Mishaboar, Dogecoin (DOGE) Cüzdanlarında Sosyal İmzayı Güvenlik Riski Olarak İşaretledi

Mishaboar'dan Sosyal İmza Uyarısı

Dogecoin (DOGE) topluluğunun tanınmış seslerinden Mishaboar, sosyal imza (social signing) olarak bilinen giriş yöntemini güvenlik açısından tehlikeli ilan etti ve uyarısı, bu girişlerin arkasındaki ana altyapı sağlayıcısı hizmetini zaten durdurduktan sonra gündeme geldi. Dogecoin ekosisteminde uzun süredir yorum paylaşan Mishaboar, Cumartesi günü X'te yayımladığı bir gönderiyle, kullanıcıların tohum ifadesi (seed phrase) yönetmek yerine Google hesabı, Apple kimliği, Telegram kullanıcı adı ya da e-posta adresi üzerinden kripto cüzdanı açıp erişmesini sağlayan özelliği hedef aldı. X gönderisinde şu ifadeler yer aldı: "Sosyal imza, kullanıcılarınızdan nefret ediyorsanız cüzdanınıza eklemek isteyebileceğiniz özellik." Mishaboar'a göre tek tıkla giriş seçeneğini büyük olasılıkla kriptoya ilk kez adım atan yeni kullanıcılar tercih edecek; bu kişiler, kişisel bir hesabı cüzdan hizmetine bağladıklarında neyi devrettiklerini tam kavramayabilir. Risk, onun sözleriyle, cüzdandaki parayla da sınırlı değil: aynı kanaldan gelecek bir veri sızıntısı, gerçek kimliği zincir üstü (on-chain) varlıklara bağlayabilir ve bu ciddi sonuçlar doğurabilir. Uyarı, anahtarlarını "Bulut'a" yedekleyen cüzdanları da kapsıyor; Mishaboar bunun, bir başkasının sunucusundan ibaret olduğunu söylüyor. Onun kurgusuna göre özelliği tehlikeli yapan şey tam da kolaylık: kullanıcıyı, anahtarın yalnızca kendisinde olduğunu anlamaya zorlayan tohum ifadesi adımını ortadan kaldırıyor. Bu uyarı, halihazırda gerilim altındaki bir pazara geldi: Dogecoin fiyatı Ekim'i yüzde 20,1 kayıpla kapattı ve bu, ikinci üst üste kayıplı Uptober oldu; meme coin'in依托 olduğu perakende yeni kullanıcılarını kaçıracak her gelişmeye topluluk alışılmadık biçimde duyarlı.

Keplr Olayı Web3Auth'a Taşındı

Uyarının arkasındaki canlı olayı, Cosmos, Bitcoin, Ethereum ve Starknet'i destekleyen çok zincirli cüzdan Keplr doğruladı. Şirket kendi açıklamasında, Google ya da Apple girişiyle oluşturulmuş bazı Keplr hesaplarında yetkisiz işlemler bildirimi aldığını, konunun Web3Auth ekibine yükseltildiğini ve iki tarafın birlikte inceleme yürüttüğünü belirtti. Bu girişlerin üzerinde çalıştığı gömülü cüzdan altyapısının sahibi Web3Auth ise açıklama kamuya yansımadan önce adım atmış durumdaydı: şirket, bazı üçüncü tarafların kullanımını etkileyen bir güvenlik sorunundan haberdar olduğunu ve buna karşılık gömülü cüzdan hizmetini geçici olarak durdurduğunu bildirdi. İlk incelemenin ardından şirket, MetaMask kullanıcılarının etkilendiğine dair bir kanıt bulunmadığını duyurdu. Tasarımın neden bu kadar tepki çektiği mekaniğinde yatıyor. Sosyal imza düzeninde, normalde yalnızca kullanıcının tarafında var olması gereken anahtarlar, bir sağlayıcının kontrol ettiği altyapı içinde üretiliyor ve saklanıyor; erişim ise sıradan bir hesabın güvenliğine bağlanıyor. Bu düzen, çoğu alıcının seçtiğini sandığı kendi kendine saklama modelinden çok, üçüncü bir tarafça işletilen sıcak cüzdan'a yaklaşıyor ve riski, hangi hizmet hacklenirse ona yığıyor. Güvenlik sesleri uzun süredir alternatifi öneriyor: tohum ifadesi asla kullanıcının elinden çıkmayan bir donanım cüzdanı, tam da çünkü saklama zincirinden sağlayıcıyı çıkarıyor. Kamuya açık tablo şimdilik zayıf: olay sonrası hiçbir blok zinciri güvenlik denetimi yayımlanmadı, Keplr kaç hesabın etkilendiğini ya da ne kadar paranın hareket ettiğini söylemedi, Web3Auth da durdurulan hizmetin ne zaman geri döneceğine tarih vermedi.

İki Şirketin Açıklamadığı Rakam

Dogecoin (DOGE) sahipleri için pratik okuma dar ama net. Sosyal imza, bir anahtarın kontrolünü daha hızlı bir katılım akışına takas ediyor ve bu takası yapan sağlayıcı, sistem bozulduğunda zararı üstlenmiyor; Mishaboar'ın kimlik bağlantısı noktası, paralar bir sızdırmazlıktan el değmemiş geçse bile geçerli. Uyarıyı FUD olarak geçiştirmek, onun siciline bakınca zor: Mishaboar daha önce Dogecoin alıcılarına, şüpheli bir Trezor donanım yerleştirmesi iddiası üzerine fonlarını taşımayı söylemişti. Açıkta kalan kısım, kimsenin yayımlamadığı veriler: etkilenen hesap sayısı, durdurulan hizmete bağımlı cüzdanların tam listesi ve hizmetin dönüş tarihi. Sağlayıcılardan biri bunları verene kadar, giriş hesabının kendisinin anahtar muamelesi görmesi gerekiyor.