Blockstream, Liquid Yan Zincirinden Çalınan 598,5 BTC İçin Ödül Ödemeyi Reddetti

Liquid Yan Zincirinden 4.000 BTC Çekildi

Bu ayın başlarında Liquid yan zincirini (sidechain) boşaltan bilgisayar korsanlarının geriye dönük ödül talebini Blockstream açık bir dille reddetti. Bilinmesi gereken nokta şu: Liquid, Blockstream'in geliştirdiği ve kullanıcıların Bitcoin (BTC) kilitleyip karşılığında zincir üzerinde çok daha hızlı uzlaşan bir token aldığı bir ağ. 6 Eylül'de saldırganlar, yazılımdaki bir açığı kullanarak arkasında gerçek Bitcoin bulunmayan Liquid token'ları üretti ve bu token'ları peg mekanizması üzerinden dışarı çevirdi. Federasyonun imzalama anahtarları hiçbir zaman çalınmadı; tam da bu yüzden boşaltma işlemleri hiçbir engele takılmadan onaylandı. Toplamda ağdan yaklaşık 4.000 BTC çıktı. Blockstream yamasını yayına aldıktan sonra saldırganlar 3.400 BTC'yi geri gönderdi ve olayı sanki resmi bir hata ödülü (bug bounty) çalışmasıymış gibi telafi talep etti; kendilerine de 598,5 BTC tuttu. Haberin yayınlandığı anda Bitcoin yaklaşık 77.952 dolar seviyesinde işlem gördüğü için bu birikimin değeri yaklaşık 46 milyon dolara denk geliyor. Doğrudan incelediğimiz resmi açıklamada Blockstream, açık kaynak geliştiricilerinin ağdaki kendi paylarının çok çok üzerinde tazminatlar ödemeye zorlanmaması gerektiğini savundu ve varlıkların ele geçirilip iadesinin tutulmasını “sorumlu açıklama değil, suç” olarak nitelendirdi; yani söz konusu olan beyaz şapkalı (white-hat) bir hareket değil, doğrudan hırsızlık. Şirket, 2022'den bu yana kripto sektöründe katılaşılan bir teamülü bozuyor: kendilerini beyaz şapkalı ilan eden aktörler, aldıklarının bir kısmını cebe atıp üstüne hâlâ teşekkür edilebileceğini öğrenmişti. Ortada hâlâ çözülmemiş bir konu var: kısmi iade bile yaklaşık 600 BTC'lik açık bırakıyor ve bu paralar bir daha geri gelmezse açığın kim tarafından kapatılacağını Blockstream henüz açıklamadı.

resmi açıklamadahttps://x.com/Blockstream/status/2098281867908690394

Yüzde 10'luk Ödül Örneği

Gelen talep aslında sektörün kendi kendine yazdığı bir senaryoyu izliyordu. 2022'de kaotik bir saldırıda 190 milyon dolar kaybeden çapraz zincir köprüsü (bridge) Nomad, korsanlara ganimetin yüzde 10'unu teklif edip kalanını göndermelerini istemişti; sonrasında projeler bu düzeni kopyaladı ve tek seferlik bir pazarlık, çalınan paralar üzerinde beklenen bir vergiye dönüştü. Blockstream'in reddinden günler önce Ledger'ın Teknoloji Direktörü Charles Guillemet, beyaz şapkalı çerçevesini bütün bütün sorgulamış ve bir köprüyü boşaltıp sonra iletişim davetinde bulunanların güvenlik araştırması değil, şantaj yürüttüğünü argüman etmişti. Blockstream da geri adım atan ilk şirket değil: 2024'te Kraken, 3 milyon dolar alıp iadesi için kendi fiyatlarını biçen güvenlik araştırmacılarını şantajla suçlamış, bu tartışma sektörün kendi fiyat koyan iadelere hoşgörüsünü ciddi biçimde soğutmuştu. Asıl merak edilen ise kalan fonların hangi rotayı izleyeceği. Şu an kurtarma çalışması, kimsenin kamuya açıklamadığı cüzdanların peşine düşen kolluk kuvvetlerine, borsa uyum ekiplerine ve zincir üstü adli analize (chain forensics) bağlı. Bu aktörler izi koparmak için paraları bir kripto mikser üzerinden veya Monero (XMR) gibi gizlilik odaklı varlıklara çevirerek hareket ettirebilir. Akış büyük işlem platformlarından geçecek; dolayısıyla tutulan BTC'nin bir gün dondurulup dondurulmayacağını büyük ölçüde en iyi kripto borsalarının uyum altyapısının hazır olması belirleyecek. Teknik kaydın bizim okumamız şöyle: etki alanı manşetlerin ima ettiğinden dar. Hiçbir anahtar ele geçirilmedi ve açık token üretim katmanında duruyordu; hasar peg ile sınırlı kaldı, altta yatan Bitcoin rezervlerine sıçramadı. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları MEXC üzerinden canlı takip edebilir.

Reddin Sinyali Ne

İki başlığı yan yana koyunca bir kırılma noktası okunuyor. Buradaki birincil belge Blockstream'in kendi açıklaması: sektörün sessizce normalleştirdiği bir pratiği yeniden hırsızlık olarak sınıflandırıyor ve bir sonraki saldırgana bu bedeli hesaba katma meydan okuması yapıyor. Reddin ayakta kalıp kalmayacağı, bir sonraki grubun ne talep edeceğini ve ham şeffaflık ile sıfır bilgi kanıtı gibi gizlilik teknikleri arasında konumlanan federatif saklama modellerinin, saldırganların bugün elinde tuttuğu itibar kaldıracına dayanıp dayanamayacağını şekillendirecek. Olay aynı zamanda protokollerin sömürülmemek için fiilen ödeme yaptığı maksimum çıkarılabilir değer (maximal extractable value) tartışmalarını da yankılıyor; fark şu ki bu sefer fatura olay bittikten sonra kesildi. Sektörün bundan sonra daha fazla sert tutum ve daha az sessiz yüzde 10'uz uzlaşma görmesini bekliyoruz.