Blok zinciri gezgini nedir ve seçim neden önemlidir?
Bir blok zinciri gezgini, doğrudan bir blok zinciri düğümünden veri okuyan ve bunu insanların okuyabileceği bir biçimde sunan bir web sitesi veya uygulamadır. Bir cüzdan adresini yapıştırarak bakiyesini ve geçmişini görebilir, bir işlem kimliğini yapıştırarak başarılı olup olmadığını görebilir ya da bir akıllı kontrat adresini yapıştırarak onu kontrol eden kodu okuyabilirsiniz. Pratikte bir gezgin, kripto alanında cüzdanın kendisinden sonra en çok kullanılan araçtır.
Çoğu yeni başlayanın farkında olmadığı şey, gezgin seçiminizin neden bu kadar önemli olduğudur; çünkü gezgin, son güvenlik kontrolünüzü yaptığınız yerdir. Bir token kontratını onaylamadan önce doğrulanmış olduğunu kontrol edersiniz. Fon göndermek üzere olduğunuz adresin, karşı tarafın size verdiği adresle eşleştiğini doğrularsınız. Bir takasın neden başarısız olduğunu görmek için bir işlemi sorgularsınız. Bu kontrollerin her biri bir tarayıcı sekmesinde, çoğu zaman zaman baskısı altında ve çoğu zaman cüzdanınızda yeni görünen bir token airdrop'unun ardından gerçekleşir.
Kullanıcıların çoğu Google'ın ilk gösterdiği gezgine yönelir. Bu alışkanlık, büyük gezginlerin reklam destekli iş modelini tam olarak tehlikeli kılan şeydir. Bir gezgin arama çubuğunu veya ana sayfasını üçüncü taraf reklam ağları üzerinden para karşılığı sunduğunda, saldırganlar gezginin yerel sonuçları gibi görünen reklam yerleşimleri satın alabilir. Popüler bir gezginde resmi USDT kontratını arayan bir kullanıcı, taklit bir siteye yönlendiren ücretli bir bağlantıya tıklayıp kötü niyetli bir onayı defalarca imzalamıştır ve bu, sektörün kabul etmekten hoşlanmadığı bir gerçektir.
Asıl risk: gezginlerin içindeki reklamlar, kimlik avı ve adres zehirleme
Herhangi bir özellik karşılaştırmasından önce, kullandığınız gezginin risk profili kendi bölümünü hak eder. Boşaltılmış cüzdanların incelemelerinde sürekli olarak üç belirli başarısızlık modu ortaya çıkar ve üçü de gezgin yüzeyiyle kesişir.
Birincisi, arama çubuğundaki ve token sayfalarındaki kötü niyetli reklamlardır. Büyük gezginler arama sonuçlarının üst kısmında sponsorlu alanlar sunar. Meşru projeler bunlar için para öder. Saldırganlar da bazen ele geçirilmiş reklam hesapları aracılığıyla, bazen de meşru projenin markasını reklam incelemesinin gözden kaçıracak kadar yakından taklit ederek bu alanlar için para ödemiştir. Varış noktası genellikle kullanıcıdan cüzdan bağlamasını ve bir işlemi imzalamasını isteyen proje sitesinin bir kopyasıdır. İmzalandıktan sonra, onay saldırganın cüzdandaki en değerli tokenleri boşaltmasına olanak tanır. Bu kuramsal bir durum değildir. Etherscan ve birkaç kardeş gezgin, kullanıcılar kayıpları bildirdikten sonra kötü niyetli reklamları kaldırdıklarını kamuoyuna açıklamıştır.
İkinci başarısızlık modu sahte tokenler ve adres zehirlemedir. USDT gibi popüler bir tokeni sorguladığınızda, gezgin sayfası genellikle aynı ticker ile birden fazla kontrat listeler. Bunların bazıları gerçek olanıdır, bazıları bir karakteri değiştirilmiş taklitlerdir ve bazıları imzalayanın bakiyesini onaylaması için tasarlanmış düpedüz tuzaklardır. Arama sonucu reklamları ve hatta organik listeler bunları öne çıkarabilir. Listenin başından bir kontrat adresini kopyalayıp yapıştıran bir kullanıcı, yaygın bir boşaltma senaryosudur.
Üçüncüsü izleyici ve parmak izi maruziyetidir. Ticari gezginler IP'nizi, ilgilendiğiniz cüzdan adreslerinizi ve arama kalıplarınızı kaydeder. Bu veriler mahkeme celbiyle talep edilmiş, sızdırılmış ve gerçek son işlemlere atıfta bulunan kişiselleştirilmiş kimlik avı kampanyalarıyla kullanıcıları hedeflemek için kullanılmıştır. Hangi tokenlere sahip olduğunuzu ve hangi gezginleri kullandığınızı bilmek, bu bilgi parçalarından herhangi birinin tek başına olduğundan bir saldırgan için daha yararlıdır.
Etherscan ve Etherscan ailesi: Solscan, BNBscan, Tronscan
Etherscan ailesi, aynı şirket tarafından geliştirilen ve işletilen, her biri tek bir zincire odaklanan bir gezgin grubudur. Etherscan Ethereum'yu, Solscan Solana'yı, BNBscan BNB Chain'i ve Tronscan TRON'u kapsar. Görsel tasarım, özellik seti ve çoğunlukla reklam destekli, geliştiriciler için ücretli bir API katmanı sunan bir iş modeli paylaşırlar.
Salt veri derinliği söz konusu olduğunda Etherscan ailesini yenmek zordur. Etherscan, bir sözleşmenin Solidity kaynağını doğrudan tarayıcıda okumanıza ve dağıtılan bytecode ile karşılaştırmanıza olanak tanıyan sözleşme kaynak kodu doğrulama özelliğini öncü kılmıştır. Ayrıca iç işlemleri, token transferlerini ve olay günlüklerini, daha küçük gezginlerin erişmekte zorlandığı bir eksiksizlikle indeksler. Bir Ethereum geliştiricisi veya ileri düzey kullanıcı için Etherscan, Google'ın varsayılan arama motoru olmasının aynı nedeniyle hâlâ varsayılan araçtır: kapsam ve alışkanlık.
Taviz ise reklam modeli ve kapalı kaynaklı arka uçtur. Etherscan'ı yerel olarak çalıştıramazsınız. Zinciri nasıl sorguladığını veya token aramalarında sonuçları nasıl sıraladığını inceleyemezsiniz. Şirketin sunduğu tek mitigasyon, Etherscan Priority Mode adlı ücretli reklamsız katmandır ve bu katman bile deneyimin geri kalanının iddia ettiği şey olduğuna güvenmeyi gerektirir. 500 dolarlık bir memecoin tutan 200 dolarlık bir donanım cüzdanı için hesap kolaydır. Bir hazine adresi veya yüksek net değerli bir cüzdan için hesap daha farklıdır.
Aynı tavizler Solscan, BNBscan ve Tronscan için de geçerlidir; ancak fazladan bir nüans vardır. Özellikle Tronscan, şüpheli kökenli Tron yerel tokenlerini, hatta birkaçının Ponzi şeması olduğu anlaşılanları tanıtan promosyon içeriklerine sık sık ev sahipliği yapmıştır. Gezgin yüzeyinin kendisi tarafsızdır, ancak sponsorlu alanlar tarafsız değildir ve TRON'un kullanıcı tabanı, self-custody konusunda daha yeni olan ve dolayısıyla resmi sonuçlar gibi görünen oltalama saldırılarına daha açık kullanıcılara doğru eğilim gösterir.
Bağımsız gezginler: Blockscout, Routescan ve açık kaynak rota
Etherscan ailesine en güçlü alternatif, Ethereum mainnet, Optimism, Base, Arbitrum, Polygon, Gnosis ve daha birçok küçük ağ dahil olmak üzere ondan fazla EVM uyumlu zinciri destekleyen açık kaynak bir gezgin olan Blockscout'tur. Tüm kod tabanı kamuya açıktır, kendi sunucunuzda barındırılabilir ve desteklediği zincirlerin birkaçı üçüncü bir tarafa güvenmek yerine kendi örneklerini çalıştırır.
Yüksek değerli bir cüzdan için Blockscout davası çoğunlukla saldırı yüzeyini ortadan kaldırmakla ilgilidir. Kendi sunucunuzda barındırılan bir örnekte üçüncü taraf reklamı, reklam ağı, izleme pikselleri ve hangi adreslere baktığınızın merkezi bir günlüğü yoktur. Doğrulama akışı Etherscan'a benzer: bir geliştirici kaynak kodu gönderir, derlenir ve ortaya çıkan bytecode zincir üstü bytecode ile karşılaştırılır. Kullanıcı arayüzü Etherscan'ınki kadar cilalı değildir ve bazı gelişmiş geliştirici özellikleri geride kalır, ancak güvenlik modeli kayda değer biçimde farklıdır.
Routescan benzer bir yaklaşım benimser ve Etherscan ailesinin hiç indekslemediği bazıları dahil olmak üzere bir dizi L2 ve yan zincir için varsayılan gezgin konumundadır. Ethereum mainnet, BNB Chain veya Solana olmayan zincirler için Routescan veya Blockscout genellikle tek gerçekçi seçenektir, çünkü Etherscan ailesi onları destekleme zahmetine girmemiştir. Daha küçük bir L2'de işlem yapıyorsanız, farkında olmasanız da zaten bağımsız bir gezgin kullanıyorsunuzdur.
Açık kaynak yolunun gerçek dezavantajları vardır. Kendi düğümünüzü çalıştırmanız veya genel örneği çalıştirana güvenmeniz gerekir. Belirsiz iç işlemlerde veri doğruluğu Etherscan'ınkinden daha kötü olabilir. Genel örneklerde API hız limitleri daha sıkıdır ve kullanıcı arayüzü kuralları, Etherscan üzerinde eğitilmiş bir kullanıcının ilk birkaç denemede zorlanacağı kadar farklıdır. Bu dezavantajlardan hiçbiri anlaşmayı bozucu değildir, ancak Etherscan'ın çoğu kullanıcı için neden hâlâ varsayılan olduğunu açıklarlar.
Herhangi bir gezginde sözleşme nasıl doğrulanır
Sözleşme doğrulama, bir gezginin sağladığı en önemli tek güvenlik kontrolüdür ve Etherscan, Blockscout ve diğerlerinde aynı şekilde çalışır. Bir geliştirici bir akıllı sözleşme dağıttığında yalnızca bytecode'u, yani EVM'nin gerçekten çalıştırdığı derlenmiş makine talimatlarını yayınlar. Doğrulama, geliştiricinin orijinal Solidity kaynak kodunu da yüklemesi, gezginin bunu yerel olarak derlemesi ve sonucun zincir üstü bytecode ile eşleşmesi anlamına gelir. Sözleşmenin yanındaki yeşil onay işareti başarılı bir eşleşmeyi gösterir.
Doğrulama, sözleşmenin güvenli olduğunun garantisi değildir. Doğrulanmış bir sözleşme hâlâ bir arka kapı, gizli bir mint fonksiyonu veya her transferin %99'unu el koyan bir ücret içerebilir. Doğrulamanın yaptığı, okuyucunun sözleşmenin tam olarak ne yaptığını anlamasına izin vermektir ve bu tuzakları tespit etmenin tek yoludur. Doğrulanmamış bir sözleşme opaktır. Okuyamadığınız bir bytecode'a karşı bir işlem imzalıyorsunuz; bu kabaca 2003'te rastgele bir web sitesinden indirdiğiniz bir ikili dosyayı çalıştırmaya eşdeğerdir.
Pratik iş akışı şudur: sözleşme adresini gezgininize yapıştırın, yeşil onay işaretini arayın, kaynak kodunu açın, transfer ve onay fonksiyonlarını okuyun ve bilinen kırmızı bayrakları arayın. Kırmızı bayraklar arasında keyfi adresleri kara listeye alabilen fonksiyonlar, ticareti durdurabilen fonksiyonlar, yeni arz basabilen yalnızca sahip fonksiyonları ve küçük bir yüzdeden fazlasını alan herhangi bir transfer ücreti mantığı bulunur. Sözleşme doğrulanmamışsa, en güvenli hamle onu düşman olarak varsaymak ve önce bir test cüzdanıyla etkileşime geçmektir.
Adres zehirlenmesi, sahte tokenler ve nelere dikkat edilmeli
Adres zehirlenmesi, bir dolandırıcının daha önce işlem yaptığınız gerçek bir adresle ilk ve son birkaç karakteri paylaşan bir adresten küçük bir işlem gönderdiği saldırıdır. Amaç, daha sonra adresi geçmişinizden kopyaladığınızda, ikisi liste görünümünde özdeş göründüğü için yanlışlıkla dolandırıcının adresini almanızdır. Çözüm, tam adresi kullanmak veya daha iyisi cüzdanınızdaki bir adres defterini kullanmaktır; en son girdinin doğru olduğu varsayımıyla asla bir işlem geçmişinden kopyalamayın.
Gezginler bu saldırıyı hem mümkün kılar hem de hafifletir. Adresleri kısaltan bir liste görünümünde son işlemleri görüntüleyerek kullanıcıları kısaltılmış forma güvenmeye eğitir. Tam adresi genişletmenize ve tüm geçmişini görmek için hesap sayfasına tıklamanıza izin vererek saldırıyı hafifletir. Gerçek bir muhatabın adresinin uzun ve çeşitli bir geçmişi olacaktır. Zehir adresi genellikle fonlanır, toz işlemini gönderir ve boş kalır.
Sahte tokenler aynı şekilde çalışır. Bir dolandırıcı USDT adında bir sözleşme dağıtır, ona 9 trilyon token verir ve binlerce adrese küçük bir miktar airdrop'lar. Token, kurbanın cüzdanında gerçek görünümlü bir ticker ve gerçek görünümlü bir logo ile belirir. Kurban bunu takas etmeye çalıştığında, cüzdanı boşaltan bir onay imzalar. Çözüm, airdrop'lanan tokenleri tamamen görmezden gelmek ve kasıtlı olarak etkileşim kurmadığınız bir sözleşmeyi asla onaylamamaktır. Bir gezgin burada yardımcı olur çünkü token sözleşmesine tıklayabilir, doğrulama ve likidite olmadan yakın zamanda yapılmış bir dağıtım olduğunu görebilir ve kalıbı tanıyabilirsiniz.
Durumunuza uygun gezgini nasıl seçersiniz
Doğru gezgin, ne yaptığınıza ve ortada ne kadar değer olduğuna bağlıdır. Ara sıra NFT basmak için kullanılan 50 dolarlık sıcak bir cüzdan için Etherscan'ın sağladığı kolaylık, küçük reklam riskinden ağır basar; pratik önlem ise sponsorlu sonuçlara asla tıklamamak ve sözleşme adreslerini elle yazmaktır. Hazine cüzdanı, uzun vadeli bir soğuk depolama adresi ya da tek bir yanlış tıklamayla kaybetmekten rahatsız olacağınızdan fazlasını tutan herhangi bir adres söz konusuysa, doğru hamle kendi barındırdığınız bir Blockscout örneği ya da güvenilir bir genel örnek kullanmak ve o adresin iş akışından ticari gezginleri tamamen uzak tutmaktır.
Geliştiriciler için hesap kitap daha çok API erişimi ve indeksleme derinliğiyle ilgilidir. Etherscan ailesinin ücretli API'si fiili standarttır; bu kendi başına ekosistem için bir merkezileşme riski oluşturur, ancak ölçekli işlem sorgulaması gereken bir ekip için en az dirençli yol da yine budur. Blockscout'un API'si ücretsiz ve açıktır, fakat genel örnekteki hız limitleri serttir ve kendi altyapınızda barındırmak ciddi bir altyapı işidir. Ciddi bir ekip için cevap genellikle karma bir yapıdır: kolaylık için ticari gezgin, kullanıcı fonlarına dokunan her iş akışı için kendi barındırılan Blockscout.
Ethereum dışındaki zincirlerdeki kullanıcılar için seçim çoğu zaman sizin yerinize çoktan yapılmıştır. Solana'da işlem yapıyorsanız Solscan'de bulursunuz kendinizi. TRON'da işlem yapıyorsanız Tronscan varsayılanınızdır. Aynı risk profili burada da geçerlidir. Sponsorlu sonuçlara güvenilmeyen içerik muamelesi yapın. Onaylamadan önce sözleşmeleri doğrulayın. Doğrulanmamış bir sözleşmeye karşı asla işlem imzalamayın. Kullandığınız zincirde reklamsız bir Blockscout ya da Routescan örneği varsa, yüksek değerli cüzdanlar için onu tercih edin.
Blockchain gezgin haberlerini akıllıca takip etmenin yolu
Gezgin ihlalleri ve oltalama kampanyaları hızla evrilir; saldırganlar yeni bir hileye geçmeden önce aynı yöntem birkaç haftadan fazla nadiren tekrar eder. Hangi gezginin şu anda kötü amaçlı reklam sunduğunu, hangi yeni taklit sözleşmelerin dağıtıldığını ve hangi zincirlerde yeni adres zehirleme dalgalarının görüldüğünü takip etmek, fiyat akışlarında kesinlikle görünmeyen bir sinyal türüdür. Zippfeed, blockchain ve altyapı manşetlerini duygu puanlaması (boğa, nötr ya da ayı) ve bir önem derecelendirmesiyle öne çıkarır; böylece uyarıları cüzdanınıza ulaşmadan önce görürsünüz, ulaştıktan sonra değil.
Crypto News
CoinTelegraph
WuBlockchain
Lookonchain
