samczsun: Kripto protokollarının təhlükəsizliyi üçün əsas, fəal şəkildə yenidən audit aparmaqdır

Boşluq mükafatı proqramı passiv tədbirdir, halbuki təhlükəsizlik müdafiəsi fəal şəkildə təşviq edilməlidir.

Müəllif: samczsun, Security Alliance təsisçisi, keçmiş Paradigm tədqiqat ortağı

Bu gün sənayedə konsensus formalaşıb ki, kriptovalyuta təhlükəsizliyi üç əsas addıma riayət etməlidir: inkişaf mərhələsində əsas səhvləri aşkar etmək üçün test halları yazmaq; yerləşdirmədən əvvəl audit və müsabiqələr vasitəsilə hərtərəfli yoxlama aparmaq; və boşluq mükafatı proqramı qurmaq, məsuliyyətli şəkildə boşluqları açıqlayan tədqiqatçılara hücumların qarşısını almaq üçün mükafat vermək. Bu ən yaxşı təcrübələrin yayılması zəncir üzərindəki boşluqların sayını xeyli azaldıb və hücumçuları əsasən şəxsi açar oğurluğu, infrastruktur sındırılması kimi zəncirxarici boşluqlara yönəldib.

Lakin, hərtərəfli auditdən keçmiş və yüksək boşluq mükafatı təklif edən protokollar belə bəzən haker hücumlarına məruz qalır. Bu cür hadisələr yalnız protokolun özünə deyil, bütün ekosistemin etibar təməlini sarsıdır. Son vaxtlar baş verən Yearn, Balancer V2 haker hücumları, eləcə də ilin əvvəlindəki Abracadabra və 1inch təhlükəsizlik hadisələri göstərir ki, uzun müddət sınaqdan çıxmış protokollar belə tam təhlükəsiz deyil. Kripto sənayesi bu hücumların qarşısını ala bilərdimi? Yoxsa bu, DeFi-nin qaçılmaz bədəlidirmi?

Şərhçilər tez-tez qeyd edirlər ki, boşluq mükafatının artırılması bu protokolları qoruya bilərdi. Lakin iqtisadi reallığı bir kənara qoysaq belə, boşluq mükafatı əslində passiv təhlükəsizlik tədbiridir və protokolun taleyini ağ papaqlı hakerlərin əlinə verir, halbuki audit protokolun özünün fəal müdafiə addımıdır. Boşluq mükafatının artırılması haker hücumlarının qarşısını ala bilməz, çünki bu, sadəcə olaraq ikiqat mərc etməkdir və ümid edilir ki, ağ papaqlı hakerlər qara papaqlı hakerlərdən əvvəl boşluğu aşkar edəcəklər. Protokol həqiqətən özünü qorumaq istəyirsə, fəal şəkildə yenidən audit aparmalıdır.

Xəzinə vəsaiti və kilidlənmiş dəyər (TVL)

Bəzən hakerlər oğurlanmış vəsaitin böyük hissəsini qaytarmağa razı olurlar və yalnız kiçik bir hissəni (adətən 10%) mükafat kimi saxlayırlar. Təəssüf ki, sənayedə bu mükafat "ağ papaq mükafatı" adlandırılır və bu, sual doğurur: protokol niyə eyni məbləği birbaşa boşluq mükafatı proqramı vasitəsilə təklif etmir və beləliklə danışıqlardan qaçmır? Lakin bu düşüncə, hücumçunun oğurlaya biləcəyi vəsaitlə protokolun sərəncamında olan vəsaiti qarışdırır.

Üzdə baxanda, protokol bu iki vəsaiti təhlükəsizlik üçün istifadə edə bilər kimi görünür, lakin protokol yalnız öz xəzinə vəsaitinə qanuni nəzarət edir və istifadəçilərin yatırdığı vəsaitə toxuna bilməz. İstifadəçilər də nadir hallarda protokola belə bir səlahiyyət verirlər, yalnız böhran anında (məsələn, depozitçinin 10% və ya 100% itki arasında seçim etməli olduğu zaman) protokola depozitlərdən istifadə etmək icazəsi verilir. Başqa sözlə, risk kilidlənmiş dəyərlə (TVL) birlikdə artır, lakin təhlükəsizlik büdcəsi eyni sürətlə böyüyə bilmir.

Kapital səmərəliliyi

Protokolun vəsaiti kifayət qədər olsa belə (məsələn, böyük xəzinəsi, yüksək gəlirliliyi var və ya artıq təhlükəsizlik haqqı siyasəti tətbiq edib), bu vəsaitin təhlükəsizlik üçün necə səmərəli bölüşdürülməsi hələ də çətin məsələdir. Yenidən auditə investisiya etməklə müqayisədə, boşluq mükafatının artırılması yaxşı halda kapital baxımından çox səmərəsizdir, pis halda isə protokolla tədqiqatçılar arasında təşviq uyğunsuzluğu yaradır.

Əgər boşluq mükafatı TVL ilə əlaqələndirilərsə, tədqiqatçılar protokolun TVL-nin artacağını və təkrarlanan boşluq ehtimalının çox aşağı olduğunu düşünsələr, açıq-aydın əsas boşluqları gizlətməyə daha çox motivasiyalı olacaqlar. Bu, nəticədə tədqiqatçılarla protokolu birbaşa qarşı-qarşıya qoyacaq və istifadəçilərin maraqlarına zərər vuracaq. Təkcə əsas boşluq mükafatını artırmaq da gözlənilən effekti vermir: sərbəst tədqiqatçılar çoxdur, lakin vaxtının çoxunu boşluq mükafatına sərf edən və mürəkkəb protokollarda boşluq tapmaq bacarığı olanlar çox azdır. Bu elit tədqiqatçılar vaxtlarını ən yüksək investisiya qaytarışı olan mükafat layihələrinə yönəldirlər. Böyük və uzun müddət sınaqdan çıxmış protokollar üçün isə, daim hakerlər və digər tədqiqatçılar tərəfindən izlənildiyi üçün boşluq tapmaq ehtimalı çox aşağı hesab olunur və buna görə də nə qədər mükafat təklif edilsə də, onların diqqətini cəlb etmək mümkün olmur.

Eyni zamanda, protokol baxımından boşluq mükafatı əsas boşluq üçün ayrılmış vəsaitdir. Əgər protokol əsas boşluq olmayacağına tam əmin deyilsə və tədqiqatçılardan öz likvidlik vəziyyətini gizlətmək istəmirsə, bu vəsaiti başqa məqsədlə istifadə edə bilməz. Passiv şəkildə tədqiqatçıların əsas boşluq tapmasını gözləməkdənsə, eyni məbləği bir neçə il ərzində dəfələrlə yenidən auditə sərf etmək daha məqsədəuyğundur. Hər bir yenidən audit ən yaxşı tədqiqatçıların diqqətini cəlb edir və yalnız bir boşluqla məhdudlaşmır, həmçinin tədqiqatçılarla protokol arasında maraqların uyğunluğunu təmin edir: əgər protokol istismar olunsa, hər iki tərəf reputasiya zərəri çəkəcək.

Mövcud presedentlər

Proqram təminatı və maliyyə sektorunda illik auditlər sübut olunmuş və yetkin bir təcrübədir və şirkətin daim dəyişən təhlükə mühitinə cavab verə biləcəyini qiymətləndirməyin ən yaxşı yoludur. SOC 2 Type II hesabatı B2B müştəriləri tərəfindən təchizatçının lazımi təhlükəsizlik nəzarətini saxlayıb-saxlamadığını qiymətləndirmək üçün istifadə olunur; PCI DSS sertifikatı şirkətin həssas ödəniş məlumatlarını qorumaq üçün lazımi tədbirlər gördüyünü göstərir; ABŞ hökuməti isə dövlət məlumatlarına çıxışı olan tərəflərin FedRAMP sertifikatı almasını tələb edir ki, yüksək təhlükəsizlik standartları qorunsun.

Smart kontraktlar dəyişməz olsa da, onların işləmə mühiti daim dəyişir. Konfiqurasiya ayarları zamanla dəyişə bilər, asılılıqlar yenilənə bilər, əvvəllər təhlükəsiz hesab olunan kod nümunələri əslində riskli ola bilər. Protokol auditi yalnız audit zamanı təhlükəsizlik vəziyyətinin qiymətləndirilməsidir, protokolun gələcək təhlükəsizliyinə zəmanət deyil. Bu qiymətləndirməni yeniləməyin yeganə yolu yeni audit aparmaqdır.

2026-cı ildə kripto sənayesi illik auditləri protokol təhlükəsizliyinin dördüncü addımı kimi qəbul etməlidir. Yüksək TVL-yə malik mövcud protokollar yerləşdirmə vəziyyətinə görə yenidən audit aparmalıdır; audit şirkətləri isə ümumi yerləşdirmə vəziyyətini qiymətləndirməyə yönəlmiş peşəkar yenidən audit xidmətləri təqdim etməlidir; bütün ekosistem isə audit hesabatlarına yanaşmanı dəyişməlidir – onlar yalnız müəyyən bir anda təhlükəsizlik qiymətləndirməsidir, müddətsiz təhlükəsizlik zəmanəti deyil və vaxtı keçə bilər.