DeFi Neden Saklamasız: Anahtarların Senin, Kripton Senin

12 Haziran 2022'de, kabaca 12 milyar $ değerinde müşteri varlığı tutan bir kripto kredi verme platformu olan Celsius Network, kısa bir blog güncellemesi yayınladı ve platformdaki her hesabı dondurdu. Uyarı yok. İtiraz yok. Yüz binlerce kullanıcı, „Para Çek” düğmesinin sadece hiçbir şey yapmadığını görerek uyandı. Para hâlâ panolarında listeliydi, ekranda rahatlatıcı bir sayı. Sadece artık taşımaları için kendi paraları değildi.

Neden? Çünkü bu kullanıcılar kripto paralarını gerçekten hiçbir zaman elinde tutmadı. Celsius'tan bir vaat tutuyorlardı — Celsius'un özel veritabanında „sana 1 BTC borçluyuz” diyen bir satır. Celsius iflas ettiğinde, o vaat bir iflas talebi hâline geldi ve müşteriler herkesin arkasında sırada bekleyen „teminatsız alacaklılar” olarak yeniden sınıflandırıldı.

Beş ay sonra, FTX aynı şeyi iki katı ölçekte yaptı. Bundan önce, 2014'te Mt. Gox. Farklı markalar, aynı mekanizma: bir şirket anahtarları tuttu, sen bir senet tuttun, ve bir gün senet artık ödemedi.

Bu ders, bu başarısızlık modunu tasarım gereği imkânsız kılan mimari hakkında — ve karşılığında sana geri verdiği sorumluluklar hakkında. Kripto dünyası tüm fikri beş kelimeye sıkıştırıyor: anahtarlar senin değilse, coinler de senin değil.

Neredeyse herkesin çok geç öğrendiği gerçek şu: bir kripto cüzdanı coin saklamaz. Saklanacak coin yoktur. Bitcoin'in telefonunda oturan bir dosya değil — dünya çapındaki binlerce bilgisayarda yaşayan kamuya açık bir defterdeki bir giriş. Cüzdanının gerçekte tuttuğu şey özel anahtardır (private key): defterin o adresin sahip olduğunu söylediği her şeyi taşıma hakkına sahip olduğunu kanıtlayan gizli bir sayı.

Blok zincirini herkesin okuyabileceği küresel bir mülk sicili olarak düşün. Kripto sahibi olmak, „bunu transfer et” diye imzalayabilecek tek anahtara sahip olmak demektir. Bu anahtarı kontrol eden kim olursa olsun fonları kontrol eder — kim olurlarsa olsunlar. Defter isimleri veya şifreleri kontrol etmez. İmzaları kontrol eder.

Bu tek gerçek, tüm sektörü iki kampa böler:

• Saklamalı (Custodial) — bir üçüncü taraf (geleneksel bir Coinbase veya Binance hesabı gibi merkezi bir borsa) özel anahtarı oluşturur ve tutar. E-posta ve şifreyle giriş yaparsın. „Bakiyen”, onların veritabanındaki bir sayıdır. Blok zincirine gerçekten dokunmak için onlara sormak zorundasın — ve hayır diyebilirler.
• Saklamasız (Non-custodial) — özel anahtarı kendin tutarsın. Seninle zincir arasında hiçbir şirket durmaz. Bir işlemi imzaladığında, doğrudan ağa gider. Kimse senin imzan olmadan onu dondurabilir, tersine çevirebilir veya ona karşı borç alabilir.

Merkeziyetsiz finans, saklamasızlığı bir pazarlama açısı olarak seçmedi — teknolojinin nasıl çalıştığından doğdu. Bir DeFi protokolü sadece bir blok zincirinde dağıtılmış koddur: herkesin çağırabileceği bir dizi akıllı sözleşme. Swap yaptığında, borç verdiğinde veya borç aldığında, bir şirketin banka hesabına para göndermiyorsun. Otonom bir sözleşmeye ne yapması gerektiğini söyleyen bir işlem imzalıyorsun ve sözleşme her seferinde herkes için aynı şekilde çalışır.

Sözleşme kamuya açık ve kurallar kodda sabit olduğu için, protokolün işlevi için hiçbir zaman anahtarlarını saklamaya alması gerekmez. Hesap işletmez. Bir borsanın yaptığı gibi bir kolektif cüzdanda mevduat tutmaz. Zinciri okur, imzanı kontrol eder ve herkesin denetleyebileceği mantığa göre varlıkları taşır. Protokol, en iyi anlamda „sıkıcıdır”: sözleşmelerde yazılı kurallar, herkesin inceleyebileceği bir defterde durum.

Bu, merkezi bir borsayla (CEX) derin karşıtlıktır. Bir CEX'te, işlemlerin çoğunlukla iç muhasebedir — para çekene kadar özel bir veritabanında karıştırılan satırlar. Borsa bir büyük kolektif cüzdan tutar ve kimin ne sahip olduğunu içeride takip eder. Zincir üzerinde, her işlem senin imzaladığın bir işlemdir; platformun işi, herkesin fonlarıyla dolu bir kasa tutmak değil, yönlendirme ve kullanıcı deneyimidir.

Saklamasızlık, ikinci bir özellikle birlikte gelir: izinsiz erişim (permissionless access). Bir akıllı sözleşmede uyumluluk masası, giriş formu, „başvurun inceleniyor” yok. Bir cüzdanın ve ağ ücretini ödeyecek yeterli gas'ın varsa, protokolü çağırabilirsin. Cüzdan adresin senin kimliğindir — sözleşme katmanında onaylanacak veya reddedilecek ayrı bir hesap yoktur.

Bozuk bankacılık rayları veya hiperenflasyona sahip bir ülkedeki bir çiftçi için, bu gerçekten özgürleştiricidir: aynı DeFi protokolü, her adrese, mesai saati olmadan ve sınır olmadan 7/24 aynı şekilde davranır. Ama dürüstlük dipnotları gerektiriyor:

• Frontend'ler ve fiat rampalar hâlâ kimlik kontrol eder. Sözleşme bir pasaport istemez, ama ona erişmek için kullandığın web sitesi — ve dolarlarını kriptoya çeviren giriş rampası — çok sık ister. „İzinsiz”, protokol katmanını tanımlar, tüm yolculuğu değil.
• İzinsiz, yasasız değildir. Düzenleyiciler gerçek dünyada var olmaya devam eder. Vergi yükümlülükleri, yaptırımlar ve yerel yasa, kod bunları uygulamasa da sana uygulanmaya devam eder. Zincirin senin yargı bölgene karşı kayıtsızlığı, yasal dokunulmazlık değildir.
• Uyumluluk masasının olmaması iki tarafı da keser. Küresel erişim sağlayan aynı bekçi eksikliği, bir şey ters gittiğinde aranabilecek bir tüketici koruma departmanının da olmadığı anlamına gelir. Özgürlük ve maruziyet, aynı paranın iki yüzüdür.

Tam olarak aynı hedefi — 1 ETH tutmak ve üzerinden biraz getiri kazanmak — iki farklı şekilde yapıldığını hayal et.

Saklamalı yol. E-postanla bir borsaya kayıt olursun, bir KYC kontrolünden geçersin ve 1 ETH satın alırsın. Panonda artık „1,00 ETH” yazıyor. Sahnenin arkasında, borsa o ETH'yi binlerce başka müşteriyle birlikte bir kolektif cüzdanda tutar; bakiyen onların defterinde bir satırdır. „Kazan”a tıklarsın, borsa senin adına ETH'yi ödünç verir. Zahmetsiz. Bir anahtar yönetmezsin, unutursan şifreni sıfırlayabilirsin, ve bir şey bozulursa destek yardımcı olabilir. Yakalama görünmez ta ki görünene kadar: teminatsız bir alacaklısın. Borsa hacklenirse, para çekmeyi dondurursa veya sessizce mevduatları kumar oynayıp kaybederse, „1,00 ETH”in kontrolünde olan coinler değil, bir mahkeme salonundaki bir hak talebidir.

Kendi kendine saklama yolu. 1 ETH'yi saklamasız bir cüzdanda tutarsın — özel anahtar senin kontrolünden hiç ayrılmaz. Getiri kazanmak için bir borç verme protokolü açarsın, cüzdanını bağlarsın, ve bir sözleşmeyi ETH'ni yatırması için onaylarsın. Her adımı kendin imzalarsın. ETH, kamuya yazılmış, denetlenebilir kod içindeki kurallar altında hareket eder; sözleşme izin verdiği her zaman para çekebilirsin, insan onayı gerekmez. Kimse fonlarını dondurabilir, ve hiçbir iflas onları buharlaştıramaz. Buradaki yakalama da görünmezdir ta ki görünene kadar: sıfırlama düğmesi yoktur. Anahtarı kaybet ve ETH sonsuza dek gitmiştir. Kötü niyetli bir „onay” imzala ve bir dolandırıcılık sözleşmesi cüzdanını boşaltabilir. Saklamalı taraftan bıraktığın güvenlik ağı, burada üstlendiğin sorumluluğun tam kendisidir.

Kendi kendine saklama bir risk kategorisini kaldırır — bir şirketin paranı çalması veya kaybetmesi — ve sana farklı bir keskin köşe seti verir. Dürüst eğitim, her birini adıyla anmak demektir.

• Anahtar kaybı kalıcıdır. Özel anahtarın (genellikle 12 veya 24 kelimelik bir kurtarma ifadesi olarak yedeklenir) tüm varlığın kendisidir. Onu kaybet, sızdır veya daha sonra çöpe atacağın bir peçetenin üzerine yaz, ve kurtarma yoktur, destek bileti yoktur, „şifreyi unuttum” akışı yoktur. Chainalysis tam da bu nedenle milyonlarca BTC'nin sonsuza dek kaybolduğunu tahmin ediyor.
• Onaylar yeni saldırı yüzeyidir. İnsanların DeFi'de fon kaybettiği en yaygın yol bozuk bir blok zinciri değildir — yanlış şeyi imzalamaktır. Kötü niyetli bir sözleşme bir token „onayı” ister, okumadan onaylamaya tıklarsın, ve yasal olarak ve anında cüzdanını boşaltır. Zincir, imzaladığın şeyi tam olarak mutlu bir şekilde yürütür.
• Kesinlik acımasızdır. Birinin dolandırıcılığı tersine çevirmesini durduran aynı değişmezlik, aynı zamanda senin bir hatayı tersine çeviremeyeceğin anlamına gelir. Yanlış adres, yanlış ağ, parmağı kaydırılmış tutar — işlem onaylandığı anda kesindir.
• Akıllı sözleşmelerde hatalar var, ve köprüler insanları yakar. „Saklamasız” „denetlenmiş” veya „güvenli” anlamına gelmez. DeFi'nin kendi açık kaynak kazanılmış hack'ler, oracle manipülasyonu ve kullanıcılara milyarlarca dolara mal olan zincirler arası köprü hataları mezarlığı var. Artık bir CEO'ya güvenmiyorsun — koda ve ona veri besleyen oracle'lara güveniyorsun.
• Phishing sonsuz ölçeklenir. Sahte frontend'ler, zehirli airdrop'lar ve „destek” DM'leri, tam da arkanda bir dolandırıcılık departmanı olmadığı için var. İstenmeyen her mesajı, kanıtlanana kadar dolandırıcılık olarak ele al.

Olağan söylem seni acımasız bir seçime zorluyor: saklamalı bir borsanın kolaylığı veya kendi kendine saklamanın egemenliği ve onunla gelen tüm kurtarma ifadesi kaygısı. GaiaEx, seni bir taraf seçmeye zorlamak yerine bu değiş tokuşu çökertmek için inşa edildi.

Saklamasız takas. Varlıkların senin kalır. İşlemler bir iflas olayının onları yutabileceği devasa bir kolektif hesapta değil, kendi cüzdanına karşı zincir üzerinde takas edilir. „Çalışmayı bırakan para çekme düğmesi” yoktur, çünkü fonlar hiçbir zaman başka birinin kilidinde değildi.

MPC anahtar güvenliği, peçete kurtarma ifadesi değil. Klasik kendi kendine saklama kabusu — bir kurtarma ifadesi, bir ekran görüntüsü, bir felaket hatası — GaiaEx'in tam olarak mühendislikle ortadan kaldırdığı şeydir. Çok Taraflı Hesaplama (MPC) kullanarak, anahtarın bağımsız taraflarca tutulan şifreli parçalara bölünür, dolayısıyla hiçbir tek cihaz, sunucu veya kişi hiçbir zaman tam anahtarı tutmaz. Phishing yapılacak, sızdırılacak veya kaybedilecek tek bir sır yoktur. Saklamayı sen tutarsın; sadece cebinde tek bir başarısızlık noktası taşımazsın.

İmzaladığın şeye hâlâ sahipsin. Bunların hiçbiri işlemler hakkında düşünme sorumluluğunu kaldırmaz. Zincir, arayüzün cilalı göründüğünü önemsemeyecek — onayladığın şeyi yürütür. Bu dersten çıkan disiplinler hâlâ geçerlidir: küçük test işlemleri kullan, onaylamadan önce sözleşme detaylarını oku, adresleri ve ağları iki kez kontrol et, ve istenmeyen her DM'nin bir dolandırıcılık olduğunu varsay.

Hedef, merkezi bir borsanın akıcılığına ve kendi kendine saklamanın garantilerine sahip bir cüzdandır — anahtarların senin, kripton senin, seni bir kriptograf yapmadan.