L2 Köprüsünü Geçmeden Önce Nasıl Değerlendirirsiniz

Bir L2 köprüsü gerçekte ne yapar ve bu paranız için neden önemlidir

Köprü, bir varlığı bir zincirden diğerine taşımanızı sağlayan bir yazılım parçasıdır. Arbitrum köprüsüne ETH yatırdığınızda, ETH'niz Ethereum ana ağında bir akıllı kontratta kilitlenir ve Arbitrum'da eşdeğer miktarda sarılı ETH basılır. Çekim yaptığınızda ise Arbitrum'daki sarılı ETH yakılır ve ana ağdaki orijinal ETH serbest bırakılır. Her iki yönde de yığının bir yerinde gerçek varlığınızı tutan bir kontrat vardır ve o kontrat saldırganların hedefidir.

Bu yüzden arayüzü ne kadar cilalı olursa olsun her köprü son çare saklayıcısı olarak işlev görür. Token'larınız köprü kontratında durduğu sürece, onları bir donanım cüzdanı kullanıcısının coin'lerini kontrol ettiği gibi kontrol etmezsiniz. Kontrat istismar edilirse, boşaltılırsa veya yönetişim tarafından dondurulursa, fonlarınız da onunla birlikte hareket eder. Köprülerin tarihi büyük ölçüde bu kontratların kırılma tarihidir: Ronin (2022'de 600 milyon doların üzerinde), Wormhole (2022'de 300 milyon doların üzerinde), Multichain (kaynağa bağlı olarak tahminen 125 ila 265 milyon dolar, 2023), Harmony'nin Horizon köprüsü (2022'de yaklaşık 100 milyon dolar) ve Nomad köprüsü (2022'de yaklaşık 190 milyon dolar). Köprülerden milyarlarca dolar çalındı; bu kayıpların neredeyse hiçbiri L1 veya L2'lerin kendisinden kaynaklanmadı.

Bu geçmiş, her türlü duru tespitinin (due diligence) başlangıç noktasıdır. İki eşit derecede güvenli teknik yol arasında seçim yapmıyorsunuz. Farklı saldırı yüzeylerine sahip farklı saklayıcılar arasında seçim yapıyorsunuz ve göreviniz hangilerinin kendini sağlamlaştırmanın gösterişsiz işini yaptığını, hangilerinin bir hata raporu uzakta bir manşet olmaktan ibaret olduğunu anlamaktır.

Herhangi bir köprü işlemine onay vermeden önce fark etmeniz gereken kırmızı bayraklar

7 maddelik kontrol listesine geçmeden önce, ilk bakışta uzak durmanız gerekenleri bilmek faydalıdır. Aşağıdaki kırmızı bayraklardan bir veya daha fazlasına sahip köprüler geçmişte kullanıcı parasını kaybettirmiş ya da kaybettiren köprülerle yapısal benzerlik göstermiştir.

• Üçüncü taraf denetimi yok veya yalnızca bilinmeyen bir firma tarafından kendi yayınladığı bir denetim var. Köprüyü denetlenmemiş olarak değerlendirin.
• Geçmişi ve tüzel kişiliği olmayan anonim ekip. Takip edilecek kimse yok ve operatörlerin zaten sistemin içinde olup olmadığını doğrulamanın bir yolu yok.
• Projenin kendi panelinde bildirilen TVL, zincir üstü verilerle eşleşmiyor. Sahte TVL, bir çıkış dolandırıcılığından (exit scam) önce mevduat çekmek için sıkça başvurulan bir taktik.
• Hata ödülü yok veya token'a bağlı, gerçek araştırmacıları çekmeyecek kadar küçük bir ödül var. 50.000 dolar ödemek 200 milyon dolarlık bir varlığı boşaltabiliyorsa, saldırganlar hatayı bildirmez.
• Düşük eşikli bir çoklu imzayla kontrol edilen yükseltilebilir kontratlar. Tüm köprü fonlarını yöneten 5'ten 2'si bir çoklu imza, tek bir oltalama kampanyası uzakta bir kayıptır.
• Daha önce istismar edilmiş bilinen bir köprünün kopyala-yapıştır kod tabanı. Çatallar, her satır yeniden denetlenmedikçe ebeveynlerinin hatalarını miras alır.
• Açık bir getiri kaynağı olmadan getiri sağlayan sarmalayıcı. Köprü stablecoin'lerinizde %4 vaat ediyorsa ve sayfa getirinin nereden geldiğini açıklayamıyorsa, o getiri büyük olasılıkla sizin anaparanızdır.

Aynı köprüde bunlardan ikisini veya daha fazlasını görüyorsanız, tek güvenli hamle yatırım yapmamaktır. Aşağıdaki kontrol listesi, yukarıdakilerden hiçbiri bağırmıyorken ancak yine de büyük bir meblağı taahhüt etmeden önce doğrulamak istediğinizde nelere bakmanız gerektiğini gösterir.

Kontrol listesi 1. madde: resmi köprü mü, üçüncü taraf köprü mü?

Tek ve en önemli soru, kullanmak üzere olduğunuz köprünün rollup ekibinin kendisi tarafından işletilen resmi köprü mü (Arbitrum'un resmi köprüsü, OP Stack'in standart köprüsü, zkSync gibi bir zk-rollup ile gelen köprü) yoksa dış bir protokol tarafından işletilen üçüncü taraf bir köprü mü (Across, Stargate, Hop, Wormhole, Synapse, Rhino.fi ve benzeri) olduğudur.

Resmi köprü, rollup'ın güvenlik modelini devralır. Arbitrum'un optimist bir rollup olarak sadık bir şekilde çalıştığına güveniyorsanız, bu güveni onun resmi köprüsüne de genişletirsiniz. Üçüncü taraf bir köprü, üçüncü taraf kendi sözleşmelerini, kendi düğüm altyapısını ve genellikle kendi mesaj iletim mantığını çalıştırdığı için, rollup'ın üzerine ek bir güven varsayımı ekler. Across gibi bazı üçüncü taraf köprüler, teminatlandırılmış aktarıcılar ve aktarıcı katmanında sahtekarlık ispatları ile doğrulayıcı-hafif tasarımlara doğru ilerledi; bu da güven açığını daraltır. Diğerleri hâlâ çoklu imzalara veya dış doğrulayıcı setlerine dayanır.

Ethereum ile Arbitrum veya OP arasında basitçe para aktarması gereken bir kullanıcı için, resmi köprü genellikle doğru varsayılan cevaptır. Üçüncü taraf bir köprüyü, tam olarak sunduğu şeye ihtiyaç duyduğunuzda kullanın: optimist rollup'larda daha hızlı çekimler, çoklu zincir tek tıkla gönderimler veya resmi köprünün desteklemediği rotalar. Bu gibi durumlarda, sonraki kontrol listesi maddeleri daha da önem kazanır.

Kontrol listesi 2. madde: ispat sistemi ve bunun çekim süresi için anlamı

Köprülerin hepsi eşit derecede hızlı değildir ve hız farkı kozmetik değildir. Bu, doğrudan rollup'ın kullandığı ispat sisteminin bir sonucudur.

Optimist rollup'lar (Arbitrum, OP Mainnet, Base), işlemlerin geçerliliğini, itiraz penceresi boyunca sorgulanmadığı sürece geçerli kabul eder. İtiraz süresi şu anda Arbitrum ve OP'da yaklaşık 7 gündür; daha yeni yapılandırmalarda bu süre daha kısadır. Resmi köprü üzerinden ana ağa geri çekim yaptığınızda, fonlar talep edilebilir hale gelmeden önce yaklaşık bu kadar süre beklersiniz; çünkü köprü, sahtekarlık ispatı penceresi başarılı bir itiraz olmadan kapanana kadar kilitli varlığı serbest bırakmaz. Karşılığında daha düşük ücretler ve sahada kanıtlanmış bir tasarım elde edersiniz.

Geçerlilik rollup'ları (zkSync, Starknet, Linea, Polygon zkEVM ve daha kısa pencereli hata ispatlarına doğru ilerleyen daha yeni OP Stack zincirleri) her bir L2 işlem yığınının doğru olduğuna dair kriptografik bir ispat üretir. Bu geçerlilik ispatı L1'de doğrulandıktan sonra, köprü fonları serbest bırakabilir. Çekimler, ispat üreticisine ve L1 yoğunluğuna bağlı olarak günler yerine tipik olarak onlarca dakika ile birkaç saat arasında tamamlanır.

Pratikte bunun anlamı: bir üçüncü taraf köprüsü optimist bir rollup üzerinde "hızlı çekim" sunuyorsa, size şimdi likidite sağlamak için perde arkasında bir şeyler yapıyordur (genellikle bir likidite havuzundan varlığı size önceden verir, ardından resmi çekimi daha sonra tahsil eder). Bu ürün, köprü saygınsa makul bir üründür, ancak anlamanız gereken bir karşı taraf ekler. Yavaş resmi köprü, güvene dayalı riski en aza indirilmiş seçenektir; hızlı köprü ise ekstra risk taşıyan pratik seçenektir.

Kontrol listesi 3. madde: denetimler, hata ödülü programı ve "denetlenmiş" ile "güvenli" arasındaki fark

Denetim, akıllı sözleşme kodunun dış bir firma tarafından belirli bir anda incelenmesidir. Olası her hatayı kapsamaz, yönetişim veya ekonomik riski kapsamaz ve denetim yayımlandıktan sonra eklenen yükseltmeleri kapsamaz. Köprüler denetlenmiş olsa bile istismar edilebilir; tıpkı denetlenmemiş köprülerin yıllarca sorunsuz çalışabileceği gibi. Denetim duruşu bir olasılık sinyali, garanti değildir.

Aranacaklar: net kapsam, tarihler ve incelenen kod sürümü ile birlikte yayımlanmış, saygın firmalardan alınmış denetimler (OpenZeppelin, Trail of Bits, Spearbit, ChainSecurity, Zellic, Cantina, Code4rena bağlantılı incelemeciler, daha biçimsel çalışmalar için Certora). Zaman içinde birden fazla denetim. Immunefi veya Code4rena gibi bir platformda anlamlı bir büyüklükte hata ödülü programı (10 milyon dolar tutan bir köprüde 50.000 dolarlık ödül tiyatrodur; 500 milyon dolar tutan bir köprüde 2 milyon dolarlık ödül en azından doğru civardadır).

Aynı derecede önemli olan: belgelenmiş bir olay müdahale süreci, geçmiş sorunlar için kamuya açık post-mortem analizleri ve yüksek eşikli, imza sahipleri kamuya açık bilinen bir çoklu imza. 2022'deki Wormhole istismarının bir kısmı, koruyucu ağının yükseltme yolunun yeterli incelemeyi atlatması nedeniyle gerçekleşti; ekip yamayı yapıp kullanıcılara geri ödeme yaptı, ancak ders şu ki süreçler kod kadar önemlidir.

Bunların çoğunu bir öğleden sonra doğrulayabilirsiniz. Projenin belgelerine bakın, GitHub'ta denetim raporlarını arayın, Immunefi'de ödül sayfasını kontrol edin, Etherscan'da yükseltme izinlerini inceleyin (sözleşmeyi okuyun, sahipleri kontrol edin, proxy kalıplarını inceleyin) ve son bir yılın yönetişim forumu gönderilerini okuyun.

Kontrol listesi 4. madde: TVL yoğunlaşması, hack geçmişi ve çıkış penceresi baskısı

TVL, yani kilitli toplam değer, bir köprünün sözleşmelerinde bekleyen dolar miktarıdır. Bu tek sayının içinde iki zıt risk bir arada bulunur.

Birincisi, yoğunlaşma riski. Eğer bir köprü 3 milyar doları tek bir sözleşmede tutuyorsa, aynı TVL'yi birçok küçük havuza dağıtmış bir köprüden daha büyük bir hedeftir. Daha büyük bal küpü tuzakları daha sofistike saldırganları çeker ve tek bir hatanın patlama yarıçapı daha geniştir. Eğer bir köprü 3 milyar dolar tutuyorsa ve 2/5 çoklu imza onu yükseltebiliyorsa, kullanıcı arayüzü ne kadar güzel olursa olsun bu yapısal bir sorundur.

İkincisi, köprünün kendisi için finansal dayanıklılık sorusu. Köprüler akış üzerinden ücret kazanır, ancak daha büyük olanların denetim, izleme ve olay müdahalesi için ödeme yapmaya devam etmesi gerekir. Kendini finanse etmekte zorlanan köprüler bazen köşeleri kısar ve güvenlik araçlarında kısılan köşeler iki yıl sonra hata olarak ortaya çıkar. Köprünün sürdürülebilir bir gelir modeli olup olmadığına ve ekibin en az bir büyük piyasa düşüşünü atlatacak kadar uzun süredir var olup olmadığına bakın.

Hack geçmişi, bu maddenin üçüncü ayağıdır. Daha önce istismar edilmiş ve önceki kaybın nedeni giderilerek yeniden inşa edilmiş bir köprü (Nomad post-mortem analizi ve yeniden denetimi, Wormhole'un koruyucu ağı yeniden yapılanması), hiç sicili olmayan bir köprüden tamamen farklı bir durumdur. Daha önce istismar edilmiş ve nedeni giderilmeden sessizce yeniden başlatılmış bir köprü, ele geçirilmiş gibi değerlendirilmelidir.

Zincir üstü TVL'yi, köprünün reklamını yaptığı değerle çapraz kontrol edin. DefiLlama, L2Beat ve belirli köprü için hazırlanmış Dune panoları, fiili sözleşme bakiyelerini projenin pazarlamasıyla karşılaştırmanıza olanak tanır. Sözleşmelerde 40 milyon dolar varken 400 milyon dolar TVL iddia eden bir proje, sizin katılmak istemeyeceğiniz bir şeyler yapıyordur.

Kontrol listesi 5. madde: fiilen hangi varlığı aldığınız

Bu madde çoğu kullanıcının atladığı ve en pahalıya patlayan maddedir. USDC'yi Ethereum'dan Arbitrum'a köprülediğinizde cüzdanınıza ne düşeceği tamamen kullandığınız köprüye ve alıcı uçtaki sözleşmeye bağlıdır.

Yerel (native) USDC, Circle tarafından doğrudan Circle'ın desteklediği her zincirde ihraç edilir. 2025 itibarıyla Circle, Cross-Chain Transfer Protocol (CCTP) aracılığıyla Ethereum, Arbitrum, OP Mainnet, Base, Polygon, Avalanche ve giderek artan diğer zincirlerde yerel USDC ihraç etmektedir; bu mekanizma kaynak zincirdeki USDC'yi yakar ve hedef zincirde yerel USDC basar. Yerel USDC aldığınızda Arbitrum üzerindeki varlık, Ethereum üzerindekiyle aynı ihraççıya aittir ve Circle'ın attestasyonları geçerli olur.

Köprülenmiş (bridged) USDC farklı bir tokendir. Üçüncü taraf bir köprü tarafından basılmış sarılmış bir versiyondur (örneğin Arbitrum'daki USDC.e ya da Circle'ın henüz ihraç yapmadığı zincirlerdeki USDC). İhraççı Circle değil, köprünün kendisidir. Circle bu sarılmış token için attestasyon sağlamaz. Köprü istismara uğrarsa sarılmış USDC değersiz hale gelir; aynı zincirdeki yerel USDC ise bu durumdan etkilenmez.

Pratikte neden önemli: Arbitrum'daki birçok DeFi protokolü hâlâ USDC.e listeler, bazen ikisini birden, bazen yalnızca birini. Köprülemeden önce hedef protokolün hangi tokeni kabul ettiğini ve sizin fiilen hangi tokeni alacağınızı kontrol edin. Circle'ın CCTP'si üzerinden yerel USDC almak, genel bir üçüncü taraf köprüden daha çok güvene dayalı riski azaltılmış bir köprüye yakındır; çünkü Circle'ın yakma/basım mekanizması sayesinde üçüncü bir tarafın tuttuğu havuzlanmış likidite yoktur. USDC kaynak tarafta yok edilir ve hedef tarafta yeniden oluşturulur.

Kontrol listesi 6. ve 7. maddeler: yükseltmeler, yönetişim ve küçük operasyonel sinyaller

Son iki madde tek başına küçüktür, ancak ilk beş maddenin gözden kaçırabileceği sorunları yakalar.

6. madde yükseltilebilirlik ve yönetişimdir. Köprü sözleşmesinin arkasında bir proxy var mı? Yükseltilebilir mi, kim tarafından ve ne kadar hızlı? Yükseltmelerde timelock (değişiklikler yürürlüğe girmeden önce 24 ila 72 saatlik bir gecikme) bulunan köprüler, topluluğa düşmanca bir yönetişim hamlesine tepki verecek zaman tanır. Timelock bulunmayan ya da tek bir EOA sahibine sahip köprüler ciddi mevduatlar için uygun değildir. ETH büyüklüğünde bir pozisyon için köprünün yükseltme yönetişimi, sonunda park edeceğiniz L2'nin hangisi olduğundan daha yüksek kaldıraca sahip bir karardır.

7. madde insani katmandır. Ekip kamuya açık mı, geçmiş bir sicilleri var mı, yükseltmeleri zamanında teslim etmişler mi, çalışan bir durum sayfaları var mı, olay raporlarını kamuya açık bir forumda İngilizce olarak paylaşıyorlar mı? Bir olay sırasında hızlı tepki veren köprü ekibi, kaybın felakete dönüşmesini engelleyebilir. Olaylar sırasında sessizleşen bir köprü ekibi ise paniği daha da kötüleştirir. Harmony Horizon köprüsü, Haziran 2022'de kısmen ilk izinsiz girişin izlenememesi nedeniyle istismara uğradı; daha iyi izleme kaybı küçültebilirdi.

Bunları her köprüleme işleminden önce tek sayfalık bir kontrol listesinde bir araya getirebilirsiniz: kanonik mi yoksa üçüncü taraf mı, ispat sistemi, denetimler ve ödül programı, TVL ve geçmiş, alınan varlık, yükseltme yönetişimi, ekip kalitesi. Bunların çoğu, bir köprüyü ilk kez incelerken otuz dakikalık, sonraki ziyaretlerde beş dakikalık bir okuma gerektirir. Bunu atlamanın bedelini, köprüsünün başkasının sorunu olduğunu düşünen insanlar öder.

L2 köprülerini akıllıca nasıl takip edersiniz?

L2 köprüleri hızlı hareket eder ve etraflarındaki haberler de hızlı akar. Hangi köprünün yeni denetim aldığını, hangisinin yerel USDC desteği eklediğini, hangisinin yükseltme yolunu zayıflatan bir yönetişim oylamasından geçtiğini takip etmek başlı başına bir iştir ve çoğu kullanıcının bunu manuel olarak izleyecek zamanı yoktur. Zippfeed, L2 ve köprü haberlerini sentiment puanlaması (bullish, neutral ya da bearish) ve önem derecesi ile birlikte sunar; böylece zaten kullandığınız köprülerdeki değişiklikleri fark edebilir, yenilerini erken duyabilir ve yanlış nedenlerle haber olacak olanlardan uzak durabilirsiniz.