Özet
- Güvenlik, DeFi'de her yıl milyarlarca dolarlık kayba yol açan kritik ve süregelen bir zorluk olmaya devam etmektedir.
- Bir DeFi protokolü için güvenlik önlemleri, hem doğasında var olan hem de operasyonel boyutları güvence altına alarak lansman öncesinden sonrasına kadar tüm yaşam döngüsünü kapsamalıdır. Olası saldırıları hafifletmek için önleyici stratejiler ve acil durum planları uygulamak kritik önem taşımaktadır.
- Kod denetimi odaklı lansman öncesi güvenlik, topluluk genelinde bir konsensüse dönüşmüştür. Ancak lansman sonrası güvenlik çözümlerinin (ör. saldırı izleme ve engelleme) ortaya çıkmasına karşın, bu çözümlerin önemi henüz topluluk tarafından tam anlamıyla kabul görmemiştir.
- Güvenlik uygulamalarının sürekli iyileştirilmesi ve güvenlik öncelikli bir kültüre geçiş, kullanıcı varlıklarını korumak ve ekosisteme duyulan güveni artırmak açısından vazgeçilmezdir.
Giriş
DeFi, finansal ekosistemi dönüştürmeye devam ederken güvenlik, her yıl milyarlarca dolarlık kayba neden olan ciddi bir endişe kaynağı olmayı sürdürmektedir.
Chainalysis verilerine göre, 2023 yılındaki DeFi saldırıları 1,1 milyar doların üzerinde kayba yol açmıştır. Bu rakam 2022 ile karşılaştırıldığında azalmış olsa da 2023 DeFi saldırılarında birçok yeni eğilim göze çarpmaktadır. Örneğin, yıllarca güvenli bir şekilde çalışan Curve ve KyberSwap gibi köklü protokoller saldırıya uğramıştır. Bunun yanı sıra, Flashbots relay gibi altyapı güvenlik açıklarını hedef alan karmaşık saldırılar da gün yüzüne çıkmıştır.
Güvenlik Olayları Panosu'na göre, 2024'ün ilk yarısında 100.000 doların üzerinde kayba neden olan elli'den fazla saldırı gerçekleşmiştir.
Güvenlik, DeFi uygulamalarının yaygınlaşması ve büyümesi için kritik bir faktördür. Bunun temel nedeni, DeFi protokollerinin milyarlarca dolarlık kullanıcı varlığını yönetmesi ve bu protokolleri hedef alan saldırıların etkilenen kullanıcılar için ciddi kayıplara yol açabilmesidir. Bazı durumlarda saldırıya uğrayan fonlar (kısmen) geri kazanılabilse de (Euler güvenlik olayında olduğu gibi), buna her zaman güvenemeyiz. Her saldırı, insanların DeFi'ye olan güvenini zedelemektedir.
DeFi güvenliğini artırmak için çeşitli yöntemler önerilmiş olsa da hâlâ iyileştirilmesi gereken pek çok alan mevcuttur.
- Olumlu bir gelişme olarak, kod denetimi güvenliği sağlamada topluluk genelinde kabul görmüş bir uygulama hâline gelmiştir. Protokollerin büyük çoğunluğu lansmandan önce kod denetimine tabi tutulmakta; bu durum, akıllı sözleşmelerdeki güvenlik açıklarından kaynaklanan saldırı yüzeylerinin azaltılmasına yardımcı olmaktadır.
- Ancak yalnızca kod denetimi, tüm güvenlik sorunlarını çözmek için yeterli değildir. Akıllı sözleşme güncellemeleri, yapılandırma değişiklikleri ve farklı protokoller arasındaki çalışma zamanı bağımlılıklarından kaynaklanan güvenlik açıklarından doğan saldırıları engelleyemez.
Bu sınırlılıklar nedeniyle, operasyonel izleme veya saldırı tespit sistemleri gibi daha proaktif çözümler gündeme gelmiş ve bazı protokoller tarafından benimsenmiştir.
Bu blog yazısında, bir protokolün lansman öncesi aşamasından operasyonel sürecine ve saldırı müdahalesine uzanan güvenlik yolculuğunu izleyerek DeFi Güvenlik Ortamı'nı inceleyeceğiz. Çeşitli güvenlik önlemi türlerini ele alacak ve her aşamadaki başlıca sağlayıcıları (ürünleri) öne çıkararak artı ve eksilerini tartışacağız. Edindiğimiz içgörülerin topluluğun mevcut durumu daha iyi anlamasına katkı sağlamasını ve daha da önemlisi, gelecekteki yenilikçi çözümlere ilham vermesini umuyoruz.
DeFi Güvenlik Ortamı
Bir DeFi protokolüne yönelik güvenlik önlemleri, hem protokolün doğasında var olan hem de operasyonel güvenliğini sağlayarak lansman öncesinden lansman sonrasına kadar tüm yaşam döngüsünü kapsamalıdır. Bunun yanı sıra, olası saldırılara karşı önleyici tedbirler ve acil durum planlarının hazır bulundurulması büyük önem taşımaktadır. Okuyucuların mevcut çözümleri daha iyi anlamasına yardımcı olmak için DeFi güvenlik sağlayıcılarını (ürünlerini) aşağıdaki kategorilere ayırıyoruz.
Lansman Öncesi Güvenlik
Bu kategori, bir protokolün lansmanından önce uygulanan güvenlik önlemlerini kapsamakta olup kod denetimi, biçimsel doğrulama ve güvenlik testlerini içermektedir.
Kod Denetim Hizmeti ve Yarışması
Kod denetimi, bir protokolü güvence altına almak için topluluk tarafından yaygın biçimde benimsenen bir güvenlik uygulamasıdır. Bu süreçte kod, güvenlik şirketleri tarafından yarı otomatik bir yöntemle incelenmektedir; yani yaygın güvenlik açıkları için kod otomatik olarak taranmakta, daha karmaşık sorunlar ise manuel olarak gözden geçirilmektedir. Öne çıkan şirketler arasında OpenZeppelin, ChainSecurity, BlockSec ve benzerleri yer almaktadır.
Bunların yanı sıra, denetim sürecinin işleyişi bakımından güvenlik denetim şirketlerinden farklılaşan denetim yarışması platformları da bulunmaktadır. Bu platformlar denetim yarışması başlatmakta, denetimi gerçekleştirmek üzere topluluktan güvenlik araştırmacılarını davet etmekte ve protokolde sorun bulanları ödüllendirmektedir. Platformlar, ciddiyet değerlendirme yöntemi, ödül dağıtım algoritması ve güvenlik araştırmacısı katılım kriterleri açısından ince farklılıklar gösterebilmektedir. Bu tür platformlara Code4rena, SHERLOCK, Cantina ve Secure3 örnek verilebilir.
Kod denetimi (ve yarışması), protokol güvenliğinin birincil savunma hattını oluşturmaktadır. Ancak pratikte bazı sınırlılıkları bulunmaktadır; bu durum, saygın şirketlerce denetlenen pek çok protokolün hâlâ saldırıya uğramasının nedenini açıklamaktadır.
- Her şeyden önce, statik kod denetimi, özellikle DeFi protokollerinin birleştirilebilirliği nedeniyle protokol bağımlılıklarından kaynaklanan güvenlik sorunlarını tam olarak değerlendiremez.
- İkinci olarak, bazı sorunların güvenlik etkisi kod denetimi sırasında küçümsenmektedir. Örneğin, hassasiyet kaybı yaygın bir sorun olup hem denetçiler hem de protokoller tarafından göz ardı edilebilmektedir. Bu sorunun güvenlik etkisi, Hundred Finance ve Channels Finance olaylarına dek topluluk tarafından tam anlamıyla kavranamamıştır.
- Son olarak, yüksek kaliteli kod denetimi; güvenlik, finans ve bilgisayar bilimi alanlarında çok yönlü uzmanlık gerektirdiğinden prestijli ve nadir bulunan bir kaynak olmaya devam etmektedir. Günümüzde çok az sayıda üniversite bu alanda tutarlı ve geniş ölçekte yetkin insan kaynağı yetiştirebilmektedir. Dolayısıyla protokoller, yetkinliği yeterli olmayan şirketler tarafından denetlenebilmektedir.
Biçimsel Doğrulama
"Biçimsel doğrulama, matematiğin biçimsel yöntemlerini kullanarak bir sistemin belirli bir biçimsel belirtim veya özelliğe göre doğruluğunu ispat etme ya da çürütme eylemidir." Sistemlerin doğruluğunu kanıtlayabilmesi sayesinde biçimsel doğrulama, DeFi protokollerine de uygulanmaktadır. Özellikle, bir DeFi protokolünün davranışının biçimsel belirtimle örtüşmesini güvence altına alabilmektedir. DeFi protokollerine yönelik biçimsel doğrulama ürünlerinin önde gelen örneği, Certora tarafından geliştirilen Prover'dır. Geliştiriciler kuralları (belirtimi) sağlar; Prover ise olası her program durumunu inceleyerek sonuçları bu kurallarla karşılaştırır ve hataları tespit eder.
Biçimsel doğrulamanın en umut verici yönü, DeFi protokolünün doğruluğunu matematiksel olarak kanıtlamasıdır. Ancak pratikte yaygın benimsenmesinin önünde bazı engeller bulunmaktadır.
- Her şeyden önce, belirtimin geliştiriciler tarafından sağlanması gerekmektedir; bu da geliştiricilerin protokolün beklenen davranışına ilişkin iyi belgelenmiş bir belirtimeye sahip olmasını zorunlu kılmaktadır. Çoğu geliştiricinin bu alanda uzman olmadığı düşünüldüğünde, bu durum kolaylıkla gerçekleştirilebilir değildir.
- İkinci olarak, bir protokolün sık güncellenmesi, belirtimlerin de güncellenmesini ve protokolün yeniden değerlendirilmesini gerektirebilir. Bazı protokoller bu zaman ve çabayı karşılayamayabilir.
Bununla birlikte, biçimsel doğrulama; özellikle savaş testinden henüz geçmemiş ve önemli miktarda kullanıcı varlığı yöneten yeni protokoller tarafından mutlaka uygulanmalıdır. Ancak biçimsel doğrulamanın kullanılabilirliğini artırmak ve benimseme oranını yükseltmek, süregelen bir zorluk olmaya devam etmektedir.
Güvenlik Testleri
Güvenlik testleri, bir protokoldeki hataları bulmak için test senaryoları kullanma sürecini ifade eder. Protokolün doğruluğunu matematiksel olarak kanıtlayan biçimsel doğrulamayla kıyaslandığında, güvenlik testleri biçimsel doğrulamadaki sembolik girdiler yerine somut girdiler kullandığından çok daha verimli olmakla birlikte daha az kapsamlıdır.
- Foundry, akıllı sözleşmeler için popüler geliştirme ve test çerçevelerinden biridir. Geliştiriciler testlerini Foundry üzerinde çalıştırabilir. Foundry ayrıca DeFi protokollerinde bulanık test (fuzz testing), değişmez test (invariant testing) ve karşılaştırmalı test (differential testing) gerçekleştirme olanakları da sunmaktadır.
- Diğer güvenlik test araçları arasında Tenderly ve Hardhat yer almaktadır.
Lansman Sonrası Güvenlik
Bu kategori, bir protokolün lansmanından (veya ana ağda yayına girmesinden) sonra uygulanan güvenlik önlemlerini kapsamakta olup hata ödül programları, saldırı tespiti ve operasyonel izlemeyi içermektedir.
Hata Ödül Programları
Hata ödül programları, protokoller ile güvenlik araştırmacıları arasında bir köprü kurmaktadır. Temel mantık, araştırmacıları ödül karşılığında sıfır gün açıklarını bildirmeye teşvik etmektir. Özellikle, protokoller hata ödül platformlarına ödüllerini listeleyerek kapsam ve bildirilen hatalar için sunulan ödül miktarını ayrıntılı biçimde belirtebilir. Immunefi, öne çıkan Web3 hata ödül platformlarından biridir.
Saldırı Tespiti
Saldırı tespit platformları, kötü amaçlı işlemleri belirlemek amacıyla işlemleri tarar. Bu platformlar, bir protokolle etkileşime giren işlemleri kötü amaçlı davranışlar açısından inceler. Böyle bir işlem tespit edildiğinde uyarı tetiklenir.
- Örneğin BlockSec Phalcon, işlemleri tarayarak kötü amaçlı faaliyetleri (kötü amaçlı sözleşmeler veya teklifler gibi) tespit etmek için davranış tabanlı bir tespit motoru kullanır. Bunu, her finansal işlem adımını gözlemleyerek şüpheli davranışları arayan sanal bir güvenlik görevlisi olarak düşünebilirsiniz. Bu işlemlerden davranış kalıplarını çıkarır; tıpkı bir dedektifin ipuçlarını analiz etmesi gibi, ardından olası saldırıları tespit etmek için bankaların dolandırıcılık tespitinde kullandıklarına benzer finansal modeller uygular.
- Benzer sistemler arasında Hypernative ve Hexagate tarafından sunulan ürünler yer almaktadır.
- Bunlara ek olarak, Ironblocks'un Venn Security network'ü, birden fazla kaynaktan gelen tespit sonuçlarını bir araya getiren merkezi olmayan bir altyapı sunmaktadır.
Operasyonel İzleme
Operasyonel izleme çerçeveleri, DeFi protokolleri için operasyonel güvenlik uygulamak amacıyla bir yol sunar. Örneğin, DeFi protokolünün yönetici anahtarı değişikliklerini bilmesi, akıllı sözleşme dağıtımı ve güncellemelerini gerçekleştirmesi ve çekme isteklerini güvenlik açıkları açısından otomatik olarak taraması gerekmektedir.
- OpenZeppelin Defender, geliştiricilerin akıllı sözleşmeleri güvenli biçimde kodlamasına, dağıtmasına ve işletmesine olanak tanıyan bir platform sunmaktadır.
- BlockSec Phalcon, sözleşme güncellemeleri, Safe cüzdan işlem oluşturma, yeni imzalar ve yürütme, erişim kontrolü ile yönetişimle ilişkili riskleri izleyebilmektedir.
- Forta Network, kullanıcıların protokollerini izlemek için kendi botlarını oluşturmasına veya kimlik avı ya da tehdit uyarıları için mevcut botlara abone olmasına imkân tanıyan bir altyapıya sahiptir.
Saldırı Müdahalesi
Bu kategori, bir saldırı gerçekleştiğinde devreye giren güvenlik önlemlerini kapsamakta olup saldırı engelleme, otomatik eylem, savaş odası, kök neden analizi ve saldırganın fon akışı takibini içermektedir.
Saldırı Müdahalesi'ndeki beş önlem arasında saldırı engelleme özellikle dikkat çekicidir; zira proje ekiplerine önceden önleyici tedbirler uygulama imkânı tanıyarak saldırıları yürütülmeden engellemeyi ve kayıpları sıfıra indirmeyi mümkün kılmaktadır. Otomatik müdahale platformları da saldırıların yol açtığı hasarı azaltmaya yardımcı olmaktadır.
Savaş odası kurma, kök neden analizi yapma ve çalınan fonları takip etme ise saldırı gerçekleştikten sonra atılan reaktif adımlardır. Bu stratejiler bir miktar hasarı hafifletebilir ve gelecekte benzer saldırıların önlenmesine katkı sağlayabilir; ancak kayıplar zaten gerçekleşmiş olabilir ve geri kazanılması güç olabilir. Bunun yanı sıra, projenin itibarına verilen zarar ve kullanıcı güveninin sarsılması derin izler bırakabilir.
Riskler her yerde olup çoğu zaman kontrol dışıdır; ancak önleyici savunma önlemleri almak tamamen sizin elinizdedir ve şiddetle tavsiye edilir.
Saldırı Engelleme
Pratikte saldırılarla mücadelede yalnızca saldırı tespiti yeterli değildir. Bunun nedeni, saldırıları otomatik olarak engelleme yeteneği olmaksızın manuel müdahalelerin yeterince hızlı olamamasıdır. Bazı durumlarda (aşağıdaki tabloda yer alan KyberSwap, Gamma Strategies ve Telcoin örneklerinde görüldüğü gibi), protokolün manuel eylem gerçekleştirmesi birkaç dakika hatta saatler almakta; bu da varlıkları korumak için çok geç kalınmasına neden olmaktadır. Velocore ve Rho'ya yönelik son saldırılarda ise sırasıyla Linea ve Scroll zincirinin tamamı duraklatılmış; bu durum L2 zincirleri için merkezileşme kaygısını beraberinde getirmiştir.
Saldırı engelleme, saldırıları otomatik olarak önleme kapasitesidir ve iki temel teknik gerektirmektedir: erken tespit ve saldırıların otomatik olarak önüne geçme.
- Erken tespit, sistemin saldırı işlemlerini zincirde kesinleşmeden önce, özellikle henüz bellek havuzunda (mempool) beklerken tanımlayabilmesi anlamına gelmektedir.
- Saldırının önüne geçmek ise protokolü durdurmak amacıyla saldırı işleminden önce zincire bir işlem yerleştirmeyi ifade eder; böylece saldırı yürütülmeden etkisiz hâle getirilir.
Bu kategoride, söz konusu temel tekniklere sahip tek ürün BlockSec Phalcon'dur. Bir saldırgan saldırı işlemini başlattıktan sonra Phalcon'ın saldırı izleme motoru bu işlemi anında tespit edebilmekte, kullanıcılara saldırı uyarıları gönderebilmekte ve protokolü otomatik olarak duraklatmak için önce davranabilmekte; böylece kayıpları sıfıra indirmektedir. Temel teknikleri, 20 milyon doların üzerindeki 20'den fazla kurtarma operasyonuyla gerçek koşullarda sınanmıştır.
Otomatik Eylem
Phalcon, Hexagate ve Hypernative gibi platformlar, bir saldırı gerçekleştiğinde otomatik olarak da müdahale edebilmektedir.
Bu platformlara abone olan kullanıcılar, çeşitli protokol riskleri için izleme ve müdahale önlemleri belirleyebilir. Bir işlem izleme kurallarıyla eşleştiğinde sistem, kullanıcı tarafından önceden ayarlanan müdahale eylemlerini (protokolü duraklatmak gibi) otomatik olarak başlatarak kayıpları azaltır.
Ancak bazı platformlarda saldırı tespit motoru bulunmamakta; dolayısıyla sistem, saldırı işlemlerini doğrudan tanıyıp kullanıcıya bildireme mektedir. Bunun yerine, kullanıcıların hangi koşullarda bir işlemin saldırı sayılacağını özelleştirmesi gerekmektedir. Saldırı işlemlerinin özellikleri son derece karmaşık olduğundan ve kullanıcılar (çoğunlukla sözleşme geliştiricileri) yeterli güvenlik bilgisine sahip olmayabileceğinden, bu durum onlar için oldukça zorlu olabilir.
Savaş Odası
Bir protokol saldırı altındayken savaş odası kurulması gerekmektedir. Bu, protokolün yaşananları anlamasına, toplulukla istihbarat paylaşmasına ve ileri eylemler için kaynakları harekete geçirmesine yardımcı olur. Süreç genellikle farklı perspektiflerden uzmanların katılımını içermektedir.
SEAL 911, "kullanıcılara, geliştiricilere ve güvenlik araştırmacılarına acil durumlarda son derece güvenilir küçük bir güvenlik uzmanları grubuyla iletişim kurmanın erişilebilir bir yolunu sunmak" amacıyla oluşturulmuş bir projedir. SEAL 911 Telegram Botu aracılığıyla erişilebilir. Saldırı altındaki bir proje söz konusu olduğunda, protokole yardımcı olmak üzere bir savaş odası kurulabilir.
Kök Neden Analizi
Bir saldırı gerçekleştiğinde protokolün, akıllı sözleşmelerdeki güvenlik açığı ve bunun nasıl istismar edildiği gibi temel nedenleri anlaması gerekmektedir. Bunun için saldırı işlemlerini analiz etmeye yönelik kullanışlı araçlara ihtiyaç duyulmaktadır. Phalcon Explorer, OpenChain ve Tenderly bu amaçla kullanılabilir.
Fon Akışı Takibi
Fon akışı takibi, ilgili adres ve kuruluşları belirlemek amacıyla saldırganın başlangıç fonlarını ve saldırı kârlarını blok zinciri üzerinde izlemeyi kapsamaktadır. Varlıklar merkezi kuruluşlara (ör. merkezi borsalar ve kurumsal düzeydeki diğer kuruluşlar) akıyorsa, fonların dondurulmasına yardımcı olmaları için kolluk kuvvetleriyle iletişime geçilebilir.
Bu kategoride Chainalysis, TRM Labs, ARKHAM, ELLIPTIC, MetaSleuth ve diğerleri dahil olmak üzere çeşitli şirket ve araçlar yer almaktadır.
- Örneğin BlockSec tarafından geliştirilen MetaSleuth, cüzdan adreslerine ait zengin etiketlerle farklı zincirler arasındaki fon akışını otomatik olarak izleyebilmektedir.
- ARKHAM, protokolün soruşturma için ödül koyabildiği bir topluluğa sahiptir; bu durum topluluğu saldırganın fonlarını takip etmeye teşvik etmektedir.
Güvenlik Eğitim Kaynakları
Bilinçli zihinler daha güçlü savunmalar inşa eder. Yukarıda bahsedilen güvenlik sağlayıcıları ve ürünlerinin ötesinde, DeFi güvenliğinin bir diğer kritik bileşeni de eğitim platformlarıdır.
Bu platformlar, DeFi uygulayıcılarına ve kullanıcılarına güvenlik konusundaki öngörüleri anlamak, farkındalıklarını artırmak ve güvenlik becerilerini geliştirmek için temel kaynaklar sunmaktadır. DeFi güvenliğinin ilerlemesinde hayati bir rol oynamaktadırlar. Bu eğitim platformlarına duyduğumuz takdiri ifade ediyor ve dikkat çekici birkaç örneği aşağıda listeliyoruz.
- SΞCURΞUM: Ethereum güvenliğine odaklanan bir Discord topluluğudur. "Secureum RACE" adıyla aylık akıllı sözleşme güvenliği sınavına da ev sahipliği yapmaktadır.
- Güvenlik Olayları Panosu: Bu platform, 100.000 doların üzerinde kayba neden olan tüm saldırı olaylarını; kayıpları, etkilenen zincirleri, güvenlik açıklarını, kök nedenleri ve PoC'leri ayrıntılı biçimde toplayarak sunmaktadır.
- Rekt: DeFi gazeteciliğinin karanlık ağı olarak bilinen Rekt, ekosistem içindeki istismarları, saldırıları ve dolandırıcılıkları derinlemesine analiz etmektedir.
- RugDoc: Proje risklerini değerlendiren bir DeFi güvenliği ve eğitim topluluğudur. Aynı zamanda DeFi ekosistemini ve teknolojisini tanıtan RugDocWiKi adlı bir platformu da bünyesinde barındırmaktadır.
- DeFiHackLabs: 2.600'den fazla üyesi ve yaklaşık 200 beyaz şapkalı hacker'ı bulunan, Web2 ile Web3 güvenlik uzmanlığı arasındaki köprüyü kurmayı hedefleyen bir Web3 güvenlik topluluğudur.
- Solodit: Çeşitli Web3 denetim şirketlerinin geçmiş raporlarını derleyen ve akıllı sözleşme denetçileri için değerli bir kaynak niteliği taşıyan bir platformdur.
- Ethernaut: Oyuncuların Ethereum sözleşme güvenlik açıklarını tespit ettiği, CTF (Bayrağı Yakala) yarışmalarına benzer bir Web3/Solidity tabanlı oyundur.
Sonuç
Güvenlik, DeFi ekosistemine yönelik her yıl milyarlarca dolarlık kayba yol açan süregelen ve ciddi bir tehdit olmayı sürdürmektedir. Şu an itibarıyla güvenlik önlemlerinin büyük bölümü lansman öncesi aşamada uygulanmaktadır. Ancak güvenlikte sihirli bir formül yoktur ve bir DeFi protokolünün tüm yaşam döngüsü boyunca farklı yöntemlerin hayata geçirilmesi gerekmektedir. Sektörün saldırıları izlemek ve daha da önemlisi otomatik olarak engellemek için lansman sonrası güvenlik çözümlerini benimseyeceğini öngörüyoruz. Kullanıcı varlıklarını tam anlamıyla korumak için ekosistemde güvenlik öncelikli bir kültürün yerleşeceğini umuyoruz.
