ele geçirilirse, hacker artık tüm protokolün sahibi olur. Kuzey Koreli Lazarus Group'un milyarlarca dolarlık hırsızlıkları tam olarak böyle gerçekleştirdi. Her zaman blokzincirini hacklemiyorlar; admin key'leri tutan insanları hackliyorlar.

Bunu çözmek için ciddi projeler multisig (çoklu imza) kullanır. Tek bir anahtar yerine, bir değişikliğin onaylanması için belirlenmiş 5 kişiden 3'ünün imzası gerekebilir. Bu daha iyidir ama hala merkezidir. Altın standart ise multisig ve timelock kombinasyonudur. Multisig değişikliği önerir, timelock ise bu değişikliğin anında gerçekleşmemesini sağlar.

İnsanların yanıldığı noktalar

Gördüğüm en büyük hata, "denetlendi" (audited) kelimesini "güvenli" ile eş anlamlı kullanmak. Bir denetim, kodda göze çarpan bir hata olmadığını söyler; ancak geliştiricilerin her şeyi geçersiz kılabilecek bir ana master key tutup tutmadığını söylemez.

Kendilerini "topluluk odaklı" olarak tanımlayan ama kurucuların hazine üzerinde tam kontrole sahip olduğu pek çok projeyle karşılaştım. Size merkeziyetsizliğe doğru ilerlediklerini söylerler ama DeFi dünyasında "yakında" kelimesi tehlikelidir. Eğer bir proje admin key'lerin kimde olduğunu açıklamakta direniyorsa veya halka açık bir timelock'u yoksa, aslında sizden tüm birikimlerinizi onlara emanet etmenizi istiyorlar demektir. Benim deneyimlerime göre, bu sonunda kaybedeceğiniz bir bahistir.

Uygulama aşaması

Bir protokolü kullanıyorsanız ve güvenliğini kontrol etmek istiyorsanız, sadece dökümanları okumayın. Etherscan gibi bir blok tarayıcıya gidin. Kontrat adresini bulun ve "Read Contract" sekmesine bakın. Burada owner, admin veya timelock gibi değişkenleri arayın. Eğer sahip olarak tek bir cüzdan adresi görüyorsanız ve timelock'tan bahsedilmiyorsa, merkezi bir yapıyla karşı karşıyasınızdır.

Özellikle enflasyondan korunmak için stablecoin biriktiren veya yüksek getiri kovalayan kullanıcılar için bu risk çok daha kritiktir. Protokol yönetimine müdahale edemezsiniz ama çektiğiniz varlıkları nasıl saklayacağınızı kontrol edebilirsiniz. Ben uzun vadeli tuttuğum varlıkları borsalardan ve riskli DeFi havuzlarından çıkarırım. Kendi varlıklarım için Ledger Stax kullanıyorum çünkü İşlem Kontrolü özelliği, onay butonuna basmadan önce neyi imzaladığımı görmemi sağlıyor. Bu, hackerların cüzdanınızı boşaltmasına izin verecek bir "setApprovalForAll" işlemini yanlışlıkla imzalamanızı engelleyen basit ama etkili bir koruma katmanıdır.

Yüksek getirili bir farm'a tekrar 1.000 USDC yatırmadan önce kendinize sorun: Kasanın anahtarı kimde? Eğer cevap "Discord kanalındaki birkaç çocuk" ise, pozisyonunuzu tekrar gözden geçirmek isteyebilirsiniz.