Adım 1: Köprünün aslında ne yaptığını anla
Farklı blockchain'ler farklı sistemlerdir — Ethereum Solana'nın üzerindekini doğrudan okuyamaz ve tersi. Köprü aralarında oturur. En basit model: A zincirinde bir köprü kontratına token gönderirsin, köprü kilitler ve B zincirinde cüzdanında eşdeğer miktar görünür. Tersine çevirmek için B zinciri token'larını yakarsın ve A zinciri köprüsü orijinali serbest bırakır.
Bunun varyasyonları (likidite tabanlı köprüler, optimistik köprüler, intent tabanlı köprüler) vardır ama özü her zaman: köprünün hesabını dürüstçe tutacağına güven. O güven risktir.
Adım 2: Hedefte doğru tür varlığı seç
USDC'yi Ethereum'dan bir Layer 2'ye köprülediğinde, şunlardan birini elde edebilirsin:
- Yerel USDC — aynı varlık, hedef zincirde Circle tarafından yerel olarak çıkarılmış. Orijinal ile 1:1 değiştirilebilir.
- Sarmalanmış USDC (USDC.e, USDC.b vb.) — köprünün kontratında oturan orijinal üzerindeki bir hak olan, köprü tarafından çıkarılmış sürüm.
Mevcut olduğunda yerel daha iyidir. Sarmalanmış, köprünün ödeme gücünü korumasına bağlıdır — köprü istismar edilirse sarmalanmış sürüm orijinalden ayrılabilir ve daha az veya değersiz olabilir. Her zaman hangi sürümü aldığını kontrol et ve hedef destekliyorsa yereli tercih et.
Adım 3: Güvenebileceğin bir köprü seç
Köprüler birkaç kategoriye düşer:
- Resmi köprüler. Her büyük zincirin Ethereum'dan/Ethereum'a resmi bir köprüsü vardır (Arbitrum Bridge, Optimism Gateway, Base Bridge, zkSync Bridge). Bunlar genelde o zincire/o zincirden taşımak için en güvenli olanlardır, Ethereum'a geri dönüş için yavaştır.
- Aggregator'lar. Across, Hop, Stargate, Synapse, deBridge gibi siteler likidite havuzları aracılığıyla hızlı çoklu zincir köprüleme sunar. Pratik ve hızlıdırlar ama kanonik zincir köprülerinden daha fazla karşı taraf riski taşırlar.
- Hiç duymadığın herhangi bir şey. Kaçın. Köprüler keşfedecek yer değildir.
Yerleşik denetimlere, public ekibe, sürdürülen TVL'ye ve istismar edilmeme geçmişine sahip köprülere bağlı kal. Sadece bir aydır yayında olan bir köprü çok fazla güven istiyor demektir.
Adım 4: Her zaman önce bir test işlemi gönder
Büyük bir miktarı köprülemeden önce, aynı akıştan küçük bir kesir — 5-50 dolar — gönder. Doğru zincirde, doğru cüzdanda, doğru varlıkta vardığını doğrula. Evet, gas'ı iki kez ödersin. Bu, 5,000 dolarlık köprü transferinin sahip olmadığı bir zincirde sarmalanmış varlığa veya imzalayamayacağın bir adrese gittiğini keşfetmeye göre ucuz sigortadır.
Birçok köprü kaybı exploit değildir — kullanıcıların yanlış zincirde bir kontrat adresine yerel token göndermesi veya yanlış hedef ağı seçmesi ve kalıcı olarak erişimi kaybetmesidir. Bir test işlemi bunları yakalar.
Adım 5: Bariz kırmızı bayraklara dikkat et
- Off-chain vaatler. Bir Discord admin'i sana özel köprü bağlantısı DM atıyorsa, bu phishing sitesidir.
- Çok iyi görünen köprü ücretleri. Rakiplerinden %1 daha iyi oran sunan bir köprü ya agresifçe sübvanse ediyor (geçici) ya da bir şey saklıyor (kalıcı).
- Net hedef adres yok. Arayüz hangi zincirdeki hangi adresin hangi varlığı alacağını net göstermeli. Belirsizse dur.
- Bir kez onayla, sonsuza dek kaybet. Token onay adımı birçok exploit'in yaşadığı yerdir. Neyi onayladığını oku — araştırmadığın bir köprüye asla sınırsız onay imzalama.
Adım 6: Her iki taraftaki süre ve gas'ı hesaba kat
Köprüler anlık değildir. Ethereum'a geri dönen resmi rollup köprüleri günler alabilir (optimistik rollup'ların 7 günlük itiraz dönemi vardır). Likidite havuzu kullanan aggregator'lar genelde dakika ila bir saattir. Hangisini seçersen seç, zamanlamaya göre plan yap — fonlara ihtiyacın olmadan beş dakika önce köprüleme.
Ayrıca her iki zincirde de gas ödersin — başlatmak için kaynak zinciri, almak için (veya bazen manuel olarak talep etmek için) hedef zinciri. Hedef zincirin yerel token'ından zaten küçük bir miktarın olduğundan emin ol, veya birçok köprü oradaki gas'ını başlatmak için küçük bir takas içerir.
Köprüler neden bu kadar sık hackleniyor
Büyük köprü hack'lerindeki örüntü (Ronin, Wormhole, Nomad, Harmony, Multichain): bir köprü bir veya her iki tarafta muazzam havuzlanmış değer tutar ve transferleri yetkilendiren multisig veya validatör setinin güvenliği tek hata noktasıdır. O imzalayan setini ele geçir ve köprünün kilitli varlıkları çıkıp gider. Akıllı sözleşme hataları, operatörlerin sosyal mühendisliği ve anahtar ele geçirmeleri kök nedenler olmuştur.
Ders: bir köprü yalnızca en zayıf katmanı kadar güvenlidir. "Denetimli" gerekli ama yeterli değil. Denetimli köprüler istismar edildi. Köprüleri içinden geçilecek geçici bir altyapı parçası olarak gör — sarmalanmış varlıkları uzun vadeli bırakacak yer değil.
Yaygın hatalar
- Cüzdanının henüz desteklemediği bir zincire köprüleme. Önce ağı ekle, kontrat adresini doğrula, sonra köprüle.
- Yanlış zincirde bir borsa adresine token göndermek. Borsa yatırma adresleri zincire özgüdür; yanlış ağda bir ETH yatırma genelde geri alınamaz.
- Sarmalanmış varlıkları uzun vadeli tutmak. Mümkün olduğunda varışta yerele dönüştür.
- Aktif bir exploit sırasında köprüleme. Bir köprü hack'inin haberi hızla yayılır; gevezelik görürsen transferi durdur.
Güvenlik kontrol listesi
- Resmi köprü URL'sinde miyim?
- Hedef zincir doğru mu ve cüzdanım onun için hazır mı?
- Alacağım varlık yerel mi yoksa sarmalanmış mı?
- Önce bir test transferi gönderdim mi?
- Hedef zincir gas'ım var mı?
- Gönderdiğimi kaybetmeyi göze alabilir miyim?
Köprü haberlerini piyasadan önce oku
Köprü exploit'leri uyarı vermez. İlk işaret çoğunlukla bir güvenlik araştırmacısından bir tweet, sonra bir çekim seli, sonra manşetlerdir. Zippfeed; köprü ve DeFi güvenlik haberlerini birden fazla kaynaktan sentiment ve önem skorlamasıyla takip eder, böylece bir şeyler kırılmaya başladığında köprü ön yüzü bir afiş göstermeden önce görürsün. Bir saat erken veya bir saat geç köprüleme arasındaki fark güvenli ile gitti arasındaki fark olabilir.
