Web3'ün sürekli gelişen dünyasında güvenliğin önemi abartılamaz. Ayı piyasası koşullarına rağmen, DeFi hack'lerinde ve dolandırıcılıklarında yaşanan çarpıcı artış endişelere yol açmaktadır. Sayısız mağdur, zor kazanılan paralarını kaybettikten sonra yardım arayışına girmiş; bu durum sorunun ciddiyetini ve önleyici tedbirlere duyulan kritik ihtiyacı gözler önüne sermiştir.
BlockSec'in Tanıtımı
Blockchain platformumuz, önde gelen yatırımcıların ve müşterilerin desteğiyle 2021 yılında kurulmuştur. Platform; güvenlik araştırmacıları tarafından işlemleri analiz etmek amacıyla yaygın biçimde kullanılan Phalcon Explorer dahil çeşitli ürünler sunmaktadır. Bunun yanı sıra platform, topluluk için ücretsiz olarak sunulan MetaDock ve MetaSleuth ürünlerini de sağlamaktadır.
Web3'te Güvenlik Neden Önemlidir
Web3'te güvenliğin önemi açıkça ortadadır; zira ayı piyasası koşullarında bile DeFi hack'lerindeki ve dolandırıcılıklarındaki artış endişe vericidir. Paralarını kaybettikten sonra yardım için başvuran mağdur sayısının giderek artması, sorunun ciddiyetini ve bu tür saldırıların yol açtığı iflasları önlemek için gerekli yardım ihtiyacını açıkça ortaya koymaktadır.
DeFi Hack'leri Neden Bu Kadar Yaygın
DeFi hack'leri günümüzde çeşitli nedenlerle yaygınlaşmıştır.
- Birincisi, saldırganların bu hack'leri gerçekleştirmek için ekonomik teşvikleri bulunmaktadır; zira bu eylemlerden önemli kazançlar elde edebilmektedirler.
- İkincisi, yeterli sayıda nitelikli geliştirici eksikliği protokollerdeki güvenlik açıklarına zemin hazırlamaktadır. Birçok geliştirici, güvenlik yerine işlevselliğe odaklanmakta ve blockchain güvenliği konusunda yeterli eğitimden yoksun kalmaktadır.
- Ayrıca üniversitelerin blockchain güvenliği alanında sunduğu kurslar sınırlı kalmakta; bu durum toplulukta nitelikli uzman açığına yol açmaktadır.
- Son olarak, bazı hack'ler organize hacker grupları veya ülke çapındaki organizasyonlar tarafından başlatılmaktadır. Bu gruplar son derece gizli ve ısrarcı bir yapıya sahip olup büyük kârlar elde etmek amacıyla özellikle finansal kuruluşları, askeri organizasyonları ve kripto para borsalarını hedef almaktadır. Gelişmiş saldırı yöntemleri ve geniş kaynakları, DeFi projeleri için çok daha büyük bir tehdit oluşturmaktadır.
DeFi Protokolünün Güvenliği
Protokol güvenliği tartışıldığında, pek çok kişi DeFi protokolleri için birincil çözüm olarak kod denetimlerini düşünmektedir. Ancak kod denetimleri tek başına yeterli değildir; zira hem maliyetli hem de zaman alıcı bir süreçtir. Nitelikli denetim hizmetleri oldukça pahalıdır ve süreç birkaç ay sürebilmekte; bu durum zaman kısıtlaması olan bazı protokoller için pratik bir çözüm olmaktan çıkmaktadır.
Bunun yanı sıra alanda nitelikli denetçi sayısı yetersiz kalmakta ve bu durum mevcut uzmanlık eksikliğine yol açmaktadır. Sonuç olarak bazı protokoller, kapsamlı güvenlik önlemleri alınmadan yayına girmek zorunda kalmakta; bu da giderilmemiş güvenlik açıklarına ve potansiyel tehditlere neden olmaktadır.
Web3'te Proaktif Yaklaşım Neden Önemlidir
DeFi protokollerinin güvenliğini sağlamak için proaktif bir yaklaşım büyük önem taşımaktadır. Bu, protokollerin yalnızca devreye alınıp kendi haline bırakılamayacağı anlamına gelmektedir. Protokollerin, içlerindeki devam eden faaliyetleri etkin biçimde izlemesi ve olası saldırılara otomatik olarak yanıt vermeye hazır olması gerekmektedir.
Bu proaktif yaklaşımın önemi, aşağıdaki nedenlerle Web2'ye kıyasla Web3'te çok daha belirgindir.
- Birincisi, Web3 daha fazla saldırı vektörü sunmakta ve blockchain'in açık yapısı, hem iyi niyetli hem de kötü niyetli kullanıcıların akıllı sözleşmelerin kaynak koduna erişmesini ve analiz etmesini kolaylaştırmaktadır.
- İkincisi, güvenlik açıklarından yararlanmak saldırganlar için özellikle blockchain işlemlerinin anonim yapısı nedeniyle cazip hale gelmekte; bu da faaliyetlerinin takip edilmesini güçleştirmektedir.
- Üçüncüsü, anlık kredi (flash loan) imkânının bulunması, saldırganların finansal kapasitelerini artırmasına olanak tanımaktadır; oysa Web2'de saldırı başlatmak önemli miktarda sermaye gerektirmekteydi.
- Son olarak, belirli özel işlem hizmetleri kötü amaçlı işlemleri gizlemek için suistimal edilebilmektedir.
Sonuç olarak, Web3'ün kendine özgü özellikleri protokollere ve kullanıcılara yönelik zararlı saldırıların gerçekleşmesini kolaylaştırırken saldırganların izlenmesini ve tespit edilmesini aynı anda zorlaştırmaktadır.
Sistemimiz Nasıl Çalışır
Blockchain sektöründe BlockSec Phalcon adını verdiğimiz bir prototip sistem geliştirdik. Şubat 2022'den bu yana, kod denetimlerinin ötesine geçerek DeFi hack'leriyle ilişkili belirli zorlukların üstesinden gelmenin yollarını aktif biçimde araştırıyoruz.
BlockSec Phalcon, blockchain üzerindeki işlemleri yakından izlememize olanak tanımaktadır. Bu işlemleri izleyerek ve onlara otomatik olarak yanıt vererek, saldırı işlemlerini yeniden oynatarak ve saldırı sözleşmesinin temel mantığını kopyalayarak temel teknolojiyi yeniden oluşturabilmekteyiz.
Bu süreç, yeni bir kurtarma akıllı sözleşmesi sentezlememizi sağlamaktadır. Ardından kurtarma işlemlerini göndererek işlemlerimizin daha hızlı gerçekleşmesini ve blockchain üzerinde saldırı işlemlerinin önüne geçmesini sağlayabiliriz. Bu yaklaşımı kullanarak daha hızlı hareket edip blockchain içinde öncü bir konum elde ederek saldırı işlemlerini tamamen engelleme potansiyeline sahibiz.
"Saldırı" Sözleşmesi Oluşturma Nasıl Çalışır
Bu mekanizmanın veya sistemin temel yönü, saldırı işlemlerini ve "saldırı" sözleşmelerini nasıl otomatik olarak yeniden oluşturduğudur. Temel fikir, saldırı işlemlerinde ve saldırı akıllı sözleşmelerinde en önemli unsurun ne olduğunu düşünmektir; bu kritik unsur, akıllı sözleşme içindeki saldırı mantığıdır.
Temel fikir basit görünse de pratikte o kadar kolay değildir. Bir dizi teknik zorlukla karşı karşıya kalmaktayız. En önemli nokta, akıllı sözleşmeler içindeki temel blokların yeniden kullanımının nasıl ele alınacağıdır. Derleyiciler, daha küçük kod üretmek amacıyla sıklıkla blok yeniden kullanımından yararlanmakta; bu durum kod boyutu küçültmede yaygın bir uygulama haline gelmektedir. Bu süreçte, iki yüzyılı aşkın süredir kullanılan ve geliştirilen bir teknik olan ikili kod yeniden yazma kavramından ilham aldık. Bu nedenle bu fikri, bytecode yeniden yazma tekniğine uyguluyoruz.
Ne Tür Önemli Başarılara Ulaştık
Sistemimizi kullanarak birden fazla protokol saldırı işlemini başarıyla engelledik ve önemli likidite kayıplarını telafi ettik. Örneğin, bu yıl ParaSpace için 5 milyon dolarlık kaybı geri almayı ve geçen yıl Saddle Finance için 3,8 milyon doları kurtarmayı başardık. Aşağıdaki tartışmada, bu işlemleri nasıl engellediğimizi açıklamak amacıyla temsili vakaları ele alacağız.
ParaSpace'i örnek olarak ele alalım. Bu yılın Mart ayında bir saldırıyla karşılaştı; ancak saldırganlar kritik hatalar yaptı. Yeterli gaz tahsis etmeyi başaramadılar ve bu durum işlemin geri alınmasıyla sonuçlandı. Bu işlemi blockchain üzerinde izleyerek tespit ettik. Ardından otomatik olarak benzer bir kurtarma sözleşmesi sentezledik. Kurtarma sözleşmemizi blockchain üzerinde çalıştırdıktan sonra BlockSec, ParaSpace için 5 milyon dolarlık kaybı başarıyla telafi etti.
Bir diğer vaka ise bu yılın Şubat ayında saldırıya uğrayan Platypus'tur. Saldırganlar, akıllı sözleşmedeki bir güvenlik açığından yararlanarak Platypus DeFi protokolünü istismar etmek için bir giriş noktası buldu. Ancak ele geçirilen sözleşmeden fon çekme mantığını kurgulamayı gözden kaçırdılar. Sonuç olarak, hackerlar şu soruyla karşı karşıya kaldı: Ele geçirilen sözleşmeden kalan 2,4 milyon doları nasıl çıkarabilecekler?
Bu senaryoda BlockSec, saldırı sözleşmesini otomatik olarak parçalara ayıran dahili bir sisteme sahiptir. Sezgisel yöntemler aracılığıyla saldırı akıllı sözleşmesinin kapsamlı bir analizini gerçekleştirerek ilgi çekici özellikler ortaya çıkardık.
İlk olarak, bu sözleşmedeki flash loan geri çağırma işlevinin açıkta olduğunu tespit ettik. İkinci olarak, Platypus havuz sözleşmesine USDC için onay verilmişti. Havuz sözleşmesi, saldırıya uğrayan sözleşmeden kalan USDC'yi çekmek amacıyla bu onayı kullanacak şekilde yükseltilebilir. Bu fikri ve PoC'yi protokolle paylaşarak saldırı sözleşmesinden 2,4 milyon doların başarıyla geri alınmasına yardımcı olduk.
Bir diğer vaka ise bir MEV botu tarafından hedef alınan Transit Swap'tır. MEV botunun adresinin Profanity adlı hatalı bir araç tarafından oluşturulduğunu keşfettik. Bu araçtaki güvenlik açığından yararlanarak MEV botunun özel anahtarını hesapladık ve protokolü tazmin etmek amacıyla fonları geri aldık.
Bu Sistemin Verimliliği Nasıl Artırılır
Bu sistemin verimliliğini artırmanın dikkatli bir düşünce ve stratejik eylemler gerektirdiğini düşünüyoruz.
- Birincisi, hızlı ve proaktif bir yanıt şarttır. Durumlar ortaya çıktığında bilgi toplamak ve anında adım atmak büyük önem taşımaktadır.
- İkincisi, doğruluğu korumak kritik bir önem taşımaktadır. Aşırı sayıda yanlış uyarı üretmekten kaçınmalıyız. Daha önce de tartıştığımız gibi, izleme aracınız çok fazla uyarı üretirse bu durum ürünün kullanılabilirliğini önemli ölçüde etkiler. Bu nedenle saldırganları takip etmeye odaklanmak yerine sistematik bir yaklaşım benimsemeye çalışmalıyız.
BlockSec, sözleşme analizi ve ayrıştırma için bir dizi araca sahip olup titiz bir bytecode analizi gerçekleştirmek amacıyla sezgisel yöntemler kullanmaktadır. Tüm bu önlemler, kapsamlı bir sistem oluşturmayı ve etkili bir ürün sunmayı hedeflemektedir.
Web3'ün dinamik dünyasında güvenlik son derece büyük önem taşımaktadır. DeFi hack'lerinin artışıyla birlikte, proaktif bir yaklaşım benimsemek ve protokollerle kullanıcıları korumak amacıyla BlockSec Phalcon gibi yenilikçi sistemlerden yararlanmak zorunlu hale gelmektedir. Güvenlik önlemlerinin sınırlarını sürekli olarak genişleterek Web3'ün güvenliğini ve bütünlüğünü artırmaya ve güvenli ile müreffeh bir merkeziyetsiz geleceğin önünü açmaya çalışıyoruz.
