Step Finance Vakası: Güvenlikte İnsan Faktörü

Solana ağı üzerindeki büyük DeFi platformlarından biri olan Step Finance, geçtiğimiz günlerde büyük bir güvenlik ihlali ile gündeme geldi.

31 Ocak günü Step Finance sosyal medya hesaplarında, yönetici ekibinin cihazlarının ele geçirilmesi sonucunda yaklaşık $40M‘lik varlığın çalındığını açıkladı.

Hemen alınan bazı aksiyonlarla, bu miktarın yaklaşık $4.7M’luk kısmı kurtarıldı.

Bu ihlalde, bana göre haber değeri taşıyan konu ise, bir akıllı kontrat açığı ya da protokol tasarlanırken yapılmış bir hata değil de, yetkili kişilere ait cihazların ele geçirilmesiyle yaşanmış olmasıydı.

Buradaki ayrıma önem veriyorum, çünkü Web3 dünyasında güvenlik açığı denlince hâlâ akla akıllı kontratlar, yazılan kodların kalitesi, algoritmik açıklar vb konuşuluyor.

Ama işin operasyonel ve günlük yanı, erişimler, yetkilendirmelerin olduğu katman hala yeterince konuşulmuyor. Yani güvenlik süreçlerindeki insan faktörü hala bir şekilde Web3 dünyasının pek gündeminde değil.

Web3 ve blokzincir dünyasının ortaya çıkışını ve felsefesini düşününce, yani kişinin her türlü varlığının sorumluluğu kişinin kendisinin alması yaklaşımı, bu katmanda önlem alma gibi aksiyonları ikinci plana atıyor. Bu bakış açısını anlamakla birlikte, pek çok kişinin varlığını barındıran sistemler için, güvenlik açısından her katmanın, her faktörün hesaba katılıp önlem alınması gerektiğini düşünüyorum; buna insan faktörü de dahil.

Step Finance tarafında yaşanan bu vakayı, Web3 güvenliği tarihinde daha önce gördüğümüz örneklerden tamamen ayrı düşünmek de zor. Örneğin yaklaşık bir buçuk yıl önce yaşanan ve tüm zamanların en büyük ihlallerinden biri olarak kayıtlara geçen Bybit saldırısında teknik yöntemler farklıydı; ancak kök sebep yine benzer bir yere işaret ediyordu: erişim yetkileri, operasyonel kararlar ve insan faktörü. Teknoloji değişiyor, saldırı vektörleri evriliyor; gelişiyor fakat merkezi ya da merkeziyetsiz yapılarda, kritik sistemlere kimlerin, hangi koşullarda ve nasıl erişebildiği sorusu hâlâ güvenliğin en kırılgan noktalarından biri olmaya devam ediyor.

Aslında bu başlık, Web3 için de benim için de yeni bir konu değil.. Daha önce bültende, Web3 güvenliğini yalnızca teknoloji üzerinden değil, insan faktörü üzerinden de ele almış; şeffaflığın güvenliğin yerini otomatik olarak almadığından bahsetmiştim.

Step Finance vakası, bu tartışmayı teoriden çıkarıp pratik bir örnekle yeniden önümüze koyuyor.

Burada mesele, zincir üzerindeki verinin görünür olup olmaması değil. Mesele, bu veriyi yöneten, sistemleri işleten ve kritik erişimlere sahip olan insanların nasıl çalıştığı. Web2 dünyasında yıllardır konuşulan erişim yönetimi, yetkilerin ayrıştırılması ve operasyonel disiplin gibi konular, Web3’te de kaçınılmaz biçimde kendini hissettiriyor.

Bu tür olaylar, Web3’te güvenliği yalnızca “hack’lendik mi?” sorusuna indirgemeyi giderek zorlaştırıyor. Asıl soru giderek şuna dönüşüyor: Bu sistemler kimler tarafından, hangi yetkilerle ve nasıl işletiliyor?

Regülasyon tartışmalarının da tam bu noktada yoğunlaşması tesadüf değil. Kurumlar açısından güvenlik; yalnızca teknik dayanıklılık değil, öngörülebilirlik ve sorumlulukla da doğrudan ilişkili. Ve ne yazık ki açık kaynak kodu kullanılması, hele de finansal etkileri bu kadar büyük olabilen ortamlarda, süreçlerin olgun olduğu anlamına gelmiyor.

Belki de bu tür vakaları, tekil birer güvenlik ihlali olarak değil; Web3’ün büyüdükçe karşılaştığı operasyonel gerçekler ve yapısal sonuçlar olarak okumak gerekiyor. Otomasyon ve finansal boyutlar arttıkça, insan kaynaklı küçük hataların etkisi de büyüyor.

Bu da bizi tekrar en temel soruya getiriyor: Bu sistemleri güvenilir kılan nedir?

Kod, şeffaflık ve otomasyon bu sorunun bir kısmını cevaplıyor. Geri kalan kısmı ise, her zamanki gibi, insanların kurduğu yapılar belirliyor.