Yazılı sözleşmelerin aksine, akıllı sözleşmelerin şartlarını Ethereum benzeri blockchain ağları, ağ üzerinde çalışmakta olan kodlar halinde yürütür. Bu nedenle, akıllı sözleşmelerin denetimleri güvenlik standartlarının karşılanması için önemlidir.
Akıllı sözleşmeler; sigortadan krediye, lojistikten oyunlara kadar birçok alanda ‘eşler arası’ işleme imkân tanır. Bu nedenle, akıllı sözleşmelerin de kontrolünün ve güvenliğinin sağlanması gerekir. Bunun içinde akıllı sözleşme denetimine ihtiyaç duyulur. Bir akıllı sözleşme denetiminde, ilgili projelerin akıllı sözleşme kodları incelenir. İncelemenin ardından kodlar ile ilgili değerlendirmeler gerçekleştirilir. Bu akıllı sözleşmeler, genel olarak Solidity yazılım dilinde yazılır. GitHub aracılığıyla ise bu akıllı sözleşmeler sunulur. Akıllı sözleşme denetimlerinin genel olarak dört adımı bulunur. Bu adımlar şunlardır:
- İlk analizler adına ilgili akıllı sözleşmeler, denetim ekiplerine sunulur.
- Denetim ekipleri, aksiyon alınabilmesi adına elde edilen tüm bulguları projeler ile paylaşır.
- Proje ekipleri, belirlenen sorunlar doğrultusunda değişiklikler gerçekleştirir.
- Denetim ekipleri, gerçekleştirilen bütün yenilikleri, değişiklikleri ve dikkat çeken hataları barındıran son raporu paylaşır.
Çok sayıda kripto varlık yatırımcı ve kullanıcısı için merkeziyetsiz finans projelerine yatırım gerçekleştirirken, bu akıllı sözleşme denetimleri önemli bir göstergedir. Aynı zamanda bazı denetçi firmalar, alanda lider olarak görülür. Bu durum, daha iyi denetçi firmaların denetimini yaptığı akıllı sözleşmeler, kripto varlık yatırımcıları için önem teşkil eder.
Akıllı Sözleşme Denetimlerine Neden Gerek Duyulur?
Akıllı sözleşmeler üzerinde kilitlenen veya akıllı sözleşmeler üzerinden işlemleri gerçekleştirilen kripto varlıkların değerinin bir hayli yüksek olması, bu akıllı sözleşmeleri hacker ve siber korsanların saldırıları için önemli bir hedef haline getirir. Bazı kodlama ve yazılım hataları, çok yüksek miktarlarda değer ve paranın çalınmasına, ortadan kaybolmasına sebep olabilir. Örnek vermek gerekirse, Ethereum blockchain ağı üzerinde yaşanan DAO saldırısı 60 milyon dolar civarında ETH’nin çalınmasına neden olmuştur. Aynı zamanda bu saldırı ile Ethereum blockchain ağı üzerinde bir hard fork (sert çatallanma) gerçekleşmiştir.
Blockchain ağlarında işlemler, geri döndürülemez bir yapıdadır. İlgili projelerin kodlarının güvenilir olduğundan emin olmak, önem arz eder. Blockchain teknolojisinin doğası gereği oldukça güvenli olması, bir sorun yaşandığında, sonrasında fonların kurtarılabilmesini veya sorunların çözülebilmesini bir hayli zorlaştırır. Bu sebeple, blockchain ağlarındaki güvenlik açıklarını tespit etmek ve düzeltmek çok faydalıdır.
Akıllı Sözleşme Denetimleri Nasıl Çalışır?
Akıllı sözleşme denetimlerinde süreç, denetim firmaları için bir standart dahilinde gerçekleştirilir. Denetçi firmaların yaklaşımları ve süreçler arasında bazı farklılıklar olsa da genel işleyiş şu şekildedir:
- İlk adım olarak gerçekleştirilecek olan akıllı sözleşme denetimlerinin kapsamı belirlenir. Projenin amaçladığı hedef ve genel mimarisi dahilinde akıllı sözleşmenin teknik yeterlilikleri tespit edilir. Teknik yeterlilik ve özellikler, firmanın denetim ekipleri aracılığı ile ilgili projenin kodu yazılırken ve kullanılırken neleri amaçladığının daha net ortaya konmasına yardımcı olur.
- Denetçi firma tarafından yapılması gereken iş miktarıyla orantılı olarak, ilk fiyat teklifleri müşterilere iletilir.
- Daha sonra gerekli tüm testler, akıllı sözleşme üzerinde uygulanır. Bu adımda tam anlamıyla hangi işlemlerin gerçekleştirileceği, firmanın denetim ve test ekipleri, analiz araçları ve tekniklerine bağlı olarak değişiklik gösterebilir. Genel olarak, yapılacak tüm testler, hem manuel hemde otomatik olarak gerçekleştirilir.
- Son raporda bulunan tüm hataları içeren bir taslak hazırlanır. Denetçi firma bu taslağı geri bildirim olarak iletir. Ardından gerçekleştirilecek olan düzeltme ve yenilemeler proje ekiplerine sunulur.
- Belirlenen sorunların çözülmesi adına ekiplerin tüm eylemlerini içeren nihai bir rapor paylaşılır.
Akıllı Sözleşme Denetim Yöntemleri Nelerdir?
Akıllı sözleşme denetim yöntemleri olarak şunlar sayılabilir:
- Gas verimliliği ve performansı
- Akıllı sözleşmenin güvenlik açıkları
- Platformun güvenlik eksiklikleri
Gas Verimliliği ve Performansı
Akıllı sözleşme denetimleri sadece blockchain ağlarının güvenliği ile ilgilenmez. Güvenliğin yanı sıra verimlilik, performans ve optimizasyon değerleri de incelemeye alınır. Bazı sözleşmeler, işlevlerini gerçekleştirmek adına farklı ve karmaşık yollar izleyebilir. Ethereum benzeri blockchain ağlarında, gas ücretlerinin (gas fee) daha yüksek olduğu baz alınırsa, verimli akıllı sözleşmeler işlem ücretlerinden çoğunlukla tasarruf edebilir.
Akıllı sözleşmelerin verimliliğinin ve performansının optimize edilmesi, geliştiricilerin yeterliliklerinin bir başka göstergesini ifade eder. Verimsiz hamleler, hata riskini artırabilir. Geliştiriciler, bu gibi durumlardan kaçınmalıdır.
Akıllı Sözleşmelerin Güvenlik Açıkları
Akıllı sözleşme denetimlerinde yapılan işlerin büyük bir kısmını, sözleşmelerin güvenlik açıklarının tespit edilmesi ve giderilmesi oluşturur. Birtakım sorunları tespit etmek diğerlerine göre nispeten kolaydır. Buna rağmen birçok kötü amaçlı saldırıda, saldırganlar ileri düzey saldırı teknikleri ve stratejileri kullanır. Örnek vermek gerekirse, nispeten zayıf bir akıllı sözleşmede, flaş kredi saldırısı düzenlemek isteyen kötü niyetli kişiler, piyasa manipülasyonu gerçekleştirebilir. Bu gibi problemleri tespit etmek adına denetçi firmalar, kırılma testleri uygular. Akıllı sözleşmelere uygulanan bu kırılma testleri, bazı saldırı türlerinin bir simülasyonunu kullanır. Akıllı sözleşmelerde en sık karşılaşılan güvenlik eksiklikleri ise şunlardır:
- Tam sayı fazlalığı veya azlığı
- Tekrar kayıt sorunları
- Önden işlem gerçekleştirme fırsatları
Tam Sayı Fazlalığı veya Azlığı
Akıllı sözleşmeler birer aritmetik işlem yaptığında, işlemin çıktıları depolama kapasitesini aşarsa bu durum gerçekleşir. Böylece hesaplanan değerler yanlış olabilir. Bu kapasite ise yaygın olarak 18 ondalık basamaktan oluşur.
Tekrar Kayıt Sorunları
Bu durum, herhangi bir akıllı sözleşmenin daha kendi durumunu güncellemeden bir başka harici akıllı sözleşmeye çağrıda bulunması halinde gerçekleşir. Sonrasında harici akıllı sözleşme, çağrı gerçekleştiren orijinal akıllı sözleşmeye tekrarlanan çağrılarda bulunabilir. Fakat orijinal akıllı sözleşmenin bakiyeleri ve değerleri henüz güncellenmediği için diğer akıllı sözleşmeyle yanlış bir etkileşimde bulunabilir.
Önden İşlem Gerçekleştirme Fırsatları
Yapısında bozukluk olan bir kod, piyasada alış ve satışlar için önceden bir uyarı gönderebilir. Bu durum başkalarının bu gibi bir veriyi kullanmasına ve kendi menfaati doğrultusunda alım satım gerçekleştirmesine sebep olabilir.
Platform Güvenliğinde Kusurlar
Akıllı sözleşme denetimlerinin birçoğu, bu sözleşmeleri barındıran blockchain ağını ve DApp ile iletişim halinde olan API’ları incelemeye alır. Projeler DDoS saldırılarına maruz kalabilir. Bir başka ihtimal ise ilgili web adresinin arayüzünün ele geçirilmesidir. Bu durumun bir sonucu olarak kullanıcılar, kötü niyetli blockchain uygulamalarına bağlanabilir.
Akıllı Sözleşme Denetim Raporu Nedir?
Birçok akıllı sözleşme denetiminde, ilgili nihai rapor denetim süreçlerinin sonunda sunulur. Gerekli şeffaflığın ve güvenin sağlanması adına proje ile ilgili bu sonuçta yer alan bulguların topluluklar ile paylaşılması beklenir. Birçok raporda sorunlar, kritik, önemli, önemsiz ve benzeri kategorilerde ayrıştırılır. Son raporlar paylaşılmadan önce, ilgili projelere sorunları çözmesi için belirli bir zaman verilebilir. Daha sonra bu son durumda raporlara dahil edilir. Standart raporlarda kısa bir özet bulunur. Bunun yanı sıra öneriler, gereksiz kodlara dair örnekler ve kodlarla ilgili hataların nerelerde yer olduğunun bir bilgilendirmesi bulunur. Nihai rapor yayınlanmadan bu konular ile ilgili aksiyon alınması için belirli bir süre verilir.
Akıllı Sözleşme Denetimi Yaptırmak için Hangi Uygulamalar Tercih Edilebilir?
Akıllı sözleşme denetimi konusunda sektörde en çok öne çıkan şirketler şunlardır:
- CertiK
- ConsenSys Diligence
- Hacken
CertiK
Söz konusu akıllı sözleşme denetimleri olduğunda CertiK uygulamasının alanda lider olduğu söylenebilir. Günümüzde yüzlerce akıllı sözleşme barındıran projenin denetimleri CertiK aracılığıyla gerçekleştirilmiştir. BSC’nin en kapsamlı otomatik piyasa yapıcısı (AMM) PancakeSwap bu denetimlerin uygulandığı büyük projelerin bir örneğidir. Binance Labs’ın desteklediği onlarca projenin birçoğu CertiK tarafından denetime alınmıştır. Aynı zamanda CertiK, denetlediği akıllı sözleşme içeren projeler için güvenlik puanları da barındıran bir liderlik sıralaması da paylaşır. Bu sıralama sayesinde kullanıcılar ve geliştiriciler, projeleri karşılaştırabilir.
ConsenSys Diligence
Ethereum’un kurucu ortaklarından birisi Joseph Lubin’dir. ConsenSys’yi de yürüten Lubin, blockchain alanında bilinir kişilerden birisidir. ConsenSys blockchain ağlarının geliştirilmesi hususunda kripto varlık alanının en önde gelen firmalarından birisidir. ConsenSys, Ethereum akıllı sözleşme denetimleri gerçekleştirir. Ayrıca ConsenSys, en yaygın yaşanan sorunlara karşı Ethereum Sanal Makinesi’ni (Ethereum Virtual Machine) otomatik denetleyen bir servisi müşterilerine sunuyor.
Hacken
Hacken, blockchain ağlarının ve projelerinin güvenlik açıklarını belirlemek, zayıflıkları tespit etmek ve olası saldırılara karşı güvenlik denetimlerini gerçekleştirmek amaçlı kullanılır. Firma, beyaz hacker’lar olarak adlandırılan iyi niyetli hacker’lardan oluşan bir ekibe sahiptir. Bu ekip, kripto varlık projelerinin akıllı sözleşmelerini, ağ güvenliğini, kod denetimlerini denetler ve optimizasyonunu sağlar.
Bir Akıllı Sözleşme Denetiminin Maliyeti Ne Kadar Olur?
Hesaplanan tam maliyetler, kontrolü ve denetimi sağlanması gereken akıllı sözleşme sayısına bağlı olarak değişebilir. Genel olarak denetim yaptırmak için binlerce dolar ödeme gerebilir. Kapsamlı projeler için fiyatlar rahatlıkla 10.000 doların üzerine çıkabilir. Denetimi yapan firma ve bu firmanın itibari da fiyatlara etki edebilir.
Yatırımcıların ve kullanıcıların faydası için akıllı sözleşme denetimleri oldukça önemlidir. Bu sebeple akıllı sözleşme denetimleri sektörde bir güven standardı haline gelmiştir. Geliştiricilerin dışında kullanıcılar, paylaşılan raporları okuyarak fikir sahibi olabilir. Teknik bilgisi olmayan kişilerin dahi bu raporları en az bir kere okuması firmalar tarafından tavsiye edilir.
