Blockstream’in Liquid Network’ünü destekleyen cüzdandan pazar günü yaklaşık 4.000 Bitcoin — o anki değeriyle yaklaşık 320 milyon dolar — çekildi. Liquid, borsaların Bitcoin transferlerini ana zincire kıyasla daha hızlı ve gizli şekilde gerçekleştirmesine olanak tanıyan bir settlement sidechain olarak öne çıkıyor. İki işlemle rezervin neredeyse tamamı boşaltılırken, cüzdanda yalnızca 197 BTC kaldı. Bunun ardından Blockstream, köprü düğümlerini devre dışı bıraktı; Liquid Bitcoin (L-BTC) yatırma ve çekme işlemleri askıya alındı ve borsalara beklemeleri talimatı verildi.
Bu işlemi gerçekleştiren kişi ya da kişiler, zincir üstünde bir mesaj bıraktı: “Beyaz şapkalıyız. Zincir üstünden bizimle iletişime geçin.” Blockstream ise yanıt olarak bir e-posta adresiyle iletişim çağrısı yaptı. Şu ana kadar bu mesajın gerçekten bir kurtarıcıya mı yoksa bir saldırgana mı ait olduğu netleşmedi; sektörde ise şüphecilik hakim. Ledger yöneticilerinden biri, yaşananları Ronin köprü saldırısına benzetti. Ayrıca, grubun paylaştığı Signal hesabının fonları tutan adresten gelmediğine dair veriler bulunuyor.
Liquid’in Temel Yapısı ve Güvenlik Modeli
Liquid, federasyon yapısında çalışan bir ağ. Lightning’ın aksine, burada Bitcoin’ler kullanıcıların kontrolündeki yazılımda değil, yaklaşık 15 kişilik “functionary” grubunun döngüsel olarak yönettiği tek bir zincir üstü cüzdanda tutuluyor. Transferler için ise 15 imzadan 11’inin onayı gerekiyor. Bu yapı, tek bir anahtarın veya imzacının cüzdanı boşaltmasını engelleyen bir güvenlik katmanı olarak sunulmuştu ve yıllarca bu modelin işe yaradığı düşünüldü.
Ancak yaşanan olayda, fonlar çalınan bir anahtar yoluyla değil, federasyon üyesi SideSwap’ın kullandığı Peg-out Authorization Key (PAK) üzerinden çekildi. PAK, çoklu imza mekanizmasının hangi adreslere ödeme yapılabileceğini belirleyen bir beyaz liste işlevi görüyor. Bu listeyi güncellemek üç gün sürüyor ve amaç, kötü niyetli bir functionary’nin fonları kendi cüzdanına yönlendirmesini önlemek. Ancak bu olayda, sistemin koruma katmanı aşıldı ve fonlar, beyaz listenin engellemesi gereken bir adrese gönderildi. Liquid, hiçbir anahtarın ele geçirilmediğini belirtiyor. Teknik olarak doğru olsa da, güvenlik modelinin dayandığı mekanizmanın başarısız olması endişe yaratıyor.
Güvenlik Modelindeki Zafiyet
11’e 15 çoklu imza sistemi, anahtar hırsızlığına karşı koruma sağlıyordu. Ancak, bir üst katmandaki yazılımda oluşan bir açık, bu korumayı işlevsiz hale getirdi. Yani, bir cüzdanın güvenliği, önündeki yetkilendirme katmanı kadar güçlü. Bu olayda ise, yetkilendirme katmanı yanlış adrese ödeme yapılmasına izin verdi.
Bitcoin Yatırımcıları İçin Riskler
Bitcoin yatırımcıları açısından bu olay önemli. Çünkü cüzdanınızdaki token, doğrudan Bitcoin’e değil, bir mekanizmaya olan hakka dayanıyor. L-BTC, federasyonun sakladığı Bitcoin karşılığında bire bir oranla ihraç ediliyor. Ancak bu oran, rezervin güvencesiyle sınırlı. Eğer çekilen fonlar geri dönmezse, eksik rezerv karşılığında L-BTC tutanlar, artık var olmayan bir teminata sahip olacak. Gerçek riskin boyutunu belirlemek ise zor; çünkü Liquid’in gizli işlemleri, L-BTC arzının dışarıdan tam olarak doğrulanmasını engelliyor. Mevcut cüzdanda kalan yaklaşık 197 BTC’nin, dolaşımdaki L-BTC ile uyumlu olduğu tahmin ediliyor. Bu da çoğu hak sahibinin teminatının büyük ölçüde karşılandığına işaret ediyor. Ancak sistemin şeffaf olmaması, kullanıcıların daha fazla bilgi talep etmesini gerektiriyor.
Bitcoin’in Temel Katmanı Güvende
Bitcoin’in ana zinciri bu olaydan etkilenmedi. Fiyat, 80.000 dolar civarında seyrini sürdürdü. Piyasa, yaşananları Bitcoin’in değil, bir sidechain’in saklama yapısındaki hata olarak değerlendirdi. Buradaki asıl risk, BTC protokolünde değil; 1:1 teminat ve güvenilir saklama kuruluşu vaadiyle işlem gören tüm “wrapped” ürünlerde yatıyor. 11’e 15 çoklu imza cüzdanı ve onun üzerinde çalışan yetkilendirme katmanı aşılabiliyorsa, “peg” mekanizmasının güvenilirliği de tartışmalı hale geliyor.
Liquid’in Yol Haritası ve Gelecek Planları
Blockstream, federasyon modeline olan bağımlılığı azaltmak için “BitVM tarzı 1-of-n köprü” geliştirmeyi planlıyor. Ancak bu çözüm henüz devreye alınmadı. Şirketin kendi yol haritasında federasyon modelinden uzaklaşma çabası, mevcut yapının zayıflığının ölçülebilir bir gerçek olduğunu gösteriyor. İyimser senaryoda, beyaz şapkalı bir aktör fonları iade eder ve ağ, hatalı mantığı düzeltmek için hard fork gerçekleştirir. Kötümser bakış açısında ise, 320 milyon dolarlık teminat, zincir yerine bir aracıya güvenmenin bedeli olarak kayıtlara geçer.
Bireysel Yatırımcılar İçin Uyarı
Bireysel Bitcoin yatırımcıları için temel çıkarım net: “WBTC”, “L-BTC” gibi Bitcoin etiketi taşıyan her token’da, arka planda rezervi kimin tuttuğuna ve anahtarların üzerinde hangi mekanizmanın yer aldığına dikkat edilmeli. Ana zincirdeki Bitcoin, herhangi bir saklama kuruluşuna bağlı değil. Liquid’deki Bitcoin ise, 11 kişinin imzası ve onların hangi adrese imza atacağını belirleyen bir yazılım tarafından yönetiliyor. Dünyanın en güçlü güvenlik altyapısı bile, bir üst katmandaki mekanizma yanlış adrese ödeme yapılmasına izin veriyorsa yetersiz kalıyor. Bu olay, yıllardır wrapped coin’lerde karşılaşılan en net güvenlik zafiyetlerinden biri olarak öne çıkıyor. Yatırımcıların, kaybetmeyi göze alamayacakları tutarları bu tür ürünlerde değerlendirmeden önce bu riski göz önünde bulundurması gerekiyor.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
