Pazarlama sayfaları cüzdan seçimini neden gereğinden zor hale getirir?
Neredeyse her kripto cüzdan ana sayfası aynı şeyin bir versiyonunu söyler: banka düzeyinde güvenlik, kullanımı kolay, milyonlarca kişi tarafından güveniliyor, binlerce varlığı destekliyor. Bu sayfalardan beşini arka arkaya okuyunca onları gerçekten birbirinden ayırmanın bir yolunu bulamazsınız, çünkü iddialar bilgilendirmekten çok güven vermek için tasarlanmıştır. Size cüzdanın ne hissettirmek istediğini söylerler, bir şey ters gittiğinde gerçekte nasıl davrandığını değil.
Bu fark önemlidir, çünkü cüzdan normal bir uygulama değildir. Bir bankacılık uygulaması, bankanın geri yükleyebileceği bir bakiyeye erişimi korur. Bir kripto cüzdan ise halka açık bir blockchain üzerinde fon sahipliğini kanıtlayan anahtarları korur ve çoğu tasarımda bir hatayı geri alabilecek müşteri hizmetleri hattı yoktur. Anahtarlarınız sızarsa coinleriniz gider. Kurtarma ifadenizi kaybederseniz coinleriniz gider. Cüzdanın iş modeli sessizce veri toplamaya veya okumadığınız ücretlere dayanıyorsa, ana sayfanın bahsetmediği şekillerde kullanım kolaylığı için ödeme yapıyor olabilirsiniz.
Bu yüzden cüzdanları dürüstçe karşılaştırmak, sloganları görmezden gelmek ve alttaki tasarım tercihlerini incelemek anlamına gelir. Bugün piyasadaki cüzdanlar arasındaki neredeyse tüm anlamlı farkları altı eksen kapsar: anahtarları kimin tuttuğu, anahtarın ne tür olduğu, kurtarmanın nasıl çalıştığı, hangi ağların ve tokenlerin desteklendiği, kodun denetlenebilir olup olmadığı ve cüzdan şirketinin gerçekte nasıl ödeme aldığı. Her eksenin üzerinden geçmek, pazarlama sisini yaklaşık on dakikada herhangi bir cüzdana uygulayabileceğiniz bir kontrol listesine dönüştürür.
Her cüzdan kullanıcısının önce anlaması gereken risk
Mekaniklerden önce riskler gelir. Kripto cüzdan riski teorik değildir. Kullanıcı fonlarından milyarlarca dolar, seed phrase oltalaması, gerçekleriyle aynı görünen kötü amaçlı tarayıcı eklentileri, kopyalanan adresleri değiştiren pano zararlı yazılımları ve aslında saklamalı hizmetler olduğu ortaya çıkan cüzdan şirketlerinin doğrudan exit scam'leri nedeniyle kaybedildi. Riskin biçimi cüzdanın biçimine bağlıdır, çerçevenin önemli olmasının nedeni de tam olarak budur.
MetaMask, Phantom ve Rabby gibi tarayıcı eklentisi cüzdanlarında baskın hata biçimi cüzdanın kendisi değil, tarayıcı ortamıdır. Eklentiler, güvenilmeyen kod barındıran bir sayfanın içinde geniş izinlerle çalışır (merkeziyetsiz uygulamalar veya dapp'ler). Bu yüzden tek bir kötü niyetli onay fonları boşaltabilir. Ledger ve Trezor gibi donanım cüzdanlarında daha büyük riskler, ikinci el alınan cihazlarda tedarik zinciri müdahalesi ve kurtarma ifadelerini telefonda ya da oltalama veya hırsızlığa açık bulutta saklayan kullanıcılardır.
Kriptoya özgü bir kategori riski de vardır: kendilerini saklamasız gibi sunan ama arka planda aslında saklama hizmeti veren veya kullanıcı tabanı kilitlendikten sonra şartlarını değiştiren cüzdan şirketleri. Birkaç merkezi kredi kuruluşunun 2022'de çökmesi bu dersi acı biçimde netleştirdi. Bu nedenle 'cüzdanım güvenli mi?' sorusunun dürüst yanıtı evet veya hayır değildir. Hangi belirli arızalara karşı koruma sağladığının ve hangilerine karşı sağlamadığının tarifidir. Aşağıdaki altı eksenli çerçeve, tek bir dolar yatırmadan önce bu boşlukları ortaya çıkarmak için tasarlanmıştır.
Eksen 1: Saklama modeli, sorabileceğiniz en önemli soru
İlk ve en önemli eksen saklamadır. Saklamalı cüzdan, genellikle bir şirket olan üçüncü bir tarafın özel anahtarları sizin adınıza tutması anlamına gelir. Bir kullanıcı adı ve parola ile, bazen de iki faktörlü kimlik doğrulamayla giriş yaparsınız ve fonları şirket kontrol eder. Coinbase Wallet'ın borsa tarafından barındırılan modu, Binance'in yerleşik cüzdanı ve çoğu borsa uygulaması bakiyesi saklamalıdır. Saklamasız cüzdan ise yazılımın anahtarları yerel olarak üretmesi ve bunları genellikle 12 veya 24 kelimelik bir kurtarma ifadesi olarak size vermesi anlamına gelir. Anahtarları siz tutarsınız, sorumluluk da onlarla birlikte size geçer.
Bu ayrım ikili gibi görünür ama aslında bir spektrumdur. Bazı cüzdanlar hibrittir: İşlemleri merkezi bir borsa üzerinden yönlendiren isteğe bağlı entegrasyonlara sahip saklamasız bir eklenti gibi. Bazı 'self-custody' ürünleri seed phrase'inizi sessizce satıcının bulutuna yedekler. Bu da pazarlama böyle söylemese bile işlevsel olarak saklamayı yeniden devreye sokar. Karşılaştırırken şu net soruyu sorun: Bu şirketin sunucuları yarın kapanırsa, yalnızca kurtarma ifademi kullanarak fonlarımı yine de taşıyabilir miyim? Cevap evetse gerçekten saklamasızsınız. Cevap herhangi bir şekilde hayırsa, bir tür saklama riskine maruzsunuz.
Bu ödünleşim gerçektir. Saklamalı cüzdanlarda parolayı unuttuğunuzda kurtarma daha kolaydır ve çoğu zaman dolandırıcılık izleme ile sigorta içerirler. Saklamasız cüzdanlar size egemenlik verir ve karşı taraf riskini ortadan kaldırır, ancak anahtar güvenliğinin tüm yükünü size bırakır. Hiçbiri otomatik olarak daha iyi değildir. Amaç hangisini seçtiğinizi bilmek ve cüzdanın pazarlamasının gerçek çalışma mekanizmasıyla uyumlu olduğundan emin olmaktır.
Eksen 2: Anahtar türü, EOA ve smart account
Bir cüzdanın saklamasız olduğunu belirledikten sonra sıradaki eksen, ürettiği anahtarın türüdür. Bugün kullanılan cüzdanların büyük çoğunluğu externally owned account, yani EOA oluşturur. EOA, Bitcoin ve orijinal Ethereum'un üzerine inşa edildiği aynı kriptografik temel olan tek bir secp256k1 anahtar çiftidir. Basittir, sahada uzun süredir sınanmıştır ve büyük bir dezavantajı vardır: tek hata noktası. Özel anahtarı kaybederseniz hesabı kaybedersiniz, istisna yoktur.
Bazen account abstraction veya smart contract wallets olarak adlandırılan smart accounts farklı bir tasarımdır. Tek bir anahtar yerine hesap, imzalama kuralları programlanabilen bir smart contract'tır. Bir smart account, bir işlemi onaylamak için üç cihazdan ikisini zorunlu kılabilir, günlük harcama limitleri belirleyebilir, güvenilir bir koruyucunun erişimi kurtarmasına izin verebilir veya gas ücretini ağın yerel varlığı dışındaki token'larla ödeyebilir. Bunun karşılığında daha fazla hareketli parça vardır: smart accounts, altta yatan contract'ın iyi denetlenmiş olmasına ve zincirin ilgili standardı desteklemesine bağlıdır. Ethereum üzerindeki ERC-4337 bunun en öne çıkan örneğidir ve bunun üzerine inşa edilen cüzdanlar arasında Safe, eski adıyla Gnosis Safe, Argent ve ZeroDev tabanlı cüzdanlar bulunur.
Yeni başlayan biri için pratik soru, cüzdanın varsayılan olarak ne oluşturduğudur. MetaMask, Phantom, Rabby, Ledger ve Trezor bugün EOA üretir. Kutudan çıktığı gibi bir smart account istiyorsanız genellikle bunu özellikle aramanız gerekir. Bu eksenin yeni başlayanlar için bile önemli olmasının nedeni, kurtarma ve güvenlik hikayelerinin temelden farklı olmasıdır. Bir EOA cüzdanının güvenliği tek bir seed phrase'e dayanır. Bir smart account'un güvenliği ise koruyucuların, imzalama cihazlarının ve contract mantığının birleşimine dayanır. Hiçbiri evrensel olarak daha güvenli değildir, ancak farklı şekillerde başarısız olurlar ve hangisine güvendiğinizi bilmelisiniz.
Eksen 3: Kurtarma modeli ve güven varsayımları
Kurtarma, çoğu cüzdan kullanıcısının gerçekten para kaybettiği yerdir, bu yüzden bu eksen yakın ilgiyi hak eder. Standart bir EOA'da kurtarma, recovery phrase olarak da bilinen seed phrase veya mnemonic'tir: Cüzdandaki her özel anahtarı yeniden üretebilen, sabit bir kelime listesinden gelen 12 veya 24 İngilizce kelimelik bir dizidir. İfade her şeydir. Ona sahip olan herkes paranıza sahiptir. Onu kaybederseniz kimse size yardım edemez, çünkü cüzdan sağlayıcısında bir kopya veya arka kapı yoktur.
Cüzdanlar bir ifadeyi korumaya dair insani sorunu farklı şekillerde ele alır. Trezor gibi bazıları, ifadeyi kağıda yazmanızı ve dijital yedek olmadan çevrimdışı saklamanızı teşvik eder. Ledger gibi diğerleri, ifadeyi birden fazla paya bölen isteğe bağlı bir 'Shamir Backup' sunar. Bazı eklentiler ifadeyi sessizce bulut depolamaya veya bir satıcı sunucusuna yedeklemeyi teklif eder. Bu kullanışlıdır, ancak farklı bir katmanda tek hata noktasını yeniden devreye sokar. Üçüncü bir taraf içeren her yedekleme küçük bir saklama kararıdır ve bilinçli şekilde verilmelidir.
Smart-account cüzdanları kurtarma modelini tamamen değiştirir. Örneğin Argent, bir kurtarmayı birlikte onaylayabilecek koruyucular, kişiler, cihazlar veya hatta cüzdan sağlayıcısının kendisi, belirlemenize izin verir. Safe, iki veya daha fazla imzalayanın işlemleri onaylaması gereken bir multisig kurmanıza olanak tanır ve erişimini kaybeden herhangi bir imzalayan diğerleri tarafından değiştirilebilir. Bu tasarımlar tek bir ifadenin sadeliğini daha zengin kurtarma yollarıyla değiştirir, ancak aynı zamanda hesabı yöneten smart contract'ta kritik hata olmadığı varsayımına dayanır. Bu varsayım geçmişte sınanmıştır. Bazı erken dönem smart-contract cüzdanları reentrancy ve mantık hataları nedeniyle fon kaybetmiştir.
Eksen 4: Desteklenen zincirler ve token'lar, yüzey alanı sorusu
Dördüncü eksen değerlendirmesi en kolay ama fazla ağırlık verilmesi de en kolay olandır. Her cüzdan 'binlerce' token'ı ve 'tüm büyük zincirleri' desteklediğini iddia eder, ancak pratik soru daha dardır: Bu cüzdan kullanmayı düşündüğünüz belirli zincirleri ve varlıkları destekliyor mu ve bunu kırılgan köprülere veya doğrulanmamış token contract'larına dayanmadan yapıyor mu?
Tarayıcı eklentisi cüzdanları ekosisteme göre uzmanlaşma eğilimindedir. MetaMask Ethereum ve EVM, yani Ethereum Virtual Machine üzerinde başladı ve artık özel RPC, yani Remote Procedure Call uç noktaları aracılığıyla birçok EVM uyumlu zinciri, ayrıca ayrı bir entegrasyonla Solana'yı destekliyor. Phantom Solana üzerinde başladı ve daha sonra Ethereum ile Polygon'u ekledi. Rabby, işlem önizlemelerine ve zincire özgü gas uyarılarına odaklanarak çok zincirli EVM kullanıcısı için açıkça tasarlanmıştır. Ledger ve Trezor gibi donanım cüzdanları cihaz düzeyinde en geniş zincir kümesini destekler, ancak gerçek işlem imzalama yine de eşlik eden bir uygulamaya bağlıdır ve her zincir aynı ölçüde sahada sınanmış değildir.
Ham zincir desteğinin ötesinde, cüzdanın istemediğiniz token'ları nasıl ele aldığına bakın. Yaygın bir dolandırıcılık kalıbı, cüzdanın cazip görünen değerlere sahip istenmeyen token'ları sessizce göstermesi ve kullanıcı etkileşim kurmaya çalıştığında onu kötü amaçlı bir siteye yönlendirmesidir. Daha iyi cüzdanlar spam token'ları gizlemenize izin verir, bir token contract'ı doğrulanmamış olduğunda açıkça uyarır ve tanıdık olmayan zincirler üzerinden köprülemeyi önermeyi reddeder. Desteklenen varlık listesinin büyüklüğü, etrafındaki uyarıların kalitesinden daha az önemlidir.
Eksen 5: Açık kaynak durumu ve denetim yaklaşımı
Açık kaynak sihirli bir özellik değildir, ancak güvenlik yazılımlarında gerçekten işe yarayan az sayıdaki sinyalden biridir. Bir cüzdanın kodu açık kaynaksa, bağımsız araştırmacılar onu okuyabilir, hataları bulabilir ve pazarlama iddialarında söylenenleri gerçekten yaptığını doğrulayabilir. Kapalı kaynaksa, yalnızca sağlayıcının sözüne güvenirsiniz. Ledger ve Trezor, firmware kodlarının önemli bölümlerini açık kaynak olarak yayımlar, ancak kodun %100'ünü değil. Bu durum toplulukta tartışma konusu olmuştur. MetaMask, Phantom, Rabby ve Argent istemci kodlarını açık şekilde yayımlar. Bazı saklama hizmeti sunan cüzdanlar hiçbir şey yayımlamaz, bu da uygulamanın anahtarlarınızla gerçekte ne yaptığını bağımsız olarak doğrulayamamanız anlamına gelir.
Açık kaynak gereklidir, ancak tek başına yeterli değildir. Saygın denetim firmalarının kodu inceleyip incelemediğine, denetim raporlarının herkese açık olup olmadığına ve projenin bildirilen güvenlik açıklarına nasıl yanıt verdiğine bakın. Herkese açık bir bug bounty programı sunan bir cüzdan, kamuoyu önünde yanılabilme ihtimaline finansal bir taahhütte bulunur. Bu sağlıklı bir sinyaldir. Hiç denetlenmemiş ya da denetim raporlarını mühendislik belgeleri yerine pazarlama varlıkları gibi ele alan bir cüzdan ise daha zayıf bir sinyal verir.
Donanım cüzdanları için tedarik zinciri başka bir katman ekler. Cihazın içindeki kapalı kaynaklı güvenli öğeler bazen fiziksel saldırılara dayanıklılık gerekçesiyle savunulur, ancak bu aynı zamanda çip üzerinde tam olarak neyin çalıştığını doğrulayamayacağınız anlamına gelir. Trezor tarihsel olarak daha açık bir tutum benimsemiş, şeffaflık karşılığında daha yüksek fiziksel saldırı riskini kabul etmiştir. Ledger sertifikalı bir güvenli öğe kullanır ve bu ödünleşimin kendi tehdit modeli için doğru olduğunu savunmuştur. Her iki argüman da savunulabilir. Önemli olan, donanım cüzdanınızın bu ödünleşimin hangi tarafında olduğunu bilmenizdir.
Eksen 6: Cüzdan şirketi gerçekte nasıl para kazanıyor
Son eksen, pazarlama sayfalarının neredeyse hiç ele almadığı ve çoğu zaman en çok şey anlatan eksendir. Her cüzdan şirketi mühendislik, destek ve altyapı masraflarını bir şekilde karşılamak zorundadır ve finansman modeli, ürünü kullanıcıların gördüğünden çok hissettiği şekillerde biçimlendirir. Swap ücretlerinden yüzde alan bir cüzdan, işlemleri mutlaka en iyi uygulamayı sunan ortağa değil, en yüksek yönlendirme ödemesini yapan ortaklara yönlendirmeye teşvik edilir. Kullanıcı verisi veya analitik satan bir cüzdan, toplayabildiği kadar çok veri toplamaya teşvik edilir. Girişim sermayesi yatırımına bağlı bir cüzdan, bazen güvenlik olgunluğundan önce kullanımı hızla büyütmeye teşvik edilir.
MetaMask gelirini MetaMask Swaps üzerinden elde eder. Bu özellik DEX (decentralized exchange) ve toplayıcı kotasyonlarını bir araya getirir ve her işlemden küçük bir ücret alır. Phantom da benzer cüzdan içi swap toplayıcıları sunmuştur. DeBank ekibi tarafından geliştirilen Rabby, tarihsel olarak swap ücretlerinden arındırılmıştır ve ana platformu tarafından sürdürülür. Ledger ve Trezor gibi donanım cüzdanları daha doğrudandır: cihaz ve aksesuar satarlar. Bazı cüzdan uygulamaları, Ledger Recover gibi isteğe bağlı ücretli hizmetler ekler. Ledger Recover, isteğe bağlı şifreli seed yedekleme hizmetidir ve kendisi de tartışmalı olmuştur. Bazıları da gelişmiş özellikler için premium katmanlar sunar.
Uyarı işaretleri arasında iş modeli herkese açık şekilde hiç açıklanmayan cüzdanlar, nasıl ayakta kaldıklarını açıklamadan 'sıfır ücret' vadeden cüzdanlar ve özel bir seçenek kullanma imkanı sunmadan kullanıcıları belirli bir bridge veya swap sağlayıcısına yönlendiren cüzdanlar bulunur. Adını koyabildiğiniz ve doğrulayabildiğiniz bir iş modeli, genellikle bunu yapamadığınız bir iş modelinden daha sağlıklıdır.
Hepsini bir araya getirmek: altı ekseni uygulamak
Eksenlerin nasıl etkileştiğini görmek için dört popüler cüzdanı yan yana karşılaştırdığınızı düşünün. MetaMask saklama hizmeti sunmayan bir cüzdandır, EOA oluşturur, entegrasyonlar yoluyla çok sayıda EVM zincirini ve Solana'yı destekler, istemci kodunun çoğunu açık şekilde yayımlar ve gelirini swap ücretlerinden elde eder. Phantom saklama hizmeti sunmayan, EOA tabanlı, Solana odaklı ve EVM desteği büyüyen, açık kaynaklı bir cüzdandır. Geliri cüzdan içi swaplardan ve Solana üzerindeki ICO ön satış geçmişinden gelir. Rabby saklama hizmeti sunmayan, EOA tabanlı, açıkça çok zincirli EVM odaklı, açık kaynaklı ve swap ücreti almayan bir cüzdandır. Ana platformu DeBank tarafından sürdürülür. Ledger anahtar düzeyinde saklama hizmeti sunmayan, EOA tabanlı bir çözümdür. Cihazı ve Ledger Live uygulaması üzerinden en geniş zincir setlerinden birini destekler, kısmen açık firmware kullanır ve doğrudan cihaz satışı gelir modeline sahiptir. Safe gibi bir akıllı hesap cüzdanı saklama hizmeti sunmaz, smart-contract tabanlıdır, öncelikle Ethereum ve EVM odaklıdır, tamamen açık kaynaklıdır ve protokol düzeyinde ücretsizdir. Geliri Safe tabanlı uygulamalardan ve entegrasyonlardan gelir.
Bu cüzdanların hiçbirinin 'en iyi' olmadığına dikkat edin. Her biri altı eksen boyunca farklı ödünleşimler yapar. Çerçeve size bir sıralama vermez, çünkü doğru yanıt ne yaptığınıza bağlıdır. Her gün Solana meme coin alıp satıyorsanız, MetaMask yanlış araçtır. Uzun vadeli bir Bitcoin soğuk saklama pozisyonu tutuyorsanız, tarayıcı uzantısı yanlış araçtır. Altı EVM zinciri ve üç bridge kullanan bir DeFi uzman kullanıcısıysanız, Rabby'nin işlem önizlemeleri diğer tüm özelliklerden daha önemli olabilir. Karşılaştırmanın amacı, ödünleşimleri görünür kılarak cüzdanı pazarlama söylemine değil, gerçek kullanım senaryonuza uydurmanızı sağlamaktır.
Cüzdan güvenliği haberlerini akıllıca nasıl takip edersiniz
Cüzdan güvenliği hızla değişir ve etrafındaki haber akışı da öyledir. Yeni saldırı vektörleri ortaya çıkar, denetimler yayımlanır ve cüzdan şirketleri anahtarlarınızın nasıl işlendiğini sessizce değiştiren güncellemeler sunar. Her cüzdan değişiklik günlüğünü ve bildirilen her güvenlik açığını elle takip etmek kaybedilecek bir oyundur ve ortalama bir kullanıcı ilk seçimden sonra cüzdan güncellemelerini gerçekçi şekilde denetleyemez. Zippfeed, cüzdanla ilgili başlıkları duygu skoru (bullish, neutral veya bearish) ve önem derecesiyle öne çıkarır. Böylece gürültüyü kendiniz elemek zorunda kalmadan fonlarınızı gerçekten etkileyen güvenlik haberlerini fark edebilirsiniz.
