OpenZeppelin CEO'su DeFi'nin Güvensiz Olduğunu Söylüyor: Denetim Modeli Öldü
OpenZeppelin'in kurucu ortağı Manuel Aráoz, geçen hafta bir dinleyici kitlesine yapay zekanın akıllı kontrat açıklarını bulmada insanüstü bir seviyeye ulaştığı için DeFi'nin artık güvende olmadığını söyledi. Kurduğu şirket, Ethereum'un büyük çoğunluğunun varsayılan olarak içe aktardığı güvenlik kütüphanelerini yazıyor. OpenZeppelin CEO'su DeFi'nin güvensiz olduğunu söylediğinde, denetim modeli üzerine yürütülen tartışma fiilen kapanmış demektir.
Dört yıldır LCX'te denetim raporlarının yayımlanışını izliyorum. İyi olanlar yoğun, odaklı ve kapsam sınırları konusunda dürüst. Ancak zamana sabitlenmiş durumlar bunlar. Salı günü denetlediğiniz protokol, yönetişim bir yapılandırma değişikliği gönderdiğinde, bir bağımlılık sürüm atladığında ya da yeni bir oracle bağlandığında Cuma günü çalışan protokol değildir artık. Aráoz'un CoinDesk'e yansıyan görüşü şu: Bu asimetrinin saldırgan tarafı yeni bir büyüklük mertebesine taşındı.
Bu arada, son on iki ayda DeFi protokollerinden 1,1 milyar doların üzerinde para akıtıldı. Bu rakam bir açık avlama sorunu değil. Bir sistem tasarımı sorunudur.
OpenZeppelin CEO'sunun DeFi'yi güvensiz ilan etmesi neden önemli
Aráoz, sektöre bedavadan atış yapan bir outsider değil. Standartları bizzat o inşa etti.
Ciddi her protokolün neredeyse tamamının kullandığı ERC-20, ERC-721 ve AccessControl şablonları OpenZeppelin kütüphanelerine dayanıyor. O kurucu güvenlik modelinin kırıldığını söylediğinde, herhangi bir rastgele Twitter gönderisinin taşımadığı bir ağırlık taşıyor bu söz. Manuel Aráoz'un yapay zekanın insanüstü hackleme kapasitesine ulaştığı çerçevesi bu kadar ses getirdiyse, bunun nedeni söyleyenin eski modelin bedelini bizzat ödemiş biri olmasıdır.
Bu kabulün fiilen ne içerdiğine dair kısa bir liste:
- Anlık denetimler, yapay zeka ajanlarının yeni saldırı vektörleri keşfetme hızına ayak uyduramamaktadır.
- Saldırgan taraftaki ekonomik teşvikler artık insan denetçi sayısıyla değil, model kapasitesiyle orantılı olarak büyümektedir.
- En üst düzey firmalar tarafından denetlenen kod tabanları bile 2025 ve 2026'da istismar edilebilir hatalar içermiştir.
DeFi denetim modeli 2030'da değil, 2026'da eskidi
PDF-odaklı denetim modeli zaten zorlanıyordu. Yapay zeka bu zorlanmayı gün yüzüne çıkardı.
Geleneksel bir Solidity denetimi, bir ila dört haftalık insan incelemesinden, bir rapordan ve sabit ücretli bir hizmet sözleşmesinden oluşur. Çıktı ise bir anlık görüntüdür. Saldırganın artında yorulmak bilmeyen bir ajanı var; bu ajan kahve molası vermeden fuzz testleri yapabiliyor, mainnet durumunu yeniden çalıştırabiliyor ve binlerce geçmiş istismarla örüntü eşleştirmesi yapabiliyor. Aráoz'un yapay zekanın saldırgan güvenlikte insanüstü bir seviyeye ulaşmakta olduğunu söylerken kastettiği asimetri tam da bu.
Somut ve yakın tarihli bir örnek: Kelp DAO'ya 292 milyon dolara mal olan LayerZero DVN yanlış yapılandırması bir Solidity hatası değildi. Denetlenmiş bir durum ile çalışan bir durum arasındaki yapılandırma kaymasıydı. Ops ekibi Cuma öğleden sonra bir değişiklik gönderdiğinde hiçbir PDF denetimi bunu yakalayamaz.
En sade ifadeyle şöyle söyleyebilirim: bir denetim, kodun incelendiği gün muhtemelen güvenli olduğunu söyler. Sistemin şu an güvenli olduğunu söylemez.
Yapay zeka destekli akıllı sözleşme güvenlik açığı tarayıcısı aslında neyi değiştiriyor
Bu süreçte savunma tarafı da hareket halindeydi; yalnızca saldırı tarafından daha yavaş ilerliyordu. Aradaki bu fark sorunun tam özüdür.
Üretimde işe yarayan gördüğüm örüntü, "denetçinin yerini al" yaklaşımından çok "her protokole sürekli bir rakip kazan" yaklaşımına benziyor:
- Yalnızca dağıtımda değil, her yönetişim eyleminin ardından dağıtılmış bytecode üzerinde yeniden fuzz testi yapan yapay zeka ajanları.
- Canlı durumu izleyen ve matematiğin saptığında, bir insan Discord'da fark etmeden önce devre kesicileri tetikleyen değişmez monitörler.
- Bulguları 7/24 otomatik olarak gönderip önceliklendiren özerk ajanlara bağlı hata ödül platformları.
Forta, Spearbit'in Cantina'sı ve OpenZeppelin'in kendi Defender'ı, birkaç yıldır bu yönde ilerliyordu. Aráoz'un işaret ettiği dönüşüm şu: bu artık premium katman değil. Bu, taban seviyesi.
DeFi protokolleri için yıllık denetim değil, sürekli güvenlik
Aklıma gelen analoji tıp dünyasından. Listeleme öncesi denetim bir sağlık muayenesi, sürekli güvenlik ise kalp monitörü.
Düzenlenmiş finansta denetçi yılda bir kez onay verir; ancak SIEM, WAF ve işlem gözetim sistemi her saniye çalışır. DeFi, yılda bir kez yapılan kısmı benimseyip canlı izleme kısmını atladı, sonra bir milyar doların kapıdan çıkmasına şaşırdı. Yirmi yıllık bulut güvenliğinin dersi açık: ilk harcamanın ötesinde harcanan her dolar için izleme, denetimi geride bırakır.
Gerçekleşeceğine inandığım birkaç somut değişim:
- Denetim firmalarının, rapor teslim eden kuruluşlar olmaktan çıkıp SLA'lı sürekli izleme sağlayıcılarına dönüşmesi.
- Sigorta sigortacılarının protokolleri son PDF'lerine göre değil, canlı güvenlik telemetrisine göre fiyatlandırması.
- Belirli bir eşiğin üzerindeki her parametre değişikliğinde yeniden denetim zorunluluğu getiren yönetişim çerçeveleri.
Bunların hiçbiri alışılmadık değil. Web2 bunu on yıl önce çözdü. DeFi'nin daha zorlu versiyonuyla uğraşması, kodun bizzat banka kasası olmasından kaynaklanıyor.
Protokollerin bu çeyrekte gerçekten yapması gerekenler
Bir DeFi protokolü yönetiyorsanız ve bunu okuyorsanız, yapılacaklar listesi açık:
- Denetim PDF'ini güvenlik çıktısı olarak görmeyi bırakın. Onu bir sürecin girdisi olarak değerlendirin.
- Monitörleri önem verdiğiniz değişmezlere bağlayın: teminat oranları, oracle sapmaları, yönetici rol değişiklikleri, köprü giriş/çıkış oranları.
- Gerçekten test ettiğiniz bir durdurma anahtarı kurun. Hiç tetiklenmemiş bir duraklatma fonksiyonu, sadece dekorasyondur.
- Dağıtılmış sözleşmelerinize karşı yapay zeka destekli fuzzing testlerini düzenli aralıklarla çalıştırın. Bir kez değil, sonsuza kadar.
Uyum sağlayan firmalar, Büyük Dörtlü bir denetçiden çok Datadog'a benzeyecek. Uyum sağlayamayanlar ise bir sonraki 200 milyon dolarlık manşet olacak.
Aráoz'un yorumunun daha derin okuması şu anlama geliyor: Güvenlik sektörü sonunda sessiz kalan gerçeği dile getirdi. Saldırgan yığın, iki yıldır savunma yığınından daha hızlı birikmekteydi ve bu uçurum artık savunma yığınını inşa edenlerin bunu açıkça kabul etmesine yetecek kadar büyüdü.