Web3 Kullanıcıları için On-Chain İşlem Güvenliği Rehberi

Blok zinciri ekosisteminin sürekli gelişimi ile birlikte, on-chain işlemler Web3 kullanıcılarının günlük işlemlerinin önemli bir parçası haline geldi. Kullanıcı varlıkları giderek merkezi platformlardan merkeziyetsiz ağlara kayıyor, bu eğilim aynı zamanda varlık güvenliğinin sorumluluğunun platformdan kullanıcıların kendisine geçtiği anlamına geliyor. On-chain ortamında, kullanıcı her etkileşim adımından sorumlu olmalıdır; cüzdanı içe aktarma, merkeziyetsiz uygulamalara erişme ya da imza yetkisi verme ve işlem başlatma gibi. Herhangi bir dikkatsiz işlem, özel anahtarların sızması, yetki suiistimali veya oltalama saldırıları gibi ciddi sonuçlara yol açabilecek güvenlik açıklarına neden olabilir.

Mevcut ana akım cüzdan eklentileri ve tarayıcılar, oltalama tanıma, risk uyarıları gibi işlevleri kademeli olarak entegre etmesine rağmen, giderek karmaşıklaşan saldırı yöntemleriyle başa çıkmak için yalnızca araçların pasif savunmasına güvenmek riskleri tamamen ortadan kaldırmakta zordur. Kullanıcıların zincir üzerindeki işlemlerindeki potansiyel risk noktalarını daha iyi tanımlamalarına yardımcı olmak amacıyla, pratik deneyimlerimize dayanarak, tüm süreçte sıkça karşılaşılan risk senaryolarını derledik ve koruma önerileri ile araç kullanma becerilerini birleştirerek, her bir Web3 kullanıcısının "kendi kendine kontrol edebileceği" bir güvenlik savunması inşa etmesine yardımcı olmayı amaçlayan sistematik bir zincir üzerindeki işlem güvenliği kılavuzu geliştirdik.

Güvenli ticaretin temel ilkeleri:

• Kör imzalamayı reddedin: Anlamadığınız işlem veya mesajlar için asla imza atmayın.
• Tekrar Doğrulama: Herhangi bir işlem yapmadan önce, ilgili bilgilerin doğruluğunu mutlaka birkaç kez doğrulayın.

Bir, Güvenli Ticaret Önerileri

Güvenli ticaret, dijital varlıkların korunmasında anahtardır. Araştırmalar, güvenli cüzdanlar ve iki adımlı doğrulama (2FA) kullanmanın riski önemli ölçüde azaltabileceğini göstermektedir. İşte bazı spesifik öneriler:

• Güvenli bir cüzdan kullanın:

Saygın bir cüzdan sağlayıcısı seçin, örneğin donanım cüzdanı veya tanınmış yazılım cüzdanı. Donanım cüzdanları çevrimdışı depolama sağlar, çevrimiçi saldırı riskini azaltır ve büyük miktardaki varlıkların saklanması için uygundur.

• İşlem detaylarını çift kontrol edin:

İşlemi onaylamadan önce, her zaman alım adresini, tutarı ve ağı doğrulayın (örneğin, doğru zinciri kullandığınızdan emin olun, Ethereum veya diğer uyumlu zincirler gibi), giriş hatalarından kaynaklanan kayıpları önlemek için.

• İki adımlı doğrulamayı (2FA) etkinleştir:

Eğer ticaret platformu veya cüzdan 2FA'yı destekliyorsa, özellikle sıcak cüzdan kullanırken hesap güvenliğini artırmak için bunu mutlaka etkinleştirin.

• Kamu Wi-Fi'sinin kullanılmasından kaçının:

Hedef saldırıları ve ortadaki adam saldırılarını önlemek için halka açık Wi-Fi ağlarında işlem yapmayın.

İki, güvenli işlem nasıl yapılır

Tam bir merkeziyetsiz uygulama işlem süreci birden fazla aşama içerir: cüzdan kurulumu, uygulamaya erişim, cüzdanın bağlantısı, mesaj imzalama, işlem imzalama, işlem sonrası işleme. Her aşamada belirli güvenlik riskleri bulunmaktadır, aşağıda gerçek uygulamalardaki dikkat edilmesi gereken hususlar sırasıyla tanıtılacaktır.

1. Cüzdan kurulumu:

Şu anda, merkeziyetsiz uygulamaların ana kullanım şekli, tarayıcı eklenti cüzdanları aracılığıyla etkileşimde bulunmaktır. Ethereum ve uyumlu zincirler için kullanılan ana cüzdanlar arasında birçok seçenek bulunmaktadır.

Chrome eklenti cüzdanını kurarken, resmi uygulama mağazasından indirildiğinden emin olunmalı, üçüncü taraf sitelerden indirmekten kaçınılmalıdır; zira bu, arka kapı içeren cüzdan yazılımlarının yüklenmesine yol açabilir. Şartları uygun olan kullanıcılara, özel anahtarların korunmasında genel güvenliği artırmak için donanım cüzdanı kullanmaları önerilir.

Cüzdan yedeği tohum ifadesini (genellikle 12-24 kelimelik bir kurtarma ifadesi) kurarken, bunu dijital cihazlardan uzakta, güvenli bir yerde saklamanız önerilir (örneğin, kağıda yazarak kasada saklamak).

2. Merkezi Olmayan Uygulamaları Ziyaret Et

Web3 saldırılarında yaygın bir yöntem olan web phishing, kullanıcıları airdrop bahanesiyle phishing uygulamalarına yönlendirmek için kullanılır. Kullanıcı cüzdanını bağladıktan sonra, token yetkilendirmesi, transfer işlemi veya token yetkilendirme imzası imzalamaya ikna edilerek varlık kaybına yol açar.

Bu nedenle, merkeziyetsiz uygulamalara erişirken kullanıcıların dikkatli olmaları ve web dolandırıcılığı tuzaklarına düşmemeleri gerekiyor.

Uygulamaya erişmeden önce web sitesinin doğruluğunu doğrulamalısınız. Öneri:

• Arama motorları aracılığıyla doğrudan erişimden kaçının: Phishing saldırganları, reklam alanı satın alarak phishing sitelerinin sıralamasını yükseltebilir.
• Sosyal medyadaki bağlantılara tıklamaktan kaçının: Yorumlarda veya mesajlarda paylaşılan URL'ler, kimlik avı bağlantıları olabilir.
• Uygulama web sitesinin doğruluğunu tekrar tekrar kontrol edin: Birden fazla güvenilir veri platformu, proje resmi sosyal medya hesapları gibi çeşitli kaynaklardan doğrulama yapabilirsiniz.
• Güvenli web sitesini tarayıcı yer imlerine ekleyin: Sonrasında doğrudan yer imlerinden erişin.

Uygulama web sayfası açıldığında, adres çubuğunun güvenlik kontrolünden geçirilmesi de gereklidir:

• Alan adı ve web adresinin sahte olup olmadığını kontrol edin.
• HTTPS bağlantısı olup olmadığını kontrol edin, tarayıcı kilit🔒 simgesini göstermelidir.

Piyasada mevcut olan ana akım eklenti cüzdanları, riskli web sitelerine erişim sırasında güçlü uyarılar gösterebilen belirli bir risk uyarı işlevini de entegre etmiştir.

3. Cüzdanı Bağla

Uygulamaya girdikten sonra, cüzdanı bağlama işlemi otomatik olarak veya aktif olarak Connect'e tıkladıktan sonra tetiklenebilir. Eklenti cüzdanı, mevcut uygulama için bazı kontroller, bilgi gösterimi vb. gerçekleştirecektir.

Cüzdan bağlandıktan sonra, genellikle kullanıcı başka bir işlem yapmadığında uygulama eklenti cüzdanı aktif hale getirmez. Eğer bir web sitesi giriş yaptıktan sonra sık sık cüzdanı imza mesajı talep etmek, işlem imzalamak için açıyorsa, hatta imzayı reddettiğinizde bile sürekli imza penceresi açılıyorsa, bu muhtemelen bir phishing (oltalama) web sitesi durumudur ve dikkatli davranmak gerekir.

4. Mesaj İmzası

Aşırı durumlarda, örneğin, bir saldırgan protokolün resmi web sitesine saldırdığında veya ön uç ele geçirme gibi saldırılarla sayfa içeriğini değiştirdiğinde, normal kullanıcıların bu tür bir senaryoda web sitesinin güvenliğini ayırt etmesi oldukça zordur.

Bu aşamada, eklenti cüzdanının imzası, kullanıcının kendi varlıklarını korumak için son bir savunma hattıdır. Kötü niyetli imzaları reddettikleri sürece, kullanıcıların varlıkları zarar görmez. Kullanıcılar, herhangi bir mesaj ve işlem imzalarken imza içeriğini dikkatlice incelemeli, kör imzalamaktan kaçınmalıdır, böylece varlık kaybını önleyebilirler.

Yaygın imza türleri şunlardır:

• eth_sign: Hash verilerini imzalama.
• personal_sign: Düz metin bilgilerini imzalamak, kullanıcı giriş doğrulaması veya izin sözleşmesi onayında en yaygın olanıdır.
• eth_signTypedData (EIP-712): Yapılandırılmış verilere imza atma, genellikle ERC20'nin Permit'i, NFT listelemeleri vb. için kullanılır.

5. İşlem İmzası

İşlem imzası, transfer veya akıllı sözleşme çağrısı gibi blok zinciri işlemlerini yetkilendirmek için kullanılır. Kullanıcı özel anahtarıyla imzalar, ağ işlemin geçerliliğini doğrular. Şu anda birçok eklenti cüzdanı, imzalanacak mesajları çözümleyip ilgili içeriği gösterir; asla kör imza verme ilkesine uymak önemlidir, güvenlik önerisi:

• Alıcı adresini, miktarını ve ağı dikkatlice kontrol edin, hatalardan kaçının.
• Büyük miktar işlemler için çevrimdışı imza önerilir, çevrimiçi saldırı riskini azaltır.
• Gas ücretlerine dikkat edin, makul olmasını sağlayın, dolandırıcılıklardan kaçının.

Belirli bir teknik bilgiye sahip kullanıcılar, bazı yaygın manuel kontrol yöntemlerini de kullanabilir: Etkileşim hedefi sözleşmesinin adresini blok zinciri tarayıcısına kopyalayarak inceleyebilirler, inceleme içeriği genellikle sözleşmenin açık kaynak olup olmadığı, son zamanlarda büyük miktarda işlem olup olmadığı ve bu adrese resmi etiket veya kötü niyetli etiket yapılıp yapılmadığı gibi unsurları içerir.

6. İşlem Sonrası İşlemler

Phishing sayfaları ve kötü niyetli imzalardan kaçınmak her şeyin yolunda olduğu anlamına gelmez, işlem sonrası da risk yönetimi yapılmalıdır.

İşlem sonrasında işlemin on-chain durumunu zamanında kontrol etmeli ve imza sırasında beklenen durumla tutarlı olup olmadığını onaylamalısınız. Anomaliler tespit edildiğinde, zamanında varlık transferi, yetki iptali gibi zararı durdurma işlemleri yapılmalıdır.

ERC20 Onay Yönetimi de son derece önemlidir. Bazı durumlarda, kullanıcılar belirli sözleşmelere token yetkisi verdikten yıllar sonra, bu sözleşmeler saldırıya uğramıştır ve saldırganlar, saldırıya uğrayan sözleşmenin token yetki limitlerini kullanarak kullanıcıların fonlarını çalmıştır. Bu tür durumları önlemek için kullanıcıların aşağıdaki standartları takip etmelerini öneriyoruz:

• Yetkilendirmeyi minimize et. Token yetkilendirmesi yapılırken, işlemin gereksinimlerine göre sınırlı bir şekilde ilgili token miktarını yetkilendirmek gerekir. Eğer bir işlem 100 USDT yetkilendirmesi gerektiriyorsa, bu yetkilendirme miktarı 100 USDT ile sınırlı olmalı ve varsayılan sınırsız yetkilendirme kullanılmamalıdır.
• Gereksiz token yetkilerini zamanında iptal edin. Kullanıcılar ilgili araçlara giriş yaparak belirli adreslerin yetki durumunu kontrol edebilir, uzun süre etkileşimde bulunmayan protokollerin yetkilerini iptal ederek, protokollerin daha sonra kullanıcıların yetki limitlerini kullanarak varlık kaybına neden olabilecek güvenlik açıkları oluşturmasını önleyebilir.

Üç, Fon İzolasyon Stratejisi

Risk bilincine sahip olunduğunda ve yeterli risk önlemleri alındığında, aşırı durumlarda fonların zarar görme derecesini azaltmak için etkili fon ayrımı yapılması önerilmektedir. Önerilen stratejiler şunlardır:

• Büyük miktardaki varlıkları çoklu imza cüzdanı veya soğuk cüzdan ile saklayın;
• Günlük etkileşim için eklenti cüzdanı veya EOA cüzdanı sıcak cüzdan olarak kullanın;
• Sıcak cüzdan adreslerini düzenli olarak değiştirin, adresin sürekli olarak riskli ortamlara maruz kalmasını önleyin.

Eğer yanlışlıkla gerçekten bir oltalama durumu yaşanırsa, kayıpları azaltmak için aşağıdaki önlemleri hemen almanızı öneririz:

• İlgili araçları kullanarak yüksek riskli yetkilendirmeleri iptal edin;
• Eğer permit imzası atıldıysa ancak varlık henüz transfer edilmediyse, eski imza nonce'unu geçersiz kılmak için hemen yeni bir imza başlatılabilir;
• Gerekirse, kalan varlıkları hızlı bir şekilde yeni bir adrese veya soğuk cüzdana transfer edin.

Dört, Airdrop etkinliklerine nasıl güvenli bir şekilde katılın

Airdrop, blockchain projelerinin tanıtımında yaygın bir yöntemdir, ancak içinde riskler barındırmaktadır. İşte birkaç öneri:

• Proje arka plan araştırması: Projenin net bir beyaz kitaba, halka açık ekip bilgilerine ve topluluk itibarına sahip olmasını sağlamak;
• Özel adres kullanın: Ana hesap risklerini izole etmek için özel bir cüzdan ve e-posta kaydedin;
• Bağlantıya dikkatlice tıklayın: Airdrop bilgilerini yalnızca resmi kanallardan alın, sosyal medya platformlarındaki şüpheli bağlantılara tıklamaktan kaçının;

Beş, Eklenti Araçlarının Seçimi ve Kullanım Önerileri

Blockchain güvenliği kurallarının birçok içeriği bulunmaktadır, her etkileşimde detaylı bir kontrol yapmanın mümkün olmayabileceği durumlar vardır, güvenli eklentilerin seçilmesi kritik öneme sahiptir, risk değerlendirmesi yapmamıza yardımcı olabilir, aşağıda spesifik öneriler yer almaktadır:

• Güvenilir uzantılar: Yaygın olarak kullanılan tarayıcı uzantılarını kullanın. Bu eklentiler cüzdan işlevi sağlar ve merkeziyetsiz uygulamalarla etkileşime geçmeyi destekler.
• Değerlendirme Kontrolü: Yeni bir eklenti yüklemeden önce, kullanıcı değerlendirmelerini ve yükleme sayılarını kontrol edin. Yüksek değerlendirmeler ve çok sayıda yükleme genellikle eklentinin daha güvenilir olduğunu gösterir ve kötü niyetli kod riskini azaltır.
• Güncel kalın: Eklentilerinizi düzenli olarak güncelleyerek en son güvenlik özellikleri ve düzeltmeleri edinin. Süresi dolmuş eklentiler bilinen güvenlik açıkları içerebilir ve saldırganlar tarafından kolayca istismar edilebilir.

Altı, Sonuç

Yukarıdaki güvenli işlem kılavuzuna uyarak, kullanıcılar giderek karmaşıklaşan blok zinciri ekosisteminde daha rahat bir şekilde etkileşimde bulunabilir ve varlık koruma yeteneklerini önemli ölçüde artırabilir. Blok zinciri teknolojisi merkeziyetsizlik ve şeffaflık gibi temel avantajlara sahip olsa da, bu aynı zamanda kullanıcıların imza phishing, özel anahtar sızıntısı, kötü niyetli uygulamalar gibi çoklu risklerle bağımsız bir şekilde başa çıkmaları gerektiği anlamına gelir.

Gerçek bir güvenli on-chain sağlamak için yalnızca araçların hatırlatmalarına güvenmek yeterli değildir; sistematik bir güvenlik bilinci ve işlem alışkanlıkları oluşturmak anahtardır. Donanım cüzdanı kullanmak, fon ayrıştırma stratejileri uygulamak, yetkilendirmeleri düzenli olarak kontrol etmek ve eklentileri güncellemek gibi koruma önlemleri alarak, işlem uygulamalarında "çoklu doğrulama, kör onay reddi, fon ayrıştırma" felsefesini benimseyerek, gerçekten "özgür ve güvenli bir şekilde on-chain" yapılabilir.