Giriş

Bu olay, kullanıcıların zaferi değil, sermayenin zaferidir ve sektördeki gelişmelere geri dönüş anlamına geliyor.

Bitcoin ve Sui farklı yönlere gitmeye başladı; merkeziyetsizliği sarsan her endüstri hareketi, insanların Bitcoin'e olan inancını daha da güçlendiriyor.

Dünya sadece daha iyi bir küresel finansal altyapıya ihtiyaç duymuyor, daha da önemlisi her zaman özgür bir alana ihtiyaç duyan bir grup insan var.

Bir zamanlar, konsorsiyum blok zincirleri, kamu blok zincirlerinden daha popülerdi, çünkü o dönemin düzenleyici ihtiyaçlarını karşılıyordu. Bugün konsorsiyum blok zincirlerinin gerilemesi, yalnızca düzenleyici ihtiyaçlara uymanın gerçek kullanıcıların ihtiyaçlarını karşılamadığını gösteriyor. Düzenlenmiş kullanıcıları kaybettikten sonra, düzenleme araçlarının ne faydası var?

1. Olay Arka Planı

22 Mayıs 2025'te, bir kamu blok zinciri ekosistemindeki en büyük merkeziyetsiz borsa (DEX) hacker saldırısına uğradı, anında likidite hızla azaldı, birçok işlem çiftinin fiyatı çöküş yaşadı ve kayıplar 2.2 milyar doları aştı.

Olay zaman çizgisi aşağıdadır:

22 Mayıs sabahı, bir hacker bu DEX'i 230 milyon dolar çalmak için saldırdı, borsa acil olarak sözleşmeleri durdurdu ve bir duyuru yayınladı.

22 May öğleden sonra, bir hacker yaklaşık 60 milyon dolar değerinde kripto parayı köprü üzerinden transfer etti, geriye kalan 162 milyon dolar ise hala zincir üzerindeki adreste. Doğrulama düğümleri hızlı bir şekilde harekete geçti ve hacker adresini "hizmet reddi kara listesine" ekleyerek fonları dondurdu.

22 May akşamı, kamu blockchain CPO'su fonların dondurulduğunu doğruladı, iade işlemleri yakında başlayacak.

23 Mayıs'ta, DEX güvenlik açığını düzeltmeye ve sözleşmeyi güncellemeye başladı.

24 Mayıs'ta, kamu blok zinciri açık kaynak PR'si, yakında takma ad mekanizması ve beyaz liste ile fon geri alımını açıklıyor.

26 Mayıs'ta, kamu blok zinciri çevrimiçi yönetişim oylamasını başlattı, protokol yükseltmesinin uygulanıp uygulanmayacağı ve hacker varlıklarının güvenli bir adrese aktarılması önerildi.

29 Mayıs'ta oy sonuçları açıklandı, 2/3'ten fazla doğrulayıcı düğüm ağırlığı destekliyor; protokol güncellemesi uygulanmaya hazırlanıyor.

30 May - başından itibaren, protokol güncellemesi yürürlüğe girdi, belirlenen işlem hash'i yürütüldü, hacker varlıkları "yasal olarak alındı"

2, Saldırı Prensibi

Saldırı Süreci Özeti:

Saldırganlar önce bir flash loan kullanarak büyük miktarda token ödünç aldılar ve bu, işlem havuzunun fiyatının %99.90 oranında düşmesine neden oldu. Bu devasa satış emri, hedef havuzun fiyatını yaklaşık 1.8956×10^19'dan 1.8425×10^19'a düşürdü ve neredeyse tamamen boşalttı.

Sonrasında, saldırgan DEX'te çok dar bir aralıkta (aralık genişliği yalnızca %1,00496621) likidite pozisyonu oluşturdu. Bu kadar dar bir aralık, sonraki hesaplama hatalarının gerekli token sayısı üzerindeki etkisini artırdı.

Saldırı çekirdek prensibi:

DEX'in gerekli token miktarını hesaplayan fonksiyonunda bir tamsayı taşma açığı bulunmaktadır. Saldırgan, büyük bir likidite eklemek istediğini (yaklaşık 10^37 birim) beyan eder, ancak aslında sadece bir token'i akıma koyar.

Test koşullarındaki bir hata nedeniyle, sözleşme soldan kaydırma hesaplamasında yüksek basamak kesilmesine yol açtı ve bu da sistemin gereken token miktarını ciddi şekilde düşük tahmin etmesine neden oldu, bu da saldırganların çok düşük bir maliyetle büyük miktarda likidite elde etmesine yol açtı.

Teknik açıdan, açık, DEX'in akıllı sözleşmede yanlış bir maske ve koşul kullanmasından kaynaklanmaktadır; bu, belirli bir değerden daha küçük olan herhangi bir sayının tespiti atlatmasına neden olmaktadır; ayrıca, 64 bit sola kaydırıldığında yüksek bit verileri kesilmekte ve sistem yalnızca çok az sayıda token aldığında büyük bir likidite elde edildiğini varsaymaktadır.

Olaydan sonra, resmi iki aşamalı bir işlem gerçekleştirdi: "dondurmak" ve "geri almak":

Buzlanma aşaması, reddetme listesi ve düğüm konsensüsü ile tamamlanır; Geri alma aşaması, zincir üzerindeki protokol yükseltmelerini, topluluk oylamasını ve kara listeyi atlatmak için belirli işlemlerin gerçekleştirilmesini gerektirir.

3, Kamu Zincirinin Dondurma Mekanizması

Bu halka açık zincir içinde özel bir reddetme listesi mekanizması bulunmaktadır, bu da bu seferki hacker fonlarının dondurulmasını sağlamıştır. Bununla birlikte, token standardı da "denetimli token" moduna sahiptir ve yerleşik bir dondurma işlevi taşımaktadır.

Bu acil dondurma, bu özelliği kullandı: doğrulayıcı düğümleri, yerel yapılandırma dosyalarına çalıntı fonlarla ilgili adresleri hızlı bir şekilde ekledi. Teorik olarak her düğüm işletmecisi, kara listeyi güncellemek için yapılandırmayı kendisi değiştirebilir, ancak ağ tutarlılığını sağlamak için, vakıf ilk yapılandırma yayıncısı olarak merkezi bir koordinasyon gerçekleştirdi.

Vakfın ilk olarak, hacker adreslerini içeren bir yapılandırma güncellemesi resmi olarak yayınlaması, doğrulayıcıların varsayılan yapılandırmaya göre senkronize edilerek hacker fonlarının zincir üzerinde geçici olarak "mühürlenmesini" sağladı. Bunun arkasında ise yüksek düzeyde bir merkezileşme faktörü bulunmaktadır.

Mağdurları dondurulmuş fonlardan kurtarmak için, halka açık blok zinciri ekibi beyaz liste mekanizması yaması geliştirdi. Bu, sonraki fonların geri aktarım işlemleri için geçerlidir. Yasal işlemler önceden yapılandırılabilir ve beyaz listeye kaydedilebilir; bu durumda, o fon adresi kara listede olsa bile zorla uygulanabilir.

Bu yeni özellik, belirli işlemlerin "muafiyet listesine" önceden eklenmesine izin verir, böylece bu işlemler imza, izin, kara liste gibi tüm güvenlik kontrollerini atlayabilir.

Dikkate değer bir nokta, beyaz liste yamanın doğrudan hacker varlıklarını almayacağıdır; bu yalnızca bazı işlemlere dondurmayı atlatma yetkisi verir, gerçek varlık transferi hala yasal imza veya ek sistem izin modülü gerektirir.

Sektörün önde gelen dondurma çözümleri genellikle token sözleşme katmanında gerçekleşir ve ihraççı tarafından çoklu imza ile kontrol edilir. Bir stabil coin örneği olarak, sözleşmesinde kara liste fonksiyonu bulunan bir ihraççı, yasadışı adresleri dondurarak token transferini engelleyebilir. Bu tür bir çözüm, zincir üzerinde dondurma talebi başlatmak için çoklu imza gerektirir ve çoklu imza anlaşmasına varıldığında ancak gerçekten uygulanır, bu nedenle bir uygulama gecikmesi söz konusu olabilir.

Etkili olsa da, istatistikler çoklu imza sürecinin sıkça "boşluk dönemleri" yaşadığını ve bunun yasadışı kişiler için fırsatlar sunduğunu göstermektedir.

Buna karşılık, bu kamu zincirindeki dondurma, temel protokol seviyesinde, doğrulayıcı düğümleri tarafından topluca yapılır ve yürütme hızı, normal sözleşme çağrılarından çok daha hızlıdır.

Bu modelin hızlı bir şekilde uygulanması, bu doğrulayıcı düğümlerin yönetiminin yüksek düzeyde birleşik olduğu anlamına gelir.

4, Kamu Blok Zinciri'nin "Transfer Tabanlı Geri Alım" Uygulama Prensibi

Daha da şaşırtıcı olan, bu halka açık blok zincirinin sadece hacker varlıklarını dondurmakla kalmayıp, aynı zamanda zincir üstü güncelleme ile "geri alma" çalınan fonları geri transfer etmeyi planlaması.

27 May'da DEX, topluluk oylama önerisini sundu ve protokolün güncellenmesini talep etti. Donmuş fonların çoklu imza cüzdanına gönderilmesi gerekti. Vakıf hemen zincir üzerinde yönetişim oylaması başlattı.

29 May'da oy sonuçları açıklandı, yaklaşık %90.9 ağırlığındaki doğrulayıcılar bu öneriyi destekledi. Resmi olarak duyuruldu ki, "öneri kabul edildiğinde, iki hacker hesabında dondurulan tüm fonlar hacker imzası olmaksızın tek bir çoklu imza cüzdanına geri alınacak."

Hacker imzasına gerek yok, bu çok özel bir özellik, blok zinciri endüstrisinde böyle bir onarım yöntemi hiç olmamıştı.

Resmi GitHub PR'den anlaşıldığı üzere, protokol adres takma adı mekanizmasını tanıttı. Güncelleme içeriği arasında: yapılandırmada takma ad kurallarının önceden belirlenmesi, böylece bazı izin verilen işlemlerin yasal imzayı bir hacker hesabından geliyormuş gibi değerlendirebilmesi yer alıyor.

Özellikle, gerçekleştirilecek kurtarma işlemine ait hash listesinin hedef adresle (yani hacker adresi) bağlanmasıdır; bu sabit işlem özetlerini imzalayan ve yayınlayan herhangi bir yürütücü, geçerli bir hacker adresi sahibi olarak işlem başlatmış sayılır. Bu belirli işlemler için, doğrulayıcı düğüm sistemi, reddetme listesi kontrolünü atlayacaktır.

Kod düzeyinde, kamu blok zinciri işlem doğrulama mantığına yeni bir kontrol ekledi: Bir işlem kara liste tarafından engellendiğinde, sistem imzalayıcılarını tarar ve takma ad kuralını karşılayıp karşılamadığını kontrol eder. Eğer herhangi bir imzalayıcı takma ad kuralını karşılıyorsa, bu işlem izin verilen olarak işaretlenir, önceki engelleme hatası göz ardı edilir ve normal bir şekilde paketleme ve yürütmeye devam edilir.

5, Görüş

160 milyon dolar, sektörün en derin temel inancını parçaladı

Bu olay belki de yakında geçecektir, ancak bu model unutulmayacaktır çünkü sektörün temelini altüst etti ve aynı defter altında blok zincirinin değiştirilemez geleneksel konsensüsünü kırdı.

Blok zinciri tasarımında, sözleşme hukuktur, kod ise hakemdir. Ancak bu olayda, kod geçersiz hale geldi, yönetim müdahale etti, güç üstünlük sağladı ve "oylama davranışının kod sonuçlarını belirlediği" bir model oluştu.

Tam da bu yüzden, bu doğrudan işlem kullanımının, ana akım blok zincirlerinin hacker sorunlarını ele alma yöntemlerinden büyük bir farkı var.

Bu, "konsensusu bozma"nın ilk defa değil, ama en sessiz olanı.

Tarihsel olarak:

Bir kamu blok zinciri, 2016 yılında kayıpları telafi etmek için bir hard fork ile transferleri geri almıştı, ancak bu karar zincirin bölünmesine yol açtı, süreç oldukça tartışmalıydı, ancak nihayetinde farklı gruplar farklı konsensüs inançları oluşturdu.

Bitcoin topluluğu benzer teknik zorluklar yaşadı: 2010'daki değer taşması açığı geliştiriciler tarafından acil olarak düzeltildi ve konsensüs kuralları güncellendi, yaklaşık 18.4 milyar yasa dışı üretilmiş Bitcoin tamamen silindi.

Bunlar hepsi aynı sert çatal modelidir, defteri sorundan önceki duruma geri döndürür ve kullanıcılar hangi defter sistemi altında devam edeceklerine kendileri karar verebilir.

Sert hard fork'lara kıyasla, bu sefer zinciri bölmeyi seçmedik, bunun yerine protokol güncellemesi ve yapılandırma takma adı yoluyla bu olaya tam olarak odaklandık. Bu yaklaşım, zincirin sürekliliğini ve çoğu konsensüs kuralını korurken, aynı zamanda temel protokolün hedefli "kurtarma operasyonları" gerçekleştirmek için kullanılabileceğini de ortaya koyuyor.

Sorun şu ki, tarihteki "çatallanma geri alma" kullanıcıların inancıydı; bu seferki "protokol düzeltmesi" zincir senin için bir karar verdi.

Özel anahtarın varlıkları kontrol etme fikri çöker mi?

Uzun vadede, bu "özel anahtarın yoksa, paran da yok" anlayışının bu zincirde çözüldüğü anlamına geliyor: Kullanıcıların özel anahtarları tam olsa bile, ağ hala kolektif anlaşma değişiklikleriyle varlık akışını engelleyebilir ve varlıkları yeniden yönlendirebilir.

Eğer bu, gelecekteki blockchain'in büyük güvenlik olaylarına yanıt verme konusunda bir örnek haline gelirse ve hatta tekrar uyulabilir bir uygulama olarak kabul edilirse.

"Bir zincir adalet için kuralları çiğneyebiliyorsa, her kuralı çiğneme konusunda da bir örneği vardır."

Bir kez "kamu yararına para toplama" başarılı olursa, bir sonraki sefer "ahlaki belirsizlik alanı" işlemleri olabilir.

O zaman ne olacak?

Hacker gerçekten kullanıcıların parasını çaldıysa, toplu oylama ile onun parasını alabilir miyiz?

Oylamanın dayanağı, çok para sahibi olan mı yoksa çok insan olan mı? Eğer parası çok olan kazanırsa, o zaman son üretici çağının çok hızlı bir şekilde geleceği anlamına gelir; eğer çok insan olan kazanırsa, o zaman kitlelerin karmaşası da seslerini yükseltmeye başlayacaktır.

Geleneksel sistemde, yasadışı gelirlerin korunmaması oldukça normaldir, dondurma ve transfer, geleneksel bankaların rutin işlemleridir.

Ama teknik olarak bunu yapmak mümkün değil, bu da blockchain sektörünün gelişiminin kökeni değil mi?

Şu anda sektör uyumluluğunun baskısı devam ediyor, bugün hackerlar için hesap bakiyelerini dondurmak veya değiştirmek mümkünse, yarın coğrafi faktörler ve çatışma unsurları için her türlü değişiklik yapılabilir. Eğer blok zinciri bölgesel bir araç haline gelirse, sektörün değeri de büyük ölçüde azalır, en fazla başka bir işlevsiz finansal sistemden ibaret olur.

Bu, sektöre olan inancımı pekiştiren bir başka neden: "Blockchain, dondurulamadığı için değerli değildir; onu sevmeseniz bile, sizin için değişmez."

Düzenleyici büyük bir eğilim, zincir kendi ruhunu koruyabilir mi?

Bir zamanlar, konsorsiyum zincirleri, o dönemin düzenleyici ihtiyaçlarını karşıladığı için, halka açık zincirlerden daha popülerdi. Bugün konsorsiyum zincirlerinin çöküşü, aslında yalnızca bu ihtiyaca uymanın gerçek kullanıcı ihtiyaçları olmadığı anlamına geliyor. Düzenlenmiş kullanıcılar kaybedildiğinde, o zaman düzenleme araçlarına ihtiyaç var mı?

Sektör gelişimi açısından:

"Verimli merkeziyetçilik", blok zinciri gelişiminin kaçınılmaz bir aşaması mı? Eğer merkeziyetsizliğin nihai hedefi kullanıcıların çıkarlarını korumaksa, merkeziyeti geçiş aracı olarak tolere edebilir miyiz?

"Demokrasi" terimi, zincir üzerinde yönetişim bağlamında aslında token ağırlığına göre hesaplanmaktadır. Peki, eğer bir hacker büyük miktarda token'a sahip olursa (ya da bir gün DAO hacklenirse, hacker oy haklarını kontrol ederse), bu durumda "yasal olarak oy kullanarak kendini aklama" olasılığı var mı?

Sonuç olarak, blok zincirinin değeri, dondurup donduramayacağı değil, bir topluluğun dondurma yeteneğine sahip olmasına rağmen bunu yapmamayı tercih etmesindedir.

Bir zincirin geleceği, teknik mimari tarafından değil, onu korumayı seçtiği inanç sistemi tarafından belirlenir.