Liquid’de 320 Milyon Dolarlık Peg-Out: Anahtarlar Çalınmadan 4.000 BTC Nasıl Çıktı?

Liquid Network, L-BTC’yi destekleyen federasyon cüzdanından yaklaşık 4.000 BTC’nin çıkmasının ardından köprü faaliyetlerini durdurdu. Olay anındaki değeri yaklaşık 320 milyon dolar olarak bildirilen bu çekim, açıklanan rezervin yaklaşık %95’ine karşılık geliyordu. Mevcut haberler, federasyonun ya da SideSwap’in yetkilendirme anahtarlarının çalınmasından çok, Elements yazılımındaki iddia edilen bir enflasyon hatasına işaret ediyor. Bununla birlikte, açık teknik ayrıntılar hâlâ eksik. 413

İddiaya göre ne oldu?

Bildirilen akış, kök neden henüz kamuya ayrıntılı biçimde açıklanmamış olsa da, ana hatlarıyla şöyle:

1. Bir aktörün, Elements yazılımındaki bir açık nedeniyle Bitcoin kilidiyle desteklenmeyen L-BTC oluşturduğu iddia edildi.
2. Bu L-BTC, SideSwap’in normal müşteri peg-out (Liquid’den Bitcoin ana zincirine çıkış) hizmetine gönderildi.
3. Çıkış sürecinde SideSwap’in Peg-out Authorization Key’i (PAK — peg-out yetkilendirme anahtarı) kullanıldı; Liquid ve SideSwap bu anahtarın ele geçirilmediğini belirtti.
4. Liquid federasyon altyapısı Bitcoin çekimini yetkilendirdi. Haberlerde ödeme tutarı yaklaşık 3.996 BTC, olayın toplamı ise yaklaşık 4.000 BTC olarak yer aldı. 26

Özetle, bildirilen sorun rezervi kontrol eden anahtarların çalınması değildi. Sorun, ekonomik karşılığı bulunmadığı iddia edilen L-BTC’nin sistemin yetkilendirme kontrollerini geçebilmiş görünmesi ve bunun sonucunda gerçek BTC’nin serbest bırakılmasıydı.

HSM’ler anahtar ihlali olmadan neden imza attı?

Liquid, Strong Federation adlı federasyonlu bir model kullanır. Federasyon üyeleri yan zinciri birlikte işletir ve Bitcoin tarafındaki rezerv üzerinde eşik imza yöntemiyle kontrol sağlar. Liquid’in teknik dokümantasyonu da bu mutabakat modelini Strong Federations olarak tanımlar.

Donanım güvenlik modülleri (HSM), imzalama anahtarlarını korur ve kendilerine tanımlanan politikaları uygular. Ancak bunlar, bir varlığın geçmişte gerçekten Bitcoin karşılığında ihraç edilip edilmediğini her yönüyle bağımsız biçimde denetleyen genel amaçlı muhasebe denetçileri değildir. Bir peg-out talebi sistemin geçerli kabul ettiği girdileri ve geçerli bir yetkilendirme yolunu sunuyorsa, hiçbir özel anahtar çalınmamış olsa bile HSM’ler imza atabilir.

Bu olayda bildirilen temel ayrım şu:

• Yetkilendirme: Peg-out’un SideSwap’in meşru PAK’ı kullanılarak işlendiği bildirildi.
• Köken ve karşılık: İtfaya sunulan L-BTC’nin normal, Bitcoin teminatlı ihraç sürecinden değil, bir Elements hatasından doğduğu iddia edildi. 2

SideSwap, yaklaşık 4.000 BTC’lik peg-out’un müşteri emri olarak kendi hizmetinden geçtiğini, PAK’ının ele geçirilmediğini ve L-BTC’nin SideSwap sistemlerinden değil Elements hatasından kaynaklandığını açıkladı.

Bunun anlamı, eşik imza şemasının veya HSM kriptografisinin mutlaka başarısız olduğu değildir. Ortak kullanılan doğrulama ya da ihraç mantığındaki bir kusur, normal çalışmakta olan otomatik imzacıların aslında hiç uygun olmaması gereken bir çekimi onaylamasına neden olabilir. Geçerli bir imza, imza politikasının karşılandığını gösterir; tek başına itfa edilen varlığın gerçekten teminatlı olduğunu kanıtlamaz.

Aktörler gerçekten “white hat” mi?

Aktörler zincir üstüne şu mesajı ekledi: “we are whitehats. contact us on chain.” 16

Haberler, Blockstream/Liquid’in aktörlerle imzalı zincir üstü mesajlar yoluyla iletişim kurduğunu; aktörlerin de açık ağ genelinde yamalanınca fonların “çoğunu” iade etmeyi teklif ettiğini belirtiyor. 418

Bu bilgiler, aktörlerin kendilerini güvenlik araştırmacısı olarak sunduğunu ve iletişim kanalı bıraktığını gösterir. Fakat bağımsız biçimde “white hat” olduklarını kanıtlamaz. Haberlerin hazırlandığı sırada fonların iadesi, kamuya açık bir yama veya ağın yeniden açılması doğrulanmamıştı. 13

Bu nedenle en isabetli ifade “white hat olduğunu iddia eden aktörler” olur. Fonlar, istismar ayrıntıları ve düzeltme süreci bağımsız biçimde doğrulanana kadar bu tanım kesin bir sonuç olarak görülmemeli.

Liquid, SideSwap ve borsaların tepkisi

Liquid, köprü düğümlerini devre dışı bıraktı ve operasyonları duraklattı; böylece Bitcoin ile Liquid arasındaki olağan varlık hareketi kesildi. Borsalara da L-BTC yatırma ve çekme işlemlerini durdurmaları veya durdurmaya hazırlanmaları bildirildi. 48

SideSwap, Liquid duraklatılmış halde kaldığı sürece peg-in ve peg-out işlemlerini durdurduğunu açıkladı.

Bunlar, ek köprü hareketlerini sınırlamak için alınmış muhafaza önlemleri. Operatörler bildirilen açığı incelerken, rezerv durumunu değerlendirirken ve güvenli yeniden başlatma koşullarını belirlerken bu önlemler devrede kalıyor. Bildirilen kurtarma planı; açığın giderilmesine, etkilenen düğümlerin güncellenmesine ve çekilen BTC’nin durumunun çözülmesine bağlıydı. 1318

L-BTC sahipleri için anlamı ne?

L-BTC, Liquid üzerindeki Bitcoin olarak tasarlanmıştır. Fakat pratikte BTC’ye eşdeğerliği, köprünün çalışır durumda olmasına ve rezervin güvenilir şekilde desteklendiğine bağlıdır.

Bildirilen yaklaşık 4.200 BTC’lik rezervden yaklaşık 4.000 BTC’nin çıkmış olması ve köprü faaliyetinin durması, L-BTC’nin olağan itfasını aksattı. Böylece sahipler açısından en acil konu, bildirilen rezerv açığı oldu. 313

Bu, nihai kurtarma sonucunun kesinleştiği anlamına gelmez. Ancak olay süresince L-BTC tutmanın, Bitcoin ana zincirinde serbestçe çekilebilen BTC tutmakla operasyonel açıdan aynı olmadığı anlamına gelir. Sonuç; fonların geri alınmasına, iddia edilen hatanın giderilmesine, federasyon kararlarına ve hizmet sağlayıcı politikalarına bağlı olacak.

Liquid’de ihraç edilen diğer varlıklar

Liquid’deki diğer varlıkların ihraççı rezervleri, federasyon cüzdanından BTC çıkması nedeniyle otomatik olarak azalmaz. Liquid, USDT, DePix ve gerçek dünya varlıkları (RWA) dahil bazı varlıkların olayın kendisinden etkilenmediğini belirtti.

Yine de “etkilenmedi” ifadesi “risksiz” demek değildir. Ağın duraklaması; cüzdan erişimini, borsa desteğini, likiditeyi, işlem yapılabilirliğini ve Liquid’in ücret/temel köprü varlığı olan L-BTC kullanımını etkileyebilir. Her varlığın doğrudan teminatı kendi ihraççısına ve saklama düzenine bağlı kalırken, pratik kullanılabilirliği Liquid altyapısının yeniden normale dönmesine bağlıdır.

Mimari ders: Federasyon güvenliği ve BitVM tarzı köprü

Liquid’in mevcut tasarımı, bilinen ve izinli bir federasyona, ayrıca eşik imzayla kontrol edilen bir Bitcoin rezervine dayanır. Bu, Bitcoin mutabakatının her itfanın karşılığını doğrudan doğrulamasından farklıdır.

Mevcut federasyonlu peg	Önerilen BitVM tarzı 1-of-n yaklaşımı
Sabit bir federasyon, Bitcoin rezervini eşik imza yoluyla kontrol eder.	Blockstream bunu, devreye alınmış bir Liquid ikamesi değil, uzun vadeli bir araştırma girişimi olarak tanımlıyor.
Güvenlik; anahtarların korunmasına, imzacı operasyonlarına ve ortak doğrulama/politika yazılımının doğruluğuna bağlıdır.	Hedef, geleneksel eşik imza tasarımlarına kıyasla daha düşük güven varsayımlarıdır.
Ortak bir yazılım hatası, tüm otomatik imzacıların aynı geçersiz yorumu kabul etmesine yol açabilir.	BitVM tarzı sistemler iyimser doğrulama ve itiraz mekanizmaları kullanır; güvenlik, doğru protokol tasarımına ve aktif, dürüst bir itirazcıya bağlıdır.

BitVM tarzı bir model köprü riskini ortadan kaldırmaz; riski farklı varsayımlara taşır. İtirazcıların harekete geçebilecek durumda ve istekli olması, sahtekârlık ispatı sürecinin doğru çalışması gerekir; ayrıca çekimler daha karmaşık veya daha yavaş olabilir. BitVM tabanlı köprü araştırmaları, hedeflenen güvenlik modeli için en az bir dürüst katılımcının gerekli olduğunu belirtirken, BitVM2 çalışma zamanında herkesin geçersiz bir iddiaya itiraz edebilmesini amaçlıyor.

Bildirilen mekanizma doğrulanırsa, Liquid olayı bu farkın neden önemli olduğunu gösteriyor: Eşik imzalı bir federasyon, anahtar hırsızlığına karşı güvenli olabilir; fakat tüm imzacıların hangi varlığın itfaya uygun olduğu konusunda aynı hatalı yazılım yorumuna dayanması hâlinde yine de risk altında kalabilir.

Sonuç

Bildirilen 320 milyon dolarlık Liquid olayı, klasik bir özel anahtar hırsızlığından ziyade bir köprü doğrulama krizi niteliğinde. Karşılıksız olduğu iddia edilen bir L-BTC grubunun yetkili peg-out yolundan geçmesi ve federasyonun gerçek BTC’yi serbest bırakması söz konusu. 24

Açıkta kalan sorular kritik: Elements açığının tam niteliği, nihai rezerv ve L-BTC teminat durumu, fonların iade edilip edilmeyeceği ve köprünün güvenle yeniden başlaması için hangi denetimlerin değişeceği. Bu başlıklar kamuya açık biçimde doğrulanana kadar olay, tamamlanmış bir white-hat açıklaması ya da sıradan bir hizmet kesintisi değil, çözülmemiş bir güvenlik vakası olarak değerlendirilmelidir.