Bitcoin ana ağı, Lightning Network (Bitcoin’in hızlı ödeme katmanı) ve Liquid (federasyon tabanlı bir yan zincir) arasında transfer imkanı sunan saklama kuruluşu olmayan köprü hizmeti Boltz, pazartesi sabahı 05:54’te faaliyetlerini durdurdu. Herhangi bir fon kaybı yaşanmadı, kullanıcılar varlıklarına erişimini kaybetmedi. Kripto topluluğunda endişe yaratan bir olay gerçekleşmedi.
Hash timelock sözleşmeleriyle inşa edilen ve takas sırasında tarafların birbirini kandıramamasını kriptografiyle garanti altına alan Boltz’un saklama kuruluşu olmayan yapısı, beklendiği gibi çalıştı. Ancak hizmet, küçük ve kendi kaynaklarıyla finanse edilen ekibinin, saldırganların kodda bulduğu açıkları tespit edip uyum sağlama hızına yetişememesi nedeniyle süresiz olarak kapatılıyor. Aylarca sınırlı ölçekte yaşanan açıkların ardından, son günlerde ekibin “dramatik bir hızlanma” olarak tanımladığı saldırıların artmasıyla Boltz, saldırganların artık kendi ekiplerinden daha hızlı hareket ettiğini belirtti.
Buradaki mesele, bir yapay zekânın köprüyü çökertmesi değil. Uzun süredir var olan ancak artık kritik bir eşiğe ulaşan yapısal bir asimetri söz konusu: Açık kaynaklı Bitcoin altyapısı, yeterli finansmana sahip olmayan ekipler tarafından sürdürülürken, yapay zekâ destekli araçlara sahip saldırganlar kamuya açık kod tabanlarını makine hızında tarayabiliyor. Açık kaynak kodun güvenilirliğini sağlayan şeffaflık, aynı zamanda onu en cazip hedef haline getiriyor.
Boltz Ne İşe Yarıyor?
Nisan 2019’da faaliyete geçen Boltz, Bitcoin’in katmanları arasında varsayılan takas altyapısı haline geldi. Lightning cüzdanı kullanarak Liquid’e satoshi gönderen ya da Wrapped Bitcoin’i (WBTC) borsa kullanmadan zincir üstü BTC’ye çeviren kullanıcılar, büyük olasılıkla Boltz üzerinden işlem yaptı. Boltz, bir token’a veya yönetişim katmanına sahip bir protokol değil. Bitcoin ekosisteminde en çok kullanılan saklama kuruluşu olmayan takas arayüzünü sunan bir hizmet, yani bir şirket.
Bu ayrım önemli. Boltz, risk sermayesi desteği olmadan tamamen kendi kaynaklarıyla faaliyet gösterdiği için, yaşanan kayıplar doğrudan kendi operasyon bütçesinden karşılandı. Kullanıcıların fonları etkilenmedi. Ekip, kayıpların yalnızca kendilerine ait olduğunu açıkça belirtti.
Ancak altyapı savunmasının operasyonel maliyetini üstlenen küçük bir ekibin, tehdit modelinin hızla büyüdüğü bir ortamda sürdürülebilirliği kalmıyor.
Görünür Hale Gelen Hafta
Boltz’un kapanışı tek başına gerçekleşmedi. İki gün önce, 1 Ağustos’ta Boltz, “EVM entegrasyonunda bir hata” gerekçesiyle USDT, USDC ve Wrapped Bitcoin gibi EVM tabanlı takasları sessizce devre dışı bıraktı. O sırada Lightning, Liquid ve zincir üstü BTC takaslarının normal şekilde çalıştığı belirtildi. Ancak bu uyarı, yaşanan sürecin erken bir aşaması olarak öne çıkıyor.
Aynı hafta Bitcoin güvenliği açısından da dikkat çekiciydi. 30 Temmuz’dan itibaren, Coldcard donanım cüzdanlarında Mart 2021’e dayanan ve seed phrase’lerin tahmin edilebilir olmasına yol açan bir yazılım hatası, 4 Ağustos’a kadar yaklaşık 114 milyon dolarlık Bitcoin’in çalındığı saldırı dalgalarını tetikledi. Temmuz sonunda Metronome sentetik varlık protokolünde yaşanan ayrı bir açık ise yaklaşık 16 milyon dolarlık kayba yol açtı. 1 Ağustos’ta Adform kaynaklı bir script zehirleme saldırısı, cüzdan adresi kopyala-yapıştır özelliklerini hedef aldı.
Bull Bitcoin CEO’su Francis Pouliot, cüzdanında Lightning ve Liquid takasları için Boltz’u kullandıklarını belirterek, “Önce Coldcard açığı, şimdi de Lightning altyapısının kritik bir parçası çevrimdışı oldu. Token Savaşı’nda kaybeden taraftayız” dedi.
“Token Savaşı” kripto dünyasında çok yaygın bir ifade olmasa da, yaşananları net şekilde özetliyor: Açık kaynaklı Bitcoin altyapısını sürdüren geliştiriciler ile bu altyapıyı sömüren gruplar arasında bir kaynak savaşı yaşanıyor. Kaynak asimetrisi ise açık kaynak ideallerinin henüz çözüm bulamadığı temel değişken olarak öne çıkıyor.
Asimetri Neden Asıl Hikaye?
Boltz ekibi, yaşananları açık kaynaklı Bitcoin hizmetleri için büyük bir paradigma değişimi olarak tanımlıyor. Saldırganların “birden fazla kaynak sahibi grup” olduğunu ve “takas hizmetlerinin kısa sürede yeniden başlamasının beklenmemesi gerektiğini” belirtiyor.
Dil ölçülü ve temkinli olsa da, alt metin net: Kamuya açık kodu savunmanın ekonomik dengesi değişti.
Mekanizma şöyle işliyor: Açık kaynak kod tabanları herkes tarafından okunabiliyor; bu sayede denetlenebilir, topluluk tarafından gözden geçirilebilir ve güvenilir oluyor. Ancak artık yapay zekâ araçları, bu açık kod depolarını tarayarak potansiyel açıkları tespit edebiliyor, sömürü stratejileri üretebiliyor ve bir yöntem başarısız olursa hızla yenisini deneyebiliyor. Saldırganlar için her yeni denemenin marjinal maliyeti neredeyse sıfıra iniyor. Savunucular için ise bulguları değerlendirmek, yamalar yazmak, değişiklikleri test etmek ve küçük bir ekip içinde koordinasyon sağlamak ciddi bir maliyet oluşturuyor.
Bu asimetri her zaman bir ölçüde vardı. Ancak Solana Vakfı Bilgi Güvenliği Direktörü Michael Coates’in temmuz ayında belirttiği gibi: “Sektör olarak, insan gücünün bu tehditlere yetişemeyeceği bir dönüm noktasındayız. İleriye dönük tek yolumuz, makineler hızında çalışan otonom savunma sistemleri geliştirmek.”
Coates, kurumsal sermaye destekli, iyi finanse edilen bir vakıfta görev yapıyor. Boltz ise kendi kaynaklarıyla ayakta duran küçük bir ekip. Aradaki fark, yapısal sorunun kendisi.
Diğer projeler de benzer sorunlarla karşılaşıyor. Kripto para kabul eden, yapay zekâ tabanlı bir hizmet olan PayPerQ, son aylarda neredeyse her hafta yeni bir açıkla mücadele ettiklerini ve bunların çoğunun yapay zekâ destekli olduğunu belirtiyor.
Altyapıda Neler Değişiyor?
Kapanmanın doğrudan etkisi pratikte hissediliyor. Aqua, JAN3 cüzdanı ve Bull Bitcoin, Lightning ve Liquid takasları için Boltz’a bağımlı. ZEUS adlı Lightning cüzdanı da Boltz’un açık kaynak kodunu kendi bünyesinde çalıştırıyordu ve hizmeti devre dışı bıraktı. Bitcoin katmanları arasında transfer yapmak isteyen kullanıcılar artık bu işlevselliğe erişemiyor; cüzdan ekipleri Boltz’un sunduğu hizmeti yeniden sağlamak için çözüm arıyor.
Kullanıcı fonları risk altında değil. Boltz’un atomik takas tasarımındaki tek taraflı iade mekanizması, şirketin altyapısı olmadan da çalışmaya devam ediyor. Ancak hizmetin erişilebilirliği de bir risk türü ve bu, saklama kuruluşu olmayan mimarinin çözüm getirmediği bir alan.
Bitcoin odaklı kar amacı gütmeyen Vinteum’un yönetici direktörü Lucas Ferreira, sorunu şöyle özetliyor: “Boltz, parlak bir ekibe sahip ancak giderek daha sofistike, yapay zekâ destekli saldırgan gruplarla karşı karşıya kalan küçük bir ekip. Açık kaynak alanının güvenli ve dayanıklı kalmasını istiyorsak, daha fazla finansmana ihtiyacımız olacak.”
Bu vurgu, yapısal bir sonuca işaret ediyor: Sorun yalnızca Boltz’un kendisiyle ilgili değil; kritik Bitcoin altyapısını kendi kaynaklarıyla sürdüren ekiplerin mevcut modelinin sürdürülemez hale geldiğinin kabulü.
Boltz, kullanıcı fonlarını kaybetmedi. Operasyonel kayıpları üstlendi ve daha fazla risk almamak için hizmeti durdurdu. Bu, doğru bir karar olarak görülüyor. Ancak benzer altyapıları yöneten, kendi kaynaklarıyla ayakta duran veya yeterli finansmana sahip olmayan diğer ekiplerin de zamanla aynı riskle karşı karşıya kalabileceğine işaret ediyor.
Buradaki asıl soru, Boltz’un geri dönüp dönmeyeceği değil. Ekosistemin, token’ı, gelir modeli veya risk sermayesi desteği olmayan bu altyapıların savunulması için kaynak ayırıp ayırmayacağı. Aksi takdirde, bu tür hizmetlerin birer birer kapanmasına tanık olunabilir.
Cevabın ne olacağı ise, cüzdan ekiplerinin, protokol vakıflarının ve topluluğun bu olayı yalnızca Boltz’a özgü bir sorun mu yoksa açık kaynaklı Bitcoin altyapısının iyi niyet ve sınırlı bütçelerle sürdürülemeyeceğine dair ilk ciddi kırılma mı olarak görmesine bağlı olarak yakında netleşecek.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
