Blok Zinciri sektörünün inanç tartışması: Sui olayıyla ilgili düşünceler

Ön Söz

Son zamanlarda meydana gelen olaylar, kullanıcıların zaferi değil, sermayenin zaferini simgeliyor ve bu da sektörün gelişimi açısından bir gerileme olarak değerlendiriliyor.

Bitcoin ve Sui'nin gelişim yönleri tamamen farklıdır; merkeziyetsizliği sarsan endüstri hareketleri ortaya çıktığında, insanların Bitcoin'e olan inançlarını daha da pekiştirmektedir.

Dünya, sadece daha iyi bir küresel finansal altyapıya değil, aynı zamanda her zaman bir grup insan için özgürlük alanı bırakmaya da ihtiyaç duymaktadır.

Geçmişte, konsorsiyum blok zincirleri, o dönemdeki düzenleyici ihtiyaçları karşıladığı için kamu blok zincirlerinden daha popülerdi. Artık konsorsiyum blok zincirlerinin çöküşü, yalnızca düzenleyici ihtiyaçlara uymanın gerçek kullanıcı ihtiyaçlarını karşılamadığını da gösteriyor. Düzenlenmiş kullanıcıları kaybettikten sonra, neye ihtiyaç var ki düzenleme araçlarına?

1. Olay Arka Planı

2025 yılının 22 Mayısında, bir kamu blok zinciri ekosistemindeki en büyük merkeziyetsiz borsa (DEX) siber saldırıya uğradı, bu da likiditede ani bir düşüşe yol açtı, birden fazla işlem çiftinin fiyatı çöktü ve 2.2 milyar dolardan fazla kayıp yaşandı.

Olay gelişim zaman çizelgesi aşağıdaki gibidir:

• 22 May sabahı: Hackers DEX'i saldırıya uğrattı ve 230 milyon dolar çaldı, DEX acil olarak sözleşmeyi askıya aldı ve duyuru yaptı.
• 22 May öğleden sonra: Hacker, yaklaşık 60 milyon dolar değerinde bir miktarı zincirler arası transfer etti, geriye kalan 162 milyon dolar hala zincir üzerindeki adreslerde. Doğrulama düğümleri, hacker adresini "hizmet reddi kara listesi"ne ekleyerek hızlı bir şekilde harekete geçti ve fonları dondurdu.
• 22 May akşamı: Proje ekibi, fonların dondurulduğunu ve geri ödeme işlemlerinin yakında başlayacağını doğruladı.
• 23 Mayıs: DEX, güvenlik açığını düzeltmeye ve sözleşmeyi güncellemeye başladı.
• 24 Mayıs: Proje ekibi PR'yi açık kaynak olarak yayınladı ve fon geri alımının takma ad mekanizması ile beyaz liste aracılığıyla gerçekleştirileceğini açıkladı.
• 26 Mayıs: Proje ekibi, on-chain yönetişim oylamasını başlattı, protokolün yükseltilip yükseltilmeyeceği ve hacker varlıklarının güvence adresine aktarılması önerildi.
• 29 Mayıs: Oylama sonuçları açıklandı, 2/3'ten fazla doğrulayıcı düğüm ağırlığı destekledi; protokol yükseltme uygulamaya hazır.
• 30 Mayıs - Haziran başı: Protokol güncellemesi yürürlüğe girdi, belirlenen işlem hash'i gerçekleştirildi, hacker varlıkları "yasal olarak alındı"

2. Saldırı Prensibi

Saldırı Süreci Özeti:

1. Saldırgan, flaş krediyi kullanarak büyük miktarda token borç aldı ve işlem havuzunun fiyatı %99.90 düştü.

2. Saldırgan, DEX'te çok dar bir Blok aralığında likidite pozisyonları oluşturur ve sonraki hesaplama hatalarını büyütür.

3. DEX'in gerekli token miktarını hesaplamak için kullandığı fonksiyonda tam sayı taşma açığı bulunmaktadır. Saldırgan, büyük miktarda likidite ekleyeceğini beyan ediyor, ancak aslında sadece 1 token yatırıyor.

4. Taşma tespit koşulları hatalı olduğu için, sözleşme sol kaydırma hesaplamasında yüksek bit kesilmesi yaşandı ve gerekli token miktarını ciddi şekilde düşük değerlendirdi.

5. Saldırgan, çok düşük maliyetle büyük miktarda likidite elde etti.

Teknik açıdan, açıklar DEX'in akıllı sözleşmelerde yanlış maskeleme ve koşul kullanmasından kaynaklanmaktadır; bu da bazı değerlerin denetimi atlatmasına neden olmaktadır. Sola kaydırma işlemi sonrasında yüksek bit verisi kesiliyor, sistem sadece çok az miktarda token alarak büyük bir likidite elde edildiğini düşünüyor.

3. Donma Mekanizması

Bu kamu zincirinde özel bir reddetme listesi mekanizması bulunmaktadır ve bu, bu seferki hacker fonlarının dondurulmasını sağlamıştır. Ayrıca, token standardı da "regüle token" modeli ile birlikte, yerleşik dondurma fonksiyonu taşımaktadır.

Acil dondurma, bu özelliği kullanmaktadır: doğrulayıcı düğümleri, yerel yapılandırma dosyasında çalınan fonlarla ilgili adresleri hızlı bir şekilde ekler. Teorik olarak her düğüm işletmecisi, yapılandırmayı güncelleyerek kara listeyi kendisi değiştirebilir, ancak ağ tutarlılığını sağlamak için, yapılandırmanın ilk yayıncısı olarak vakıf merkezi bir koordinasyon sağladı.

Vakfı önce haker adreslerini içeren bir yapılandırma güncellemesi yayınladı, doğrulayıcılar varsayılan yapılandırmayı senkronize ederek haker fonlarının zincir üzerinde geçici olarak "mühürlenmesini" sağladı. Bunun arkasında aslında yüksek seviyede bir merkezileşme faktörü bulunmaktadır.

Kurbanları dondurulmuş fonlardan kurtarmak için, proje ekibi beyaz liste mekanizması yamanı geliştirdi. Bu, belirli işlemlerin "muaf listeye" önceden eklenmesine izin verir, böylece bu işlemler, imza, yetki, kara liste gibi tüm güvenlik kontrollerini atlayabilir.

Dikkat edilmesi gereken, beyaz liste yaması doğrudan hacker varlıklarını almak için kullanılmaz; bu yalnızca bazı işlemlere dondurmayı aşma yetkisi verir, gerçek varlık transferi hala yasal imza veya ek sistem izin modülleri gerektirir.

Sektörün önde gelen dondurma çözümleri genellikle token sözleşmesi seviyesinde gerçekleşir ve ihraççı tarafından çoklu imza ile kontrol edilir. Örneğin, bir stablecoin'in sözleşmesinde kara liste fonksiyonu bulunur, ihraç şirketi ihlalde bulunan adresleri dondurabilir. Bu tür bir çözüm, zincir üzerinde dondurma talebini başlatmak için çoklu imza gerektirir ve yürütme gecikmeleri vardır.

Buna karşılık, bu olayda dondurma, temel protokol seviyesinde, doğrulayıcı düğümlerin kolektif operasyonlarıyla gerçekleşti ve yürütme hızı sıradan sözleşme çağrılarından çok daha hızlıydı. Bu modelde, yeterince hızlı bir şekilde yürütmek için, bu doğrulayıcı düğümlerin kendilerinin yönetiminin son derece birleşik olması gerektiği anlamına gelir.

4. "Transfer Yöntemiyle Geri Kazanım" Uygulama Prensibi

Daha da şaşırtıcı olanı, bu halka açık blok zincirinin yalnızca hacker varlıklarını dondurmakla kalmayıp, aynı zamanda on-chain yükseltme ile "geri alma" planları yapmasıdır.

27 Mayıs'ta, DEX topluluk oylama önerisi sundu ve protokolün yükseltilmesini talep etti, dondurulan fonların çoklu imza cüzdanına gönderilmesini istedi. Vakıf hemen zincir üzerindeki yönetişim oylamasını başlattı.

29 Mayıs'ta, oylama sonuçları açıklandı, yaklaşık %90,9 ağırlığa sahip doğrulayıcılar bu öneriyi destekliyor. Resmi olarak açıklandı ki, öneri onaylandığında, "iki hacker hesabında dondurulan tüm fonlar hacker imzası olmaksızın bir çoklu imza cüzdanına geri alınacaktır."

Resmi GitHub PR'sından anlaşıldığı üzere, protokol adres takma adı mekanizmasını tanıttı. Güncelleme içeriği arasında: belirli izin verilen işlemlerin yasal imzayı bir hacker hesabından geliyormuş gibi görmesini sağlamak için yapılandırmada takma ad kurallarının önceden belirtilmesi yer alıyor.

Özellikle, gerçekleştirilecek kurtarma işlemlerinin hash listesini hedef adresle (yani hacker adresiyle) bağlamak, bu sabit işlem özetlerini imzalayan ve yayınlayan herhangi bir yürütücü, geçerli bir hacker adresi sahibi olarak işlem başlatmış sayılır. Bu belirli işlemler için, doğrulayıcı düğüm sistemi reddetme listesi kontrolünü atlar.

Kod düzeyinde, işlem doğrulama mantığına yeni bir kontrol eklendi: Bir işlem kara liste tarafından engellendiğinde, sistem imzalayıcıları dolaşarak takma ad kurallarını karşılayıp karşılamadığını kontrol eder. Eğer herhangi bir imzalayıcı takma ad kurallarını karşılıyorsa, bu işlem geçiş izni alır, önceki engelleme hatası göz ardı edilir ve normal paketleme işlemine devam edilir.

5. Görüş

160 milyon dolar, sektörün en derin temel inancını parçaladı.

Bu olay belki çok geçmeden yatışacak, ancak benimsenen model unutulmayacak, çünkü sektörü temelden sarsıyor ve Blok Zinciri'nin aynı defter altında değiştirilemez geleneksel konsensüsünü bozuyor.

Blok Zinciri tasarımında, sözleşme yasadır, kod ise hakemdir. Ancak bu olayda, kod geçersiz hale geldi, yönetişim müdahale etti, güç öne geçti ve "oy verme eylemi kodun sonucunu belirliyor" modeli oluştu.

Bu doğrudan tahsis edilen işlem yöntemi, ana akım Blok Zinciri'nin hacker sorunlarını ele alma biçiminden büyük farklılıklar göstermektedir.

Bu, "konsensüsü değiştirme"nin ilk kez olmaması, ama en sessiz olanı.

Tarihsel olarak:

2016 yılında, bir kamu blok zinciri The DAO olayı nedeniyle işlemleri geri almak için sert çatallaşma yoluyla kayıpları telafi etti, ancak bu karar zincirin bölünmesine yol açtı ve süreç oldukça tartışmalıydı, sonunda farklı gruplar farklı bir konsensüs inancı oluşturdu.

Bitcoin topluluğu da benzer teknik zorluklarla karşılaştı: 2010'daki değer aşımı açığı geliştiriciler tarafından acil olarak düzeltildi ve konsensüs kuralları güncellendi, yaklaşık 1.84 milyar yasadışı üretilen Bitcoin tamamen silindi.

Bunların hepsi, defteri sorunun meydana gelmeden önceki duruma geri döndürmek için sert çatallama (hard fork) modelini kullandı, kullanıcılar hangi defter sistemi altında devam edeceklerine kendileri karar verebilir.

Buna karşılık, bu olayda bölünmüş bir zincir seçilmedi, bunun yerine protokol yükseltmesi ve yapılandırma takma adı yöntemiyle bu olay hedef alındı. Bu şekilde zincirin sürekliliği ve çoğu konsensüs kuralı değişmeden korundu, ancak aynı zamanda temel protokolün hedefe yönelik "kurtarma eylemleri" gerçekleştirmek için kullanılabileceğini de gösterdi.

Sorun, tarihsel olarak "çatal geri alma" nın kullanıcılara inanç seçme imkanı sağlamasıdır; oysa bu seferki "protokol düzeltmesi" zincirin kullanıcılar adına karar vermesidir.

"Senin anahtarın, senin coin'in değil" artık geçerli olmayabilir

Uzun vadede, bu, "senin anahtarın değil, senin paran değil" ilkesinin bu zincirde çözüldüğü anlamına geliyor: Kullanıcıların özel anahtarları tam olsa bile, ağ hala toplu protokol değişiklikleriyle varlık akışını durdurabilir ve varlıkları yeniden yönlendirebilir.

Eğer bu, gelecekteki Blok Zinciri'nin büyük güvenlik olaylarına karşı bir örnek oluşturursa ve tekrar uyulabilir bir kural olarak kabul edilirse, o zaman "bir zincir adalet için kuralları çiğneyebiliyorsa, o zaman her türlü kuralı çiğneyebilme örneğine sahiptir."

Bir kez "kamu yararına para kapma" başarılı olursa, bir sonraki sefer "ahlaki belirsizlik bölgesi" işlemi olabilir.

oluşabilecek sorunlar

Hacker gerçekten kullanıcıların parasını çaldıysa, o zaman toplu oylama onun parasını alabilir mi?

Oylamanın temeli, parası çok olan mı (PoS) yoksa insanı çok olan mı? Eğer para çok olan kazanıyorsa, o zaman bazı bilim kurgu eserlerinde tasvir edilen sahneler çok yakında gerçekleşebilir; eğer insan çok olan kazanıyorsa, o zaman kalabalığın gürültüsü artacaktır.

Geleneksel sistemde, yasadışı kazançların korunmaması oldukça normaldir, dondurma ve aktarma geleneksel bankaların rutin işlemleridir. Ancak, teknik teoriden yola çıkarak bunun yapılamaması, tam olarak Blok Zinciri sektörünün gelişiminin kaynağı değil midir?

Şu anda sektördeki uyum baskısı sürekli artıyor, bugün hackerlar için hesap bakiyelerini dondurmak veya değiştirmek mümkünse, yarın coğrafi faktörler veya çatışma faktörleri için herhangi bir değişiklik yapmak mümkün mü? Eğer blok, bölgesel bir araç haline gelirse, sektörün değeri de büyük ölçüde sıkışmış olur, en iyi ihtimalle sadece daha kötü bir finansal sistemdir.

Bu, sektörün gelişimini destekleyen bir diğer sebeptir: "Blok Zinciri, dondurulamıyor diye değerli değil; onu ne kadar sevmesen de, o senin için değişmez."

Regülasyon büyük bir eğilim, zincir kendi ruhunu koruyabilir mi?

Geçmişte, konsorsiyum blok zincirleri, kamu blok zincirlerinden daha popülerdi, çünkü o zamanın düzenleyici gereksinimlerini karşılıyordu. Artık konsorsiyum blok zincirlerinin gerilemesi, yalnızca bu gereksinimlere uymanın gerçek kullanıcıların ihtiyaçlarını karşılamadığını da gösteriyor. Düzenlenmiş kullanıcılar kaybedildiğinde, ne gerek var düzenleme araçlarına?

Sektör gelişimi açısından, "verimli merkeziyetçilik" blok zinciri gelişiminin kaçınılmaz bir aşaması mıdır? Eğer merkeziyetsizliğin nihai hedefi kullanıcı çıkarlarını korumaksa, merkeziyeti geçiş aracı olarak tolere edebilir miyiz?

"Demokrasi" kelimesi, zincir üzerindeki yönetişim bağlamında aslında token ağırlıklı bir kavramdır. Peki, eğer bir hacker büyük miktarda token'a sahipse (ya da bir gün DAO hacklenirse, hacker oy haklarını kontrol ederse), bu durumda "meşru bir şekilde oy kullanarak kendini aklama" mümkün mü?

Sonuçta, Blok Zinciri'nin değeri, dondurulup dondurulamayacağı değil, topluluğun dondurma yeteneğine sahip olmasına rağmen bunu seçmemesindedir.

Bir zincirin geleceği, teknik mimari tarafından değil, onun korumayı seçtiği inanç sistemi tarafından belirlenir.