Google, Bankalara MPC Kripto Saklama Sistemini 2027'nin Başında Sunacak

Google Multi-Party Compute, Bankaların Yolunda

Google, dijital varlıkların yetkisiz aktarımlarını engellemek üzere tasarladığı sistemi 2027'nin başından itibaren bankaların hizmetine sunmaya hazırlanıyor. Google Multi-Party Compute (MPC) adını taşıyan ürün, Alphabet iştirakinin kurumsal kripto altyapısı alanına bugüne kadarki en iddialı adımı olarak öne çıkıyor. Resmi lansmandan önce hizmet, özel önizleme aşamasında büyük finans kurumlarınca şimdiden test ediliyor. Sistemin hedeflediği sorun net: Kripto varlıklarını aktarmak için özel anahtar, yani harcama yetkisini kanıtlayan gizli bilgi gerekiyor ve bu anahtar çalındığında hırsız, sahibinin onayı olmadan kripto cüzdanı boşaltabiliyor. Google'ın çözümü, mevcut MPC teknolojisine aktarım kurallarının doğrulanması ve anahtar kurtarma işlevlerini ekliyor; bankaların her bileşeni kendisi birleştirmesine gerek kalmayacak şekilde paketliyor. Mimari, bir işlemi imzalamak için gerekli gizli malzemeyi birden fazla konuma bölüyor: bankanın kendi tesisleri, Google'ın bulutu ve ayrı bir şirketin bulutu. Üç taraftan ikisinin iş birliği gerektiren bu yapıda, tek bir noktadaki ihlal tek başına fonları hareket ettirmeye yetmiyor. Sistemi aktarımı gerçekleştiren elektronik imzayı üretmeden önce tutarı, alıcı adresi ve gerekli departman onaylarını bankanın belirlediği kurallara göre tarıyor; bölünmüş anahtar tasarımını bir denetim katmanıyla eşleştiriyor. Google Cloud bu alanda Confidential Space ile deneyim sahibi: iş yükleri, donanım destekli doğrulama içeren gizli bilişim ortamlarında çalışıyor ve blok zincir işlemi imzalamak gibi hassas görevlerin dış erişimden izli kaldığı bu kurulumla teyit ediliyor. Teknoloji aynı zamanda Ethereum (ETH) ve Solana (SOL) ağlarındaki dijital varlıkları güvence altına almak için test ediliyor; kurumların zaten ciddi pozisyonlar tuttuğu ağlara aynı anahtar yönetimi tasarımı taşınıyor. Google, fiyatlandırmayı da önizlemedeki kurumların isimlerini de açıklamış değil.

Fireblocks'taki Açık, CVE-2026-90975

Duyurunun zamanlaması, haberin tonunu keskinleştiriyor. Açık sorumluluk koordinasyonu yapan CERT/CC, 26 Ekim Pazartesi günü VU#701544 numaralı uyarıyı yayımladı; uyarı, saklama sağlayıcısı Fireblocks'un sürdürdüğü mpc-lib kütüphanesindeki bir açığı, kayıt numarası CVE-2026-90975 ile tanımlıyor. Güvenlik araştirmacısı Venkata Satish Guttula, 27 Ekim'de uyarıyı özetleyen bir paylaşımda, ele geçirilmiş bir alt imzacı paylaşımının zincir koduyla birleştiğinde aynı hiyerarşideki üst düzey paylaşımları ifşa edebildiğini anlattı. Açık, kütüphanenin hiyerarşi içinde alt anahtarlar üreten yöntem olan BIP32 sertleştirilmiş anahtar türetme uygulamasında duruyor. Gerekli özel üst anahtar bulunmadığında kütüphane talebi reddetmek yerine sıfırlarla doldurulmuş bir tampon ekleyebiliyor. Uyarıya göre, ele geçirilmiş o alt imzacı paylaşımını ve ona bağlı zincir kodu da elde eden bir saldırgan, tarafın anahtar hiyerarşisindeki üst düzey paylaşımları geri kazanabiliyor. CERT/CC sınırı açıkça çiziyor: fonları harcayabilen eksiksiz bir özel anahtar doğrudan ifşa olmuyor. Zayıflayan şey, tek bir ele geçirilmiş paylaşımın ilgili anahtar malzemesini ne kadar açabileceğini sınırlamak için kurulan ikincil koruma. Uyarı, yayımlandığı sırada hiçbir tedarikçi yamasının bulunmadığını da kaydediyor ve uygulama düzelene kadar zincir kodlarının gizli tutulmasını, sertleştirilmiş türetmenin yalıtım mekanizması olarak kullanılmamasını öneriyor. Bu açıklama, pek çok kurumun temel taşı saydığı bir tekniğe çarpıyor. MPC, birden fazla tarafın eksiksiz bir özel anahtarı hiçbir yerde bir araya getirmeden işlem imzalamasına izin veriyor: her katılımcı kendi anahtar paylaşımını saklıyor ve grup her transferi birlikte onaylıyor. Bu tasarım, tek bir ele geçirilmiş cihazın ya da içerdeki bir kötü niyetlinin yarattığı tek nokta hatasını kaldırıyor; ama o paylaşımları işleyen yazılımdaki açıkları onaramıyor. Google'ın hizmeti de aynı kriptografik ilkeye dayanıyor, iki gelişmenin birlikte okunmasının nedeni bu.

@snakeyesV1 · X gönderisi

Uyarıyı özetleyen bir paylaşımda.

X'te görüntüle

CERT/CC uyarısı burada taşıyıcı belge: Fireblocks kütüphanesinin üst anahtar eksik kaldığında sıfırlarla doldurulmuş tampon ikamesi yaptığını ve yayım anında tedarikçi yaması bulunmadığını kaydediyor. Google'ın sistemi de bu ölçütle test edilecek. Anahtar paylaşımlarının dağıtımı bir katman; türetme mantığı, erişim kontrolleri ve işlem onay politikaları başka katmanlar. 2027'de saklama sağlayıcısı seçen kurumlar bunların hepsini tek tek karşılaştıracak. MPC'yi kendi bünyelerinde kurmak mı yoksa bulut tedarikçisinden satın almak mı sorusu karşısındaki bankalar ve kripto borsaları artık ciddi bir yeni seçenekle karşılaşıyor. Bireysel yatırımcının denklemi daha basit: Çalınan anahtarlar kapıyı hâlâ açıyor ve elde edilen gelirin sıklıkla kripto mikser üzerinden aktarılması, anahtarların nerede olduğuna bakılmaksızın temel kripto güvenliği pratiklerini geçerli kılmaya devam ediyor.