On altı gönüllü, geçtiğimiz hafta 390 açık kaynak Bitcoin deposunu incelemek için toplam 27,5 saat harcadı. İçlerinden biri bulguları tek bir cümleyle özetledi: "Kişi başı, saat başına ortalama 1 kritik güvenlik açığı buluyoruz." Bu gönüllü, Cashu ecash protokolünün geliştiricisi ve Bitchat'in (internet olmadan Bitcoin transferi yapan bir Bluetooth-mesh sohbet uygulaması) Android sürümünün yaratıcısı olan, takma isimli Bitcoin geliştiricisi ve fizik doktoru Calle. Calle, Bitcoin'in çekirdek geliştirme camiası dışında neredeyse hiç kimsenin adını bilmediği bir geliştirici olarak sektörde çalışıyor.
Bu, önderlik ettiği güvenlik taramasında 390 projede toplam 4.962 bulgu, 85 kritik seviye bulgu tespit edilip, yaklaşık 40.000 $'lık bir hesaplama maliyetiyle OpenSats tarafından fonlandığında değişti. Phemex bu denetimi Pazar günü bir etkinlik olarak ele aldı. Bu makale, arkasındaki protokolü yöneten kişiyi, neredeyse kimsenin doğru düzgün açıklayamadığı ecash sistemini ve onun gönüllü faaliyetlerinin, Bitcoin yazılımını gerçekte kimin güvende tuttuğunu nasıl gösterdiğini anlatıyor.
Bitcoin'in En Büyük Gönüllü Güvenlik Taramasından Sonra Calle Neden Önemli?
Calle, yıllardır Bitcoin ve Lightning geliştirici topluluğunun bir parçası olup, daha çok içeridekiler tarafından biliniyor. Bitcoin Magazine'in aktardığına göre Cashu'yu Ekim 2022'de açık kaynak olarak paylaştı ve o zamandan beri Nutshell (referans mint uygulaması), Cashu protokolünün resmi spesifikasyon deposu ve çoğu kullanıcının ilk kez karşılaştığı Cashu.me cüzdanı gibi projeler ile bakımını sürdürüyor. BTC Prague dahil etkinliklerde ve Bitcoin odaklı podcastlerde sıkça konuşmacı olarak yer alıyor ve her seferinde aynı tema öne çıkıyor: Bitcoin'de gizlilik hâlâ tamamlanmamış bir iş ve bu eksikleri tamamlayanların çoğu gönüllü olarak çalışıyor.
Red Team denetimi, bu gerçeğin neden bir anda çok daha geniş bir kitleyi ilgilendirdiğinin cevabı. Calle, Temmuz ayında ortaya çıkan Coldcard firmware açığının, Bitcoin'in temel yazılım ekosisteminin ne kadar az sürekli incelendiğini göstermesinden sonra bu taramayı organize eden 16 araştırmacıdan biriydi. Saat başı kişi başı bir kritik açık ortalaması yorumu, bir pazarlama süsü değil; cüzdanların, borsaların ve sıradan Bitcoin kullanıcılarının güvendiği kodlarda ne kadar çok incelenmemiş alan olduğunu gerçek zamanlı olarak anlatan bir araştırmacı tanımıydı.
Ecash ve Cashu Aslında Nedir?
Ecash dijital paranın en eski fikirlerinden biri olarak Bitcoin'den bile daha eskiye uzanır ve kavram Bitcoin gizliliği tartışmalarında sıkça geçmesine rağmen geniş kitlelere yönelik güçlü bir açıklama hala yok. Ecash, teslim ile kullanılan (bearer-token) bir modeldir. Bir merkezî otorite (mint), dijital token’lar ihraç eder ve geçerli bir token’ı elinde bulunduran kişi tıpkı fiziksel bir dolar gibi bunu bozdurabilir. Gizlilik hilesi ise mint’in, kriptografik bir teknik olan kör imzalama (blind signing) kullanarak, verdiği token’ı kime verdiğini asla bilmeden ihraç etmesinde; böylece kimin ne kadar harcama yaptığı mint operatörü tarafından takip edilemez.
Cashu, bu modeli Bitcoin ve Lightning Network üzerinde uygular. Bir kullanıcı, Bitcoin’i Cashu mint’ine yatırır, karşılığında körlenmiş ecash token’ları alır ve bu token’ları başka birisine, transfer yerelde gerçekleşiyorsa internet bağlantısı olmadan bile, anında aktarabilir. Ardından token’lar tekrar Bitcoin veya Lightning ödemesine mint üzerinden dönüştürülebilir. Token’ların kendisi sadece küçük veri paketleridir – QR koda sığacak veya Bluetooth ile aktarılabilecek kadar küçük. Cashu’nun kendi spesifikasyon süreci de, protokol tekliflerinin halka açık ve sürümlü kaydı vasıtasıyla, bir cüzdan ya da mint’in uyumlu olabilmesi için ne uygulaması gerektiğini net biçimde tanımlar – tıpkı Bitcoin kendi protokolünde yaptığı gibi.
Buradaki takas açıkça belirtilmeli. Bir Cashu mint’i saklayıcı (custodial) bir çözümdür. Kullanıcı, mint operatörüne yatırdığı Bitcoin’i tam olarak tutacağına ve token’ları talep edildiğinde bozduracağına güvenmek zorundadır. Bu, donanım cüzdanlarında bireysel saklama (self-custody) karşılaştırmalarındaki gibi karşı taraf güvenini ortadan kaldırmanın tam tersi bir risk profili sunar. Kullanıcıya sağlanan ise güçlü işlem gizliliğidir; mint token’lar ihraç edildikten sonra kimlerin kime transfer yaptığına tanıklık edemez. Anlık gerçekleşme ve internetsiz işlem özelliği de cabası. Bu kombinasyon, gizliliği ve çevrimdışı dayanıklılığı kendi anahtarlarını tutmak kadar önemli görmeyen kullanıcılar için çok cazip; ancak saklama kontrolünü kaybetmeyi hiçbir şartta istemeyen geleneksel Bitcoin kullanıcılarının ise tercihi olmayacaktır. Burada kimse yanlış değil; herkes aynı protokolde sadece farklı önceliklere göre optimizasyon yapıyor.
|
Yöntem
|
Gizlilik
|
Saklama
|
Hız
|
|
Zincir üstü Bitcoin
|
Takma isimli, herkese açık blokzincirinde kalıcı olarak görünür
|
Anahtarlarını kendin tuttuğunda bireysel saklama
|
Dakikalar – ağ ücreti ve onaylara bağlı
|
|
Lightning Network
|
Zincir üstüne göre daha güçlü; ancak yönlendirme düğümleri ödeme metadatasını görebilir
|
Fonlu kanal açarsan özsaklama; cüzdan sağlayıcı üzerinden ise saklayıcı
|
Neredeyse anında; genellikle saniyeden kısa
|
|
Cashu ecash
|
Çok güçlü; token ihraç edildikten sonra mint kimde olduğunu göremez
|
Saklayıcı; kullanıcılar mint’in ödemeleri tam yapacağına güvenir
|
Anında; internetsiz de çalışır
|
Bitchat ve Çevrimdışı Bitcoin Transferlerinin Önemi
Bitchat, Jack Dorsey tarafından ilk olarak yayınlanan Bluetooth-mesh tabanlı, cep telefonlarının kulelere, routerlara veya sunuculara ihtiyaç duymadan cihazdan cihaza mesaj iletmesini sağlayan bir sohbet uygulamasıdır. Calle, Android sürümünü geliştirdi ve bakımını sürdürüyor; burası da, ecash çalışmalarının sıradan kullanıcı için protokol şemasından çıkarak somut hale geldiği alan. Kendi versiyonunda, Cashu ve Lightning’i doğrudan sohbet arayüzüne entegre etti. Böylece bir mesajlaşma akışında, iki cep telefonunun Bluetooth menzilinde buluştuğu anda tahsil edilebilen bir ödeme taşınabiliyor.
Bu özellik, özellikle olağan altyapı çöktüğünde en önemli hale geliyor. Bitchat, geçen Eylül’de Nepal’deki huzursuzluk sırasında tek bir günde 50.000’e yakın indirme aldı; İran ve Hindistan’da da ağ kısıtlamaları dönemlerinde kullanımı yeniden arttı. Üzerine entegre edilen ecash ve Lightning ödeme katmanı sayesinde, bir telefon görüşmesinin dahi imkânsız olduğu koşullarda bile değer transferi bankaya, borsaya veya cep operatörüne gerek kalmadan sağlanabiliyor. Tasarım gereği çok niş bir kullanım senaryosu ve tam da burada saklayıcı ecash’in teorik gibi görünen tavizleri gerçek oluyor.
Red Team Denetimi Bağlamında
Phemex, Red Team taramasını pazar günü haberleştirdi; dolayısıyla sayıları tekrara düşmeden yeniden ifade etmek gerek. On altı gönüllü, 390 açık kaynak Bitcoin deposunu 27,5 saatte inceledi ve 4.962 bulgu tespit etti. Bunların 85’i kritik olarak işaretlendi ve yaklaşık 40.000 $ karşılığında OpenSats tarafından finanse edildi. Bu rakam, Bitcoin’in çekirdek protokolünde 85 açık olduğu anlamına gelmiyor; 390 farklı projede dağılmış 85 kritik seviye açık demek. İncelenen alan cüzdanlardan altyapı araçlarına, kriptografi kütüphanelerine kadar çok geniş ve büyük çoğunluğu Bitcoin Core dışındaki projelerden oluşuyor. Taramayı tetikleyen olay, Temmuz ayındaki Coldcard firmware açığı idi ve benzer kırılganlık DeFi’nin tarihsel bridge ve altyapı açıkları arasında da karşımıza çıkıyor.
Calle’nin bu süreçteki rolü, günlük işinin rastlantısal bir uzantısı değil; Cashu’yu inşa etmek ve sürdürmek, yıllarca kendi kriptografi varsayımlarını, soğuk cüzdan benzeri hassas cihazlarda olası sinsi hataları açığa çıkaracak bir titizlikle denetlediği anlamına geliyor. Bu arka planı, onu sadece bulgu katkısı yapan değil, organizasyonu üstlenen kişi haline getirdi.
Bitcoin’in Çevresini Gerçekte Kim Bakımda Tutuyor?
Red Team denetiminin gündeme taşıdığı rahatsız edici soru tek bir güvenlik açığıyla ilgili değil; cüzdanların, borsaların ve kullanıcıların sessizce güvendiği yüzlerce açık kaynak projesine kimin maaşlı şekilde bakım yaptığıyla ilgili. Bitcoin Core, nispeten iyi bütçeli ve düzenli bir geliştirici ekibiyle sürekli bakım görüyor. Ancak Red Team’in taradığı 390 deponun çoğunda bu yok. Calle’nin Cashu projesi de bunun tipik bir örneği: gerçek kullanıcı fonlarını koruyan bir protokol, maaş bordrosu değil, açık kaynak katkıları ve dönemsel hibelerle bakılıyor.
27,5 saatlik gönüllü bir sprint için ayrılan yaklaşık 40.000 $ bütçe, bu alanlarda ne kadar ince bir güvenlik katmanı olduğunu gösteren en açık veri noktasıdır. OpenSats, bu boşluğu doldurmak için kuruldu ve hem denetimi hem de Calle’nin Cashu için uzun vadeli destek hibesini finanse etti. Asıl mesele ölçek; odaklanmamış teknik kişilerin çalışma hacminin ana manşetlerin ardındaki devasa, görünmez emeği ortaya çıkardığı alanlarda sıkça gündeme gelir. Sadece 16 kişinin tek bir hafta sonunda yoğun şekilde bakması bile, gerçek paranın döndüğü kodlarda 5.000’e yakın bulgu ortaya çıkardı. Gönüllü ve hibe destekli güvenlik denetimi, yapısı gereği hassas, birkaç kişinin ücret almadan veya hibe ile bakmaya gönüllü olmasına bağlı. Red Team’in, AI destekli inceleme altyapısını açık kaynak yayınlama planı, bu kırılganlığı tek bir kişinin hafta sonuna bağımlı olmadan çözmeye yönelik bir adım ve o 390 projede benimsenme oranı asıl izlenecek nokta olacak. Hiçbiri bugünkü Phemex’te işlenen Çarşamba TÜFE verisiyle doğru orantılı bir makro hikaye değil.
Sıkça Sorulan Sorular
Cashu nedir?
Cashu, Bitcoin ve Lightning Network üzerinde çalışan, mint tarafından ihraç edilmiş körlenmiş dijital token’ların tutulup transfer edilmesini sağlayan, ücretsiz ve açık kaynak bir ecash protokolüdür. Ekim 2022’de açık kaynak olmuş; güçlü işlem gizliliği ve çevrimdışı dahil anlık transfer imkanı sunarken, kullanıcıların mint operatörüne fonların saklanışı konusunda güvenmesini esas alır.
Calle kimdir?
Calle, Cashu ecash protokolünü ve Bluetooth-mesh mesajlaşma uygulaması Bitchat’in Android sürümünü geliştiren ve bakımını üstlenen takma isimli bir Bitcoin geliştiricisi ve fizik doktorudur. Ayrıca, Ağustos 2026’da 390 açık kaynak Bitcoin deposunun 27,5 saatte denetlendiği Red Team güvenlik taramasında yer alan 16 gönüllüden biridir. Calle’nin kimliği kamuya açıklanmış değildir, kasıtlı olarak takma isimle çalışır.
Ecash kullanmak güvenli mi?
Ecash, gizlilik açısından kriptografik olarak oldukça güçlüdür; düzgün tasarlanmış bir mint, bir token’ı kimin bozdurduğunu bilemez. Ama tasarım gereği saklayıcıdır. Kullanıcı, mint operatörünün Bitcoin’leri dürüstçe tutacağı ve ödemeleri yapacağı konusunda güvenmek zorundadır. Bu sebeple Cashu tokenları tutan için asıl pratik risk, kriptografi değil mint seçimidir.
Bitchat nedir?
Bitchat, yakınındaki telefonları Bluetooth ağında internet, sunucu ya da telefon numarası olmadan birbirine bağlayan merkeziyetsiz bir mesajlaşma uygulamasıdır. Calle’nin Android sürümü, sohbet arayüzüne doğrudan Cashu ve Lightning desteği de ekleyerek, iki cihaz internetsizken bile mesajla birlikte Bitcoin ödemelerinin iletilebilmesini sağlar.
Sonuç
Eğer özsaklama cüzdanlarını kullanıyor ve kendi anahtarlarını tutmayı vazgeçilmez görüyorsan, Cashu senin için uygun değildir; çünkü mint’in saklama riski bu modelde tam olarak kaçındığın riskin bizzat kendisidir. Gizlilik ve çevrimdışı dayanıklılık senin için her satoshiyi kendin tutmaktan daha ağır basıyorsa, iyi yönetilen bir Cashu mint’i, zincir üstü Bitcoin ve Lightning’in bugün sunamadığı bir seviyede bu avantajı sağlayabilir. Bitcoin çevresindeki projelerde hangilerine güvenileceğine karar vermeye çalışıyorsan, Red Team’in rakamları en net kıyas bilgisini verir. 390 depo incelendi, 4.962 bulgu, 85 kritik, yaklaşık 40.000 $ gönüllü-odaklı hesaplama bir skandal değil; Bitcoin ekosisteminin gerçek güvenlik yükünün hala Calle gibi insanların inisiyatifine kaldığının taban çizgisidir. Red Team’in vaat ettiği açık kaynaklı inceleme altyapısı 390 projede ne kadar benimsenirse, bu sprint tek seferlik bir düzeltme değil, sürekli güvenlik kontrolüne dönüşebilir. Asıl izlenmesi gereken de budur.
Bu makale yalnızca bilgilendirme amaçlıdır; finansal ya da yatırım tavsiyesi değildir. Kripto para ticareti yüksek risk içerir. Yatırım kararlarınızı almadan önce mutlaka kendi araştırmanızı yapınız.
