Kripto belə davam edə bilməz: Bir blokçeyn mütəxəssisinin sənaye özünü xilas etmə təşəbbüsü

Müəllif: ArcBlock-un təsisçisi və baş icraçı direktoru Robert Mao

Bu məqalə hər kəsin sərbəst şəkildə yayması üçün icazə verilir, ümid edirəm ki, daha çox insan bu sənaye özünü xilas etmə çağırışını görəcək.

Kripto belə davam edə bilməz. Dəfələrlə baş verən kütləvi oğurluq, yalnız aktivləri deyil, həm də iştirakçıların bütün sənayəyə olan etibarını alır. Biz özümüzü xilas etməliyik.

2026-cı il 29 oktyabrda Binance-da ciddi təhlükəsizlik hadisəsi baş verdi. İlk elanına görə, təxminən 63 milyard dollar aktiv təsirləndi, təxminən 30 milyard dollar təsirlənmiş aktivlər donduruldu; araşdırma əvvəlcə DevOps mühəndisinin noutbukuna işarə etdi, sonra digər mümkün daxilolma nöqtələri aşkar edildi. Binance eyni zamanda, cüzdanın özəl açarlarının sızması ilə bağlı heç bir sübut tapılmadığını bildirdi. Təsir edən məbləğ son net itki deyil, tam hücum zənciri hələ də araşdırılır.[[1]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/ " \l "fn-binance)

Bu təşəbbüs, Ethereum, Solana və digər blokçeyn layihələrinin qurucularına, həmçinin Binance, Coinbase, Kraken və iştirak etməyə hazır olan bütün birjələrə, cüzdanlara, protokollara və təhlükəsizlik qurucularına yönəldilmişdir: Gəlin, aktivlərin qorunması üçün əsasları birlikdə yenidən quraq. Mən iştirak etməyə hazıram və daha çox insanın da hərəkət etməsini ümid edirəm.

Bu artıq kifayət qədər ağırdır. Amma daha çox narahatam ki, bu hadisə daha neçə insanın Kriptoya olan inamını sarsıdacaq, daha neçə hücumçu bu sənayeni hədəf almağa dəyər bir yer kimi görəcək. Nəticədə, kimlərsə itkiləri ödəsə belə, kompensasiya istifadəçilərin etibarını avtomatik olaraq bərpa edə bilməz, daha da çox, eyni cür dağıdıcı hadisələrin baş verməsini dayandıra bilməz.

Binance, bu gün bizə üzləşməyə məcbur edən problemlərin yalnız bir başlanğıcıdır. Görüşümüzü yayındırsaq, birjələr, körpülər, on-chain protokollar və cüzdanlar artıq uzun bir yara izləri buraxmışdır. Yeni şəbəkələr və məhsullar davamlı olaraq ortaya çıxır, amma köhnə nasazlıq modelləri təkrarlanır. Biz bir elan verməklə, bir müddət gözləməklə, sonra növbəti hadisəni gündəlik kimi qəbul edə bilmərik.

Biz həmçinin etiraf etməliyik ki, fırıldaqçılıq və yalnız konsepsiya istehsal edərək, inşaat məsuliyyətini daşımayan yanaşmalar bu sənayəyə çox uzun müddət zərər verdi. Texnologiya və infrastruktur üzərində ciddi işləyən komandalar da etibarın itirilməsi nəticələrini birgə yaşamalıdır. İnsanlar bütün Kriptoyu fırıldaqçılıq kimi gördükdə, həqiqətən qorunmağa dəyər olan texnologiya və araşdırmalar da birlikdə tərk edilə bilər.

ArcBlock-un təsisçisi olaraq, bir Kripto və Blokçeyn mütəxəssisi, mən belə bir sonluğu qəbul etmək istəmirəm. Mən bu sənayenin qorumağa dəyər bir dəyəri olduğuna inanıram və öz təhlükəsizlik bazamız üçün məsuliyyət daşımalıyıq. Əgər növbəti hadisəni passiv şəkildə gözləməyə davam etsək, təkrarlanan qanaxma, sonunda birlikdə inşa etdiyimiz hər şeyi məhv edə bilər.

Buna görə, bu təşəbbüsü irəli sürmək istəyirəm: Birjələr, cüzdanlar və blokçeyn qurucuları, aktivlərin idarə olunması və təhlükəsizlik təsdiqi üçün əsasları birgə yenidən qurmalıdırlar ki, bir dəfəki daxilolmanın dağıdıcı təsiri məhdudlaşdırılsın. Aşağıdakı zaman xətti, niyə dəyişməli olduğumuzu izah edir; sonrakı texniki həll, başlamaq üçün edə biləcəyimiz işlərdir.

Bu hadisə zaman xətti artıq çox uzundur

2008-ci ildə, Satoshi Nakamoto, etibarlı vasitəçilərə olan asılılığı azaltmaq üçün nöqtə-nöqtə elektron pul sistemini təqdim etdi.[[2]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/ " \l "fn-bitcoin) Sonrakı ciddi hadisələr, maliyyə, icazə və proqram təminatı asılılığının yenidən mərkəzləşməsi problemini davamlı olaraq ortaya qoydu.

Aşağıda mərkəzləşdirilmiş birjələr (CEX), mərkəzləşdirilməmiş birjələr (DEX), körpülər və cüzdanlar sahəsindəki nümayəndə hadisələri zamanla sıralanmışdır. Bu, tam hadisə arxivi deyil, illik itki statistikası da deyil. Məbləğlər qeyd edildikdə, hadisə zamanı təxminən xam təsiri göstərir; oğurlanmış, dondurulmuş və sonrakı bərpa ayrı-ayrılıqda izah edilir, daimi itki kimi toplanmamalıdır.

2008 · Bitcoin Ağ Qəbul

• Başlanğıc
• Bitcoin ağ qəbul, maliyyə institutlarının mərkəzləşdirilməsini tələb etmir.
• Mənbə

2011--2014 · Mt. Gox Uzunmüddətli Oğurluq

• CEX
• Mt. Gox uzun müddət oğurluq edərək, sonunda fəaliyyətini dayandırdı. ABŞ ədliyyəsi sonrakı iddialarında, 2011-2014-cü illərdə təxminən 647,000 BTC-nin oğurlandığını bildirdi. Bu, 2014-cü ildə baş verən bir günlük hücum deyil.
• Mənbə

2012 · Bitcoinica və Bitfloor

• CEX / İdarəetmə İnfrastruktur
• Bitcoinica-nın Linode idarəetmə mühiti pozuldu; eyni il Bitfloor-un şifrələnməmiş cüzdan ehtiyatı hücum giriş nöqtəsi oldu. Platformanın arxasında olan serverlər və ehtiyatlar da aktivlərin təhlükəsizlik sərhədidir.
• Mənbə

2015 · Bitstamp İsti Cüzdan

• CEX
• Bitstamp isti cüzdanı hücuma məruz qaldı, sonra iş mühitini yenidən qurdu. Rəsmi olaraq hadisə sahəsi ilə offline ehtiyatı ayırdı, izolyasiyanın məhdudlaşdırma təsirini göstərdi.
• Mənbə

2016 · Bitfinex

• CEX
• Bitfinex-də təxminən 120,000 BTC oğurlandı. Çox imza tənzimləməsi hələ də son-dan sona müstəqil icazə və təsdiq tələb edir.
• Mənbə 1 · Mənbə 2

2016 · The DAO

• On-chain Protokol
• The DAO müqaviləsi reentrancy hücumuna məruz qaldı, təxminən 3.6 milyon ETH alt DAO-ya köçürüldü, sonra Ethereum forkunu başlatdı. Qanuni icra yolu fəlakətli iş nəticələri yarada bilər.
• Mənbə 1 · Mənbə 2

2017 · Parity Paylaşılmış Cüzdan Kitabı

• Müqavilə Cüzdanı
• Parity paylaşılmış cüzdan kitabı məhv edildi, təxminən 513,000 ETH donduruldu. O, köçürülməmişdir, eyni zamanda ortaq kod asılılığı səbəbindən istifadə imkanını itirmişdir.
• Mənbə

2018 · Coincheck

• CEX
• Coincheck-in NEM isti cüzdanı oğurlandı. Offline ehtiyat, isti cüzdan icazələri və iş tələbləri arasındakı sərhəd yenidən problem oldu.
• Mənbə

2019 · Binance

• CEX
• Binance, 7,000 BTC-nin bir əməliyyatla çıxarıldığını elan etdi. Kütləvi aktiv axını imza öncəsi məhdudlaşdırılmalıdır.
• Mənbə

2020 · KuCoin

• CEX
• KuCoin isti cüzdan hadisəsi, sonradan birgə əməkdaşlıqla çox sayda aktiv bərpa edildi. Oğurlanmış xam məbləğ və son itki eyni rəqəm deyil.
• Mənbə

2021 · Poly Network

• Köprü Protokolu
• Poly Network-də təxminən 612 milyon dollar aktiv köçürüldü, sonra tədricən geri qaytarıldı. Köprü icazəsi və aktiv idarəçiliyi yalnız normal iş yolları ilə təmin edilə bilməz.
• Mənbə

2022 · Ronin Körpüsü

• Körpü
• Ronin təsdiqçi icazələri pozuldu, 173,600 ETH və 25.5 milyon USDC köçürüldü. Bir neçə təsdiqçinin açarları da eyni hücum zəncirinə düşə bilər.
• Mənbə

2022 · Slope Cüzdanı

• Cüzdan
• Solana ekosisteminin Slope cüzdan hadisəsi. Solana rəsmi olaraq açar məlumatlarının təsadüfən tətbiq monitorinq xidmətinə göndərildiyini bildirdi; bu, Solana konsensusu pozulmadı.
• Mənbə

2023 · Euler

• Kredit Protokolu
• Euler-də təxminən 197 milyon dollar aktiv protokol zəifliyi səbəbindən köçürüldü, sonra bərpa edildi. Tək əməliyyatın mürəkkəb kombinasiyaları iş məntiqi çatışmazlığını artırır.
• Mənbə

2023 · Ledger Connect Kit

• Cüzdan Bağlantı Aləti
• Ledger Connect Kit təchizat zənciri hücumuna məruz qaldı, zərərli kod tətbiq ön hissəsinə daxil oldu. Avadanlıq təhlükəsizliyi, əməliyyat məzmununun təsdiqini əvəz edə bilməz.
• Mənbə

2024 · DMM Bitcoin

• CEX
• DMM Bitcoin-da təxminən 308 milyon dollar oğurlandı. FBI və digər qurumlar müvafiq şəxslərə və imza zəncirinə qarşı sosial mühəndislik hücumlarını açıqladı.
• Mənbə

2024 · Radiant Capital

• Kredit Protokolu / İmza
• Radiant Capital-da təxminən 50 milyon dollar oğurlandı, bir neçə inkişaf etdirici cihazı pozuldu. Bir neçə imza hələ də çirklənmiş əməliyyat məlumatlarına asılı ola bilər.
• Mənbə

2025 · Bybit / Safe

• CEX / Cüzdan Ön Ucu
• Bybit-də təxminən 1.5 milyard dollar hadisəsi, hücum Safe inkişaf mühitini və ön hissəni əhatə etdi, imzalayanlar cüzdan idarəetmə məntiqini dəyişən əməliyyatı təsdiqlədilər.
• Mənbə 1 · Mənbə 2

2025 · Cetus DEX

• DEX
• Sui-də Cetus-da təxminən 223 milyon dollar hadisəsi, tədqiqatçılar riyazi kitabxana çatışmazlığını qeyd etdilər. EVM mühiti də kod və aktivlərin açıq sahəsini yoxlamaq üçün mütləqdir.
• Mənbə

2026-07 · COLDCARD Təsadüfi Say Defisiti

• Avadanlıq Cüzdanı / Toxum Yaradılması
• Firmware çatışmazlığı toxum yaradılmasını zəiflədir, hücumçular cihaz offline olduqda müvafiq özəl açarları yenidən qura bilərlər. Yeniləmə artıq yaradılmış zəif toxumları düzəldə bilmir, hələ də elan olunan köçürməyə ehtiyac var.
• Mənbə

2026-10 · Ledger Avadanlıq Daxili

• Avadanlıq Cüzdanı / Paylama Hücumu
• Ledger, müvafiq avadanlığın dəyişdirildiyini təsdiqlədi və Cənub-Şərqi Asiya distribyutorları vasitəsilə yayıldı, implant komponentləri ilkinləşdirmə zamanı bərpa sözlərini oğurladı. İstehsalçı, çipinin, əməliyyat sisteminin və serverinin pozulmadığını bildirdi.
• Mənbə

2026 · Binance Çox Zəncirli Hadisəsi

• CEX / Çox Zəncir
• Binance, təxminən 63 milyard dollar aktivin təsirləndiyini ilkin olaraq qiymətləndirdi, digər mümkün daxilolma nöqtələrinin araşdırması hələ də davam edir. Tək əməliyyat sistemi, bir çox şəbəkələrdəki aktivlərin eyni anda açıq olmasına imkan tanıyır.
• Mənbə 1 · Mənbə 2 · Mənbə 3

Burada həm CEX, həm də mərkəzləşdirilməmiş birjələr, kredit protokolları və körpülər var; aktivlər oğurlanır, həm də dondurulur. Hücumlar fərqli səviyyələrdə baş verir, bərpa üsulları da fərqlidir. Mən bunları "istifadəçi özəl açarını yaxşı qoruyub" deməklə bir yerə yığmağa qarşıyam. İstifadəçi necə bilə bilər ki, bir alətin inkişaf mühiti, bir paylaşılmış kitabxana, ya da başa düşülməyən bir icazə, bütün aktivlərinin giriş nöqtəsi olacaq?

Paylanmış şəbəkə çox şey etdi, amma aktivlərin idarə olunmasında nasazlıq izolyasiyası hələ də kifayət qədər deyil. On-chain icrası bir əməliyyatı sadiq şəkildə tamamlayır, amma bu əməliyyatın niyə bu qədər çox şeyi köçürmək hüququ olduğunu bizim üçün izah edə bilmir.

Müxtəlif texnologiya yollarının birgə təhlükəsizlik bazası qurması

Ethereum-un töhfəsi böyükdür. O, daha çox insanın zəncir üstü tətbiqlər yazmasına imkan tanıdı, zəngin alətlər və inkişaf təcrübəsi formalaşdırdı. Lakin bu gün bir çox yeni zəncir və L2 (İkinci Təbəqə Şəbəkələri) EVM uyğunluğunu əsas hədəf kimi qəbul edir. EVM, yəni Ethereum ağıllı müqavilələrinin icra edildiyi virtual maşın, geniş şəkildə təkrarlanan texnologiya tələbinə çevrilir. Uyğunluq, tətbiq köçürmələrini asanlaşdırır; Unichain kimi layihələrin sənədləri, Ethereum alətlərinin yenidən istifadəsini bərabər icra mühiti kimi dəyərləndirir.

Mənim fikrimcə, EVM uyğunluğunu sənaye standartı kimi qəbul etmək, struktur risklərinin mərkəzləşməsinə səbəb olur. Şəbəkə adları çox ola bilər, doğrulayıcılar fərqli ola bilər, lakin inkişaf etdiricilər eyni müqavilələri dəfələrlə yerləşdirə, eyni icazə vərdişlərini istifadə edə və eyni proqram kitabxanalarına etibar edə bilərlər. Birlikdə asılılıqdakı səhvlər, başqa bir zəncirə yerləşdirilsə də, yox olmayacaq. Bu, texnologiya yolunun qiymətləndirilməsidir, hər EVM tətbiqinin eyni zəifliyə sahib olacağı demək deyil.

Ethereum-a olan tənqidlərim də burada ortaya çıxır. Ümumi müqavilə icra qabiliyyəti, köçürülə bilən aktivləri birbaşa bağlayır, tətbiq kodu və cüzdan qarşılıqlı əlaqəsinə böyük məsuliyyət verir. Müqavilələr müqavilələri çağırır, icazələr uzun müddət mövcud ola bilər, bir dəfə görünən adi təsdiq, sonrakı hesabın idarəetmə formasını dəyişə bilər. Təhlükəsizlik, hər inkişaf qrupu bu birləşmələri düzgün başa düşməyə, hər istifadəçi isə imzaladıqlarını düzgün başa düşməyə daha çox asılıdır.

EIP-7702 bu problemi çox aydın şəkildə göstərir. Adi köçürmə "bu dəfə kimə nə qədər köçürüləcək"dir; səlahiyyət vermə isə "bu kodun mənim hesabım üçün əməliyyatlar icra etməsinə icazə ver" ola bilər. Bu, istifadəçi təcrübəsini yaxşılaşdırmaq və icazələri daha dəqiq bölmək məqsədini güdür, lakin səlahiyyət vermək özü geniş icra qabiliyyəti verir, dəqiq icazələr isə səlahiyyət kodu tərəfindən düzgün həyata keçirilməlidir. Minfeng Qi və başqalarının "EIP-7702 Phishing Attack" adlı ön çapı, bu cür icazələrin imzalanmasını təşviq edərək hesabın davamlı idarə olunması yollarını araşdırır. Rahatlıq artdıqca, təhlükəsizlik məsuliyyəti də artır, yalnız birincisini istifadəçiyə həvalə etmək olmaz.

Bu dəfə Binance hadisəsi bir neçə zənciri əhatə edir, araşdırma hələ tamamlanmayıb, bütün təsirləri EIP-7702 və ya EVM-ə birbaşa aid etmək olmaz. Yenidən daxil olma, imza xidmətlərinin pozulması və ön tərəf dəyişdirilməsi eyni zəiflik deyil. Lakin bu fərqləndirmə, arxitektura suallarını dayandırmaq üçün bəhanə olmamalıdır: Niyə alt qat, üst qatın səhvləri üçün daha çox asanlıqla aşılmayan məhdudiyyətlər saxlamır?

MEV də məni narahat edir. Bu, iştirakçıların əməliyyatları daxil etmə, xaric etmə və sıralama yolu ilə əlavə dəyər əldə etməsi deməkdir. Mənim üçün, sıralama hüququndan istifadə edərək istifadəçi əməliyyatlarını sıxışdırmaq və onların icra nəticələrini pisləşdirmək, düzəldilməli olan bir səhv kimi qəbul edilməlidir, kimsə bundan pul qazanırsa, bu, saxlanılması lazım olan bir xüsusiyyət kimi təqdim edilməməlidir. Ethereum-un öz sənədləri də sıxışdırma əməliyyatlarının istifadəçilərə zərər verdiyini və MEV-in şəbəkə sabitliyinə risk yaratdığını açıq şəkildə qəbul edir. MEV yalnız Ethereum-a aid deyil, həmçinin arbitraj və likvidasiya kimi müxtəlif fəaliyyətləri də əhatə edir; sənayedə artıq yüngülləşdirmə tədqiqatları var. Mənim tənqidim, şəbəkənin saxlanması üçün motivasiyanın istifadəçi əməliyyat şərtlərini qurban vermək üçün səbəb olmamalıdır. Daha yaxşı əməliyyat sistemi, minimum icra nəticəsini və icazələrdə icazə verilən xərcləri yazmalı və sıralayıcıların tamamlanmamış məlumatlardan istifadə edərək istifadəçilərə zərər vermə imkanlarını məhdudlaşdırmalıdır.

Mən həmişə düşünmüşəm ki, Ethereum-un Kriptoya təsiri, PHP-nin internetə təsirinə bənzəyir: O, bir çox insanın bir şeylər etməsinə imkan tanıdı, eyni zamanda uzun müddət ödəməli olduğu mühəndis borcu buraxdı. PHP 2026-cı ilin oktyabrında hələ də ciddi uzaqdan kod icra zəifliyini düzəltməyə ehtiyac duyur. Yetkinlik və yayılma, davamlı gücləndirməni əvəz edə bilməz. İnternetin dəyəri, dil, çərçivə və bulud xidmətlərinin ayrı-ayrılıqda inkişaf edə bilməsindədir. Biz də müxtəlif aktiv modellərinin və icra üsullarının inkişaf etməsinə icazə verməliyik, "eyni virtual maşınla uyğunlaşma"nı ekosistemdə iştirak etməyin bileti kimi qəbul etməməliyik.

Buna görə, Bitcoin, Solana, Ripple/XRP Ledger ekosistemini və ArcBlock daxil olmaqla qurucuları, ortaq təhlükəsizlik bazasının yaradılmasında ciddi iştirak etməyə çağırıram. Standartlara və qarşılıqlı fəaliyyətə iştirak etməyə ehtiyac yoxdur, əvvəlcə özlərini Ethereum-a çevirməlidirlər. Müxtəliflik, aktivlərin idarə edilməsi və doğrulama üsullarına tətbiq edilməlidir, açıq yoxlamaya qəbul edilməlidir. Slope və Cetus hadisələri artıq bizə xatırlatdı ki, qeyri-EVM də təhlükəsizlik imtiyazına malik deyil.

Mənim arzuladığım, müxtəlif icra mühitlərinin qəbul edə biləcəyi təhlükəsizlik standartlarının formalaşmasıdır: eyni aktiv məhdudiyyətləri və doğrulama tələbləri, EVM və digər yollarla ayrı-ayrılıqda həyata keçirilə bilər, sonra hər birinin təminatlarını və xərclərini açıq şəkildə yoxlamaq mümkündür.

Başlamaq üçün yeddi gücləndirmə işi

I. Alt qatın risk idarəetmə məhdudiyyətlərini aktivlərin idarə olunmasına tətbiq etmək

Böyük cüzdanlar, ödəniş ağ siyahısını, yığılmış xərclərin üst həddini və yeni ödəniş tərəfdaşlarının gözləmə müddətini təyin edə bilməlidir. Əsas məsələ, bu qaydalar eyni gündəlik əməliyyat açarı tərəfindən dərhal ləğv edilə bilməz. Qaydaların dəyişdirilməsi müstəqil icazə tələb edir, həmçinin monitorinq və ləğv üçün vaxt buraxmalıdır.

Mövcud ağıllı hesablar artıq tətbiq etmə əsaslarına malikdir, məsələn, Safe Guards çox imza ilə yanaşı əməliyyat məhdudiyyətlərini artırmağa imkan tanıyır. Biz bunu daha asan qəbul edilə bilən, bütün aktivlərin idarəetmə yollarını əhatə edən əsas qabiliyyət halına gətirməliyik. Birbaşa köçürmələri məhdudlaşdırmaq, lakin sonsuz icazə, modullar və yeniləmələr vasitəsilə aşmağı icazə vermək, qorunmanı boş yerə qoyacaq. Ağ siyahı müqavilələrinin yenilənə bilib-bilməməsi, qəbul edən tərəfin icazələrinin dəyişib-dəyişməməsi də doğrulama sahəsinə daxil edilməlidir.

Apple-in Aktivləşdirmə Kilidi gündəlik həyatda bir ilham təqdim edir: oğurlanmış cihazların yenidən aktivləşdirilməsini məhdudlaşdırmaq və bəzi oğurlanmış hissələrin kalibrlənməsini məhdudlaşdırmaq, məqsəd oğurlandıqdan sonra istifadə edilə biləcək dəyəri azaltmaqdır. Cüzdanlar da bu istiqamətdə dizayn edilməyə dəyər. Hücumçılar bir açar əldə etdikdə, realizə edilə bilən aktivlərin sahəsi hələ də məhduddur, hücumun gözlənilən gəliri azala bilər; xidmətlərin pozulması kimi risklər hələ də ayrıca işlənməlidir.

Bu, mənim dediyim aktiv təhlükəsizliyi "konstitusiyasıdır": əməliyyat hüquqları itirilə bilər, lakin sərhədləri dəyişdirmək hüquqları hələ də müstəqil saxlanmalıdır. Bərpa prosesi də məhdudiyyətlərə tabe olmalıdır, bir səhv konfiqurasiyanın aktivləri daimi olaraq kilidləməsinin qarşısını almalıdır.

II. Cüzdanların təhlükəsizlik məsuliyyətini daşıması, yalnız xatırlatma sözlərini təqdim etməməsi

Mən bu günkü cüzdan sistemindən çox narazıyam: əgər bir məhsul adi insanın bir sıra sözləri yazmasını tələb edirsə, onlardan heç vaxt sızdırmamasını, itirməməsini, aldanmamasını tələb edirsə, sonra bütün uğursuzluqları istifadəçi məsuliyyətinə aid edirsə, bu, məsuliyyətsiz bir dizayn hesab edirəm. Özünü qorumaq insanlara nəzarət etmə imkanı verməlidir, həm də istifadə edilə bilən qoruma və bərpa imkanları təqdim etməlidir. Hər bir istifadəçinin əvvəlcə təhlükəsizlik mütəxəssisi olması tələb olunmamalıdır. Bu, Kripto-nun daha çox adi istifadəçilərə yönəlməsi üçün aşılması lazım olan bir maneədir.

Son dövrlərdəki hadisələr bu problemi birbaşa ortaya qoydu. Ledger 2026-cı ilin oktyabrında təsdiqlədi ki, hücumçular orijinal cihazı dəyişdirərək, Cənub-Şərqi Asiya distribyutor kanalı vasitəsilə bazara geri göndərmiş, komponentləri ilkinləşdirərkən bərpa sözlərini oğurlamışdır. Ledger bunu cihazın istehsaldan sonrakı yerli dağıtım hücumu kimi müəyyən etdi, onun çipi, əməliyyat sistemi və ya serveri pozulmamışdır. COLDCARD-ın iyul hadisəsi isə firmware-in zəifləmiş toxum istehsalını əhatə edir: cihaz uzaqdan idarə olunmağa ehtiyac duymur, hücumçılar da müvafiq özəl açarları bərpa edə bilərlər. Firmware-in yenilənməsi gələcək istehsal prosesini düzəldir, artıq istehsal edilmiş zəif toxum hələ də köçürülməlidir.

Bu iki hadisə eyni zəiflik deyil, lakin hər ikisi də göstərir ki, istifadəçi sözləri diqqətlə yazsa, cihazı offline saxlayarsa belə, istehsalçının təsadüfi ədədləri və tam təchizat zəncirlərini təsdiqləmək üçün əvəz edə bilmir. Cihazın ehtiyat sözlərini göstərməsi offline bərpa üçün faydalıdır, lakin tam bərpa sirrinin qorunması lazım olan bir göstərmə və ehtiyat yolu ilə keçməsini təmin edir. Çip təhlükəsizliyi, bütün cihazın və çatdırılma prosesinin təsdiqlənməsini əvəz edə bilməz.

Yaxşılaşdırma məqsədi, tam cüzdan həyat dövrüdür: açarlar necə istehsal olunur, əməliyyatlar necə izah edilir, icazələr necə ayrılır, cihaz itirildikdə necə bərpa edilir. Hesabın abstraksiyası, yəni hesabların proqramlaşdırıla bilən qaydalarla icazələri təsdiq etməsinə icazə vermək və SLIP-39 kimi eşitmə ehtiyatları, artıq standartlar və tətbiq əsasları var, sənayenin bunu etmədiyini demək olmaz. Lakin bu qabiliyyətlərin yoxlanılmış, asan istifadə edilən qoruma halına gətirilməsi lazımdır, istifadəçilərin mürəkkəb planları özləri tərtib etməsi deyil.

Xatırlatma sözlərinin sadə qarışdırılması kifayət deyil. Daha etibarlı istiqamətlər, yoxlanılmış şifrələnmiş ehtiyatlar, eşitmə bərpa və müstəqil cihaz icazələrini əhatə edir və istifadəçilərin böyük aktivləri yatırmadan əvvəl bərpa məşqi etmələrini təmin edir. Ehtiyat parçaları və çox imza fərqli qatlardır: birincisi bərpa zamanı eyni sirri yenidən birləşdirə bilər, ikincisi isə bir neçə müstəqil imzaçının əməliyyatı təsdiqləməsini tələb edir. Bərpa xidməti, gizli açar halına gəlməməli, əlavə parol da başqa bir itki halına gəlməməlidir.

Şəxsi cüzdanlar və mübadilə cüzdan sistemləri, əməliyyat təsvirləri, imza tələbləri, aktiv məhdudiyyətləri və bərpa prosesinin təhlükəsizlik standartlarını paylaşa bilər, fərqli məbləğlər və təsdiq strategiyaları tətbiq edə bilər. Bitcoin-in PSBT artıq imzalanmamış əməliyyatların formatını təqdim edir, bu cür ortaq interfeys davam etdirilməyə dəyər. Ortak olan, yoxlanıla bilən təhlükəsizlik tələbləridir, hər bir zəncir hələ də öz uyğunlaşdırma qaydalarını dəqiqləşdirməlidir. Cüzdan, bu imzanın nəyi köçürəcəyini, kimə nə qədər sonrakı icazə verəcəyini açıq şəkildə göstərməli və müstəqil strategiyalarla sərhəd əməliyyatlarını rədd etməlidir; daha gözəl bir təsdiq səhifəsi kifayət deyil.

Bir şərtin doğruluğunu sübut etmək üçün istifadəçilərin bütün əsas məlumatları açıq şəkildə təqdim etmələri tələb olunmamalıdır. Seçimli açıqlama, sıfır bilik sübutları və tələbə uyğun auditə giriş, infrastrukturun normal seçimləri olmalıdır. Bu, aktivlərin təhlükəsizliyi ilə də bağlıdır: açıq kimlik və aktivlər arasındakı əlaqə, hədəf aldatma üçün ipucu verə bilər; biznesin ehtiyacı olmayan məlumatlar mümkün qədər az ifşa edilməlidir.

W3C-nin təsdiqlənən sertifikat sistemi artıq seçimli açıqlama üçün texniki yollar təqdim edir; lakin girişin doğruluğunu, sertifikatların hələ də etibarlı olduğunu və vəziyyətin necə ləğv ediləcəyini aydınlaşdırmaq lazımdır. Sıfır bilik sübutları (ZK) də avtomatik olaraq əməliyyat məbləğlərini və əlaqələri gizlətmir, genişləndirilmiş sübut və gizlilik qorumaq fərqli məqsədlərdir.

Məsələn, bir biznes yalnız iştirakçıların uyğunluğunu yoxlamaq lazım olduqda, istifadəçi etibarlı bir qurum tərəfindən verilmiş etibarlı uyğunluq nəticəsini təqdim edə bilər, tam maliyyə materiallarını açmadan. Gizli dəyərlərin şərtləri ödədiyini sübut etmək lazım olduqda, uyğun sübut mexanizmi istifadə edilməlidir. Sertifikatların etibarlı mənbəyi və ləğv vəziyyəti hələ də təsdiqlənməlidir.

Mənim təşəbbüsüm "kim nəyi təsdiqləməlidir" sualını aydınlaşdırmaqdır, sonra açıq şəkildə təqdim olunması lazım olan məlumatları dizayn etməkdir. Təsdiq edən şəxslər yalnız uyğunluq nəticəsinə ehtiyac duyurlar; müəyyən audit vəzifələrini yerinə yetirən şəxslər məhdud sübutlar əldə edə bilərlər. Açıq təsdiqlənə bilən məhdudiyyətlər, mümkün qədər bütün şəxslərin daimi ifşasına məhdudiyyət qoymalıdır.

Dördüncü: Ticarət xidmətlərini mərkəzləşdirilmiş idarəetmədən mümkün qədər azad etmək

Ticarət uyğunluğu, yol tapma və aktivlərin təhvil verilməsi ayrı dizayn edilməlidir. Ticarət girişini təmin edən bir xidmət, istifadəçi aktivlərinin qalan vaxtda öz nəzarətində qalması üçün yalnız cari təhvil üçün lazım olan icazələri əldə etməlidir. Mövcud ticarət niyyətinə əsaslanan protokollar artıq bir hissə yolu araşdırmışdır, sənaye bunu tamamlamağa davam edə bilər.

İstifadəçinin razılığı açıq təhvil şərtlərini əhatə etməlidir, nəyin ödəniləcəyi, ən azı nəyin alınacağı, nə vaxt etibarsız olacağı və icazə verilən xərclər. Ticarət xidməti pozulduqda, hücum edən şəxs xidmət göstərməyə mane ola bilər, lakin bu şərtləri istədiyi kimi dəyişdirə bilməz. Hələ də mərkəzləşdirilmiş idarəetməyə ehtiyacı olan bizneslər, ehtiyat və əməliyyat icazələrini ayırmalı, isti cüzdanların ifşasını və avtomatik doldurma limitlərini məhdudlaşdırmalıdır.

IBIT, iShares-in Bitcoin ticarətinə açıq məhsuludur, bazarda onun hissələri ticarət olunur. Onun tənzimlənməsi, hissələrin və əsas Bitcoin-in ayrı qeyd edildiyi bir lokal izolyasiya nümunəsi təqdim edir, Vault Balance (idarə olunan balans) ilə əlaqəli özəl açar soyuq saxlama yerindədir. Hissə ticarət qeydləri dəyişdikdə, əsas Bitcoin-in hər bir hərəkətini tələb etmir. Ticarət hüququ ilə ehtiyatın idarə edilməsi hüququnun ayrılması üçün nümunə götürülə bilər. Onun Trading Balance (ticarət xidməti balansı) fərqli tənzimləmələrə malikdir, idarəetmə özü də risklidir; soyuq saxlama müstəqil göstərişlər və imza təsdiqi ilə birləşməlidir.

Mən ticarət girişini router (yönləndirici) ilə müqayisə edirəm, bunun dəyişdirilə biləcəyini və bütün istifadəçi aktivlərinin ümumi açarını daşımadığını ümid edirəm. Hesablaşma, məlumat paketlərinin ötürülməsindən daha mürəkkəbdir, aktivlərin təhvil verilməsi və icazəsi hələ də müstəqil təsdiq edilməlidir. Xidmət mərkəzləşdirilmədikdən sonra, ona sonsuz çıxarış hüququ verilməsi, mərkəzləşdirilmiş riski yenidən gətirəcəkdir.

Beşinci: Qatmanlı arxitektura ilə nasazlıqları izolyasiya etmək, əvəz etmə qabiliyyətini qorumaq

Biz müstəqil inkişaf edə bilən kimlik və icazə interfeysləri, aktiv strategiyaları və hesablaşma təsdiq üsullarına ehtiyac duyuruq. Müxtəlif zəncirlər öz icra modellərini saxlaya bilər, aydın interfeyslərlə birləşə bilər. İstifadəçi interfeysi təhlükəsizlik təminatlarını və onların şərtlərini izah etməlidir, yalnız "çağırış uğurlu" deməməlidir.

İnternet təcrübəsi bu fikri dəstəkləyir. Mark Nottingham RFC 9518 "Mərkəzləşmə, Mərkəzləşməmə və İnternet Standartları" adlı əsərində mərkəzləşmənin kömək edə biləcəyi halları müzakirə edir, eyni zamanda onun gətirdiyi güc və riskləri də analiz edir. Bu, öyrənilməyə dəyər bir yanaşmadır: arxitekturanın hansı vəzifələrin mərkəzləşdirilə biləcəyini, nə dərəcədə mərkəzləşdiriləcəyini və bu gücün genişlənməsinin necə qarşısını alacağını cavablandırması.

Bir xidmət anomaliyaları mərkəzləşdirilmiş şəkildə tanıya bilər, eyni zamanda onun aktivlərə giriş icazələrini məhdudlaşdıra bilər; istifadəçi xidmətləri dəyişə bilməlidir, öz aktiv strategiyaları və təsdiq qeydlərini itirmədən.

Ən vacib qəbul sualı budur: biznes xidməti pozulduqda, hansı müstəqil qat onu rədd edə bilər? Əgər bütün qatlar bir idarəetmə açarını paylaşırsa, "qatmanlı" anlayışı yalnız yerləşdirmə sxemindəki qatmanlardır.

Bu məqsədi beş qatlı vəzifə kimi görmək olar: ticarət xidməti tələb təqdim edir, cüzdan istifadəçinin niyyətini ifadə edir, müstəqil strategiya aktivlərin idarə edilmə hüququnu məhdudlaşdırır, təsdiq komponentləri əməliyyat və sübutları yoxlayır, hesablaşma qatları məhdudiyyətləri icra edir və təsdiqlənə bilən qeydlər təqdim edir. Onlar müxtəlif komandalar tərəfindən həyata keçirilə bilər, eyni zamanda asılılıqları və itki şərtlərini ayrıca izah etməlidir.

Bu məqalədə irəlilədilən hədəf arxitektura. Hesablaşma qatları aktiv strategiyalarını icra etməlidir; cüzdandakı göstərişlər bu məhdudiyyəti əvəz edə bilməz. Gündəlik imzalar, qayda dəyişiklikləri və icazələrin bərpası izolyasiya edilməli və keçid testlərinə tabe olmalıdır.

Altıncı: İstifadəçilərin öz aktivlərini yüngül şəkildə təsdiqləyə bilməsi

Adi insanlar öz balanslarını və ödənişlərini təsdiqləmək üçün bütün zəncirin tarixini saxlamaq və icra etmək məcburiyyətində olmamalıdır; eyni zamanda, yalnız cüzdanın arxasında bir serverə inanmaqla kifayətlənməməlidir. Satoshi, ağ kağızın səkkizinci bölməsində SPV, yəni sadələşdirilmiş ödəniş təsdiqini təqdim etmişdir. Bitcoin-in BIP-157, istifadəçilərin yükləmə filtrləri, özlərinə aid blokları tapmağı davam etdirir; Ethereum da yüngül müştəri dizaynına malikdir. Buna görə də, problem heç kimin bunu düşünməməsi deyil, lakin biz hələ də istifadəçilərin gündəlik istifadə etdiyi cüzdanlara aydın təhlükəsizlik şərtləri ilə təsdiq qabiliyyətini daxil etməliyik.

Məsələn, hesab vəziyyətini sübut edən zəncir üçün balansı soruşduqda, server balansı və sübutu eyni zamanda qaytarmalıdır. Cüzdan əvvəlcə bu zəncirin qaydalarına uyğun olaraq qısa bir blok xülasəsini yoxlamalıdır, yəni blok başını, sonra bu balansın xülasədə vəd olunan məlumatlarla uyğun olub olmadığını yoxlamalıdır. Server cavab təqdim edir, cüzdan cavabı təsdiqləyə bilir. Bitcoin-in SPV, müvafiq əməliyyatların daxil edildiyi sübutu yoxlayır, bu balans sübutunu birbaşa köçürmək olmaz. Cüzdan, eyni zamanda, harada senkronizasiya olunduğunu, hansı məlumatların təsdiqləndiyini aydın şəkildə göstərməlidir; sübutun olmaması, məlumatın köhnəlməsi və ya mənbənin ziddiyyətli olduğu zaman, bu məlumatlara əsaslanan yüksək riskli əməliyyatları xəbərdar etməli və ya dayandırmalıdır, gizli şəkildə kor-koranə etibara geri dönməməlidir.

Yüngül təsdiq hələ də şərtlərə malikdir. Bir əməliyyatın blokda daxil edildiyini sübut etmək, özünün blokdakı bütün əməliyyatların qanuni olduğunu yoxlamaq demək deyil. Müxtəlif planlar, əksəriyyətin dürüst hesablama gücünə, ya da etibarlı bir ilkin qeydə, yəni yoxlama nöqtəsinə, etibar edə bilər; həmçinin serverlərin məlumatı gizlətməsini və ya istifadəçiləri köhnəlmiş zəncir qeydlərində izolyasiya etməsini qarşısını almaq lazımdır. Sorğunun özünün istifadəçinin maraqlandığı ünvanı ifşa edib-etmədiyini də həll etmək lazımdır. Tam düyün və blok yaradan eyni rol deyil, bu gün Ethereum-un blok yaradanları mədənçilər deyil, təsdiqçilərdir.

Daha vacib olanı, "zəncir üzərində bu əməliyyatın baş verdiyini sübut etmək" "bu, istifadəçinin istədiyi əməliyyatdır" demək deyil. Yüngül müştəri əvvəlki aktiv məhdudiyyətləri və imza yoxlamalarını əvəz edə bilmir. Bu, istifadəçilərin yoxlanılmayan bir cavaba daha az etibar etmələrini təmin edir, aktiv strategiyası isə bir etibarlı imzanın aktivləri sonsuz şəkildə idarə etməsinə icazə vermir. İki qatın bir yerdə inşası, təsdiq qabiliyyətini iştirakçılara yaymaqdır.

Yeddinci: Anomaliyanı tanıma və təhlükəsizlik təsdiqini ictimai əsas kimi qurmaq

Ticarətdən əvvəl, kimsə bu əməliyyatın aktiv strategiyasına uyğun olub-olmadığını, tarix davranışını birdən dəyişib-dəyişmədiyini yoxlamalıdır. Aydın anomaliyalar dayandırma və ya yüksəldilmiş yoxlama başlatmağa səbəb ola bilər; icazələrin genişləndirilməsi üçün başqa bir müstəqil yol tələb olunur. AI qərar verməyə cəlb oluna bilər, lakin sərt qaydaları keçmək üçün icazə almamalıdır.

Eyni zamanda, biz hücum halları, icazə testləri və təkrarlana bilən təsdiq alətləri ilə birgə işləməliyik. Paylaşılan standartlar, müstəqil həyata keçirilməsini və müstəqil təsdiqi qorumaq, ortaq nasazlıqları azaltmaq üçün vacibdir. Fondlar və ticarət mərkəzləri artıq təhlükəsizlik yatırımları etmişdir, məsələn, Ethereum Foundation-ın Trillion Dollar Security Initiative. Növbəti addım, yatırımların digər komandaların da istifadə edə biləcəyi və yoxlaya biləcəyi ictimai əsaslara çevrilib-çevrilmədiyini soruşmaqdır.

Bu yeddi iş tamamilə təhlükəsizliyi təmin etmir. Onlar təqdim etməlidir: nə zaman icazələr itirildikdə, aktivlərin maksimum nə qədər ifşa olunacağı, anomaliyanın nə qədər tez aşkar ediləcəyi, bərpa hələ kimə bağlıdır.

AI ilə Gücləndirilmiş Proqram Mühəndisliyi: Bizim Yeni Ümidimiz

Buraya qədər oxuyan bəziləri deyə bilər: istiqamət doğru görünür, amma sənaye bu qədər il irəliləyib, yenidən qurulması üçün nə qədər insan, nə qədər vaxt lazımdır? Bu, hələ də idealizm deyilmi?

Əgər hələ də keçmiş proqram istehsal üsullarına əsaslanaraq qiymətləndirilirsə, bu sual çox realdır. Lakin 2026-cı ilə qədər, mən düşünürəm ki, kodlama agentləri və AI ilə gücləndirilmiş proqram mühəndisliyi, bizim istifadə edə biləcəyimiz inşaat qabiliyyətini dəyişdirəcəkdir. Burada kodlama agentləri, inkişaf mühitində kod yazıb-oxuya, alətləri çağırıb, testləri icra edə bilən və geribildirimə əsaslanaraq işləməyə davam edən AI proqramlaşdırma köməkçiləridir. İnşaatçılar məqsəd qoyur, təhlükəsizlik sərhədlərini müəyyən edir, bu alətlərin köməyi ilə sistemi həyata keçirir və yoxlayır, nəticələrə görə məsuliyyət daşıyır.

Keçmişdə böyük komandaların təkrarlayıb həyata keçirdiyi, uyğunlaşdırdığı və saxladığı işləri, indi kiçik komandalar bu yeni mühəndislik üsulundan istifadə edərək sınaya bilərlər. Bir komanda bir qatın qorunmasını təmin edir, aydın interfeyslər ətrafında komponentləri təqdim edir, sonra digər komandalar yoxlayır və birləşdirir. İnsan arxitektura mühakiməsi, kodlama agentlərinin həyata keçirmə qabiliyyəti və müstəqil təhlükəsizlik təsdiqini bir araya gətirmək, mənim düşüncəmə görə ciddi şəkildə yenidən qiymətləndiriləcək inşaat yoludur.

Anthropic və PNNL-in tədqiqatı konkret bir nümunə təqdim edir: məhdudlaşdırılmış kritik infrastruktur simulyasiya mühitində, tədqiqatçılar hücumun yenidən qurulmasının mümkün olan bir neçə həftədən təxminən üç saata qədər qısaldığını bildirirlər. Bu, kiçik bir komandanın bütün sektoru təhlükəsiz şəkildə yenidən yazmağı bacardığını sübut etmir, lakin keçmişdə bahalı təsdiq və müdafiə işlərinin yeni maliyyət şərtləri ilə ortaya çıxa biləcəyini göstərir.

Bir təşkilat modeli, İctimai AI Fabrikası qurmaqdır. Sənaye mütəxəssisləri, alimlər və peşəkarlar tələbləri və qəbul standartlarını (spec) açıq şəkildə yazır, nələri qorumaq lazım olduğunu, hansı əməliyyatlara icazə verildiyini, hansı hüquqların itirildikdən sonra hələ də qorunmalı olduğunu izah edirlər, sonra bu tələbləri qəbul testlərinə çevirirlər. Qruplaşdırılmış kodlama agentləri əsas kodlaşdırma, test etmə və səhvləri tapma işlərini həyata keçirir; fərqli komandalar dizayn və nəticələri yoxlayır, insanlar isə qiymətləndirmə və qəbul məsuliyyətini daşıyır.

İştirakçılar fikirlər, maşınlar, hesablama gücü və model çağırış kvotaları, yəni AI tokenləri təqdim edə bilərlər. AI və bulud xidmətləri şirkətləri də model kvotaları, hesablama resursları və alətlərlə bu ictimai inşaatı dəstəkləyə bilərlər. Spec, prototip kodu, agent iş axınları, test mühiti və təsdiq nəticələri birgə saxlanılan əsaslara çevrilə bilər, beləliklə, növbəti komanda birbaşa davam edə bilər. Məqsəd, inkişaf qabiliyyətini təkrar istifadə oluna bilən ictimai bir infrastruktur halına gətirmək, müəyyən bir insanın vaxtına, müəyyən bir komandanın asılılığını azaltmaqdır.

Hücumçular da AI-dan istifadə edirlər, artıq müdafiəni keçmiş istehsal üsullarında saxlamaq üçün heç bir səbəbimiz yoxdur. Lakin kodun istehsalı sürətlidir, bu yalnız başlanğıcdır. Məhdudiyyətləri aydın yazmaq, testlərin təkrar-təkrar işləyə bilməsini təmin etmək, bir komponentin yoxlanılması və dəyişdirilməsi, AI-nın qabiliyyətini infrastrukturun inkişafına çevirmək üçün vacibdir.

Müstəqil inşaatçılar kodlama agentləri və AI alətləri ilə birgə işləyirlər. Kosmik emalatxana ictimai inşaatın metaforasıdır.

Xüsusilə bu çağırışı hələ də inşaat etməyə həvəsli olanlara göndərmək istəyirəm. Buradakı hacker, sistemin necə işlədiyini anlamağa, tapıntılarını paylaşmağa və başqalarının öz işlərini yoxlamasına hazır olanlardır. Bu cür ruh interneti irəlilətmişdir, bu gün də Crypto-nu irəlilətə bilər.

Bu sahədə ağıllı insanların çatışmadığına inanmıram, həmçinin Crypto və AI sahələrinin bu işi dəstəkləyəcək resursları tapa bilməyəcəyinə də inanmıram. Daha çətin olan, istedadları, maliyyəni və davamlı məsuliyyəti bir araya gətirməkdir. Fondlar və bacarıqlı şirkətlər, birbaşa gəlir gətirməyən, lakin hər kəsə fayda verən əsas işlərin uzunmüddətli xərclərini ödəməyə hazır olmalıdırlar.

Ümid edirəm ki, hamımız birgə qlobal paylaşımda olan bir kripto infrastrukturunu yarada bilərik. Müxtəlif şəbəkələr və komandalar birgə təhlükəsizlik məhdudiyyətləri altında əməkdaşlıq edə bilər, hər biri özünü həyata keçirə, bir-birini yoxlaya bilər, istifadəçilər isə seçə və köçürə bilərlər. Bu bir komponentdən başlaya bilər, lakin istiqamət kifayət qədər geniş olmalıdır ki, bütün sənaye birgə inşa edə bilsin. ArcBlock da daxil olmaqla iştirakçılar, təsdiqlənə bilən töhfələr təqdim etməlidirlər.

Bir infrastruktur qurmalıyıq: hətta bir yer artıq itirilibsə, aktivlərin hələ də sərhədləri var, digər sistemlər hələ də səhvləri rədd edə bilir, istifadəçilərin bərpa və ayrılma yolları var. "Ulduz müharibələri" adını götürərək, bu bizim A Yeni Ümidimizdir. Ümid, hərəkət etməyə hazır olan adi inşaatçılardan, həmçinin kodlama agentləri və yeni mühəndislik üsulları ilə daha çox inşaat işini həyata keçirməyə imkan verən bu andan gəlir.

İndi hərəkətə keçin

Ethereum, Solana, Bitcoin, XRP Ledger və digər layihələrin inşaatçılarına, Binance, Coinbase, Kraken və digər mübadilə mərkəzlərinə, həmçinin cüzdan, protokol, təhlükəsizlik araşdırmaları, AI və bulud xidmətləri komandalarına dəvət edirəm: müəyyən bir sahədən başlayaraq, digər komandaların da qəbul edə biləcəyi və yoxlaya biləcəyi təkmilləşdirmələr edin.

Adlar yalnız nümunə üçün verilmişdir, sıralama əhəmiyyət daşımır. Ölçü və texnologiya yolundan asılı olmayaraq, iştirak etməyə dəvət edirsiniz. Bu dəvət, bu məqalədə tənqid edilən texnologiya yolunun inşaatçılarını da əhatə edir; aktiv təhlükəsizliyini birgə yaxşılaşdırmaq, bizim öz ekosistemimizin sərhədlərini aşmağa dəyər.

Mən özüm iştirak etməyə, mövcud infrastrukturumuzu, proqram mühəndisliyi və AI əməkdaşlığı təcrübəmizi təqdim etməyə hazıram. Biz yalnız sənayedə kiçik bir komandayıq, edə biləcəyimiz məhduddur, ümid edirik ki, bir prototip və təkrar işlənə bilən testlərdən başlayacağıq.

Praktiki təcrübəsi olan insanlar, de-sensitizasiya edilmiş hücum ssenariləri təqdim edə bilərlər, cüzdan və protokol komandaları müdafiəni həyata keçirir, müstəqil tədqiqatçılar isə bunu aşmağa çalışırlar. Hər komanda öz gücünə uyğun bir hissəni öz üzərinə götürür, birgə planları yoxlayır, növbəti addımı müəyyən edir.

Mən bu məqalənin aktiv məhdudiyyətləri və bərpa tələblərini ilk açıq spec-ə çevirməkdə iştirak etməyə, həmçinin müvafiq texnologiya və mühəndislik təcrübəsini təqdim etməyə, bu pilot layihəyə yönəlmiş ictimai AI Fabrikasını qurmağa hazır olduğumu bildirirəm. İlk olaraq, çox konkret bir məsələ seçin: gündəlik ticarət açarları artıq itirilib, hücumçının cüzdanı bir dəfə boşaltmasına necə icazə verməmək olar? İcazə verilən itki sahəsini, qaydaları dəyişdirmək üçün hüquqları və bərpa şərtlərini qəbul testlərinə yazın, sonra inkişaf agentləri prototipi həyata keçirsin, digər agentlər və müstəqil tədqiqatçılar isə aşma yollarını axtarsın. Məlumat serverləri səhv balans, cihazın itirilməsi sonrası bərpa da tədricən testlərə əlavə edilə bilər. Prototip nəyi bacardı, harada uğursuz oldu, hansı asılılıqlar var, hamısı açıq şəkildə izah edilməlidir, sonra sübutlara əsaslanaraq növbəti addım müəyyən edilməlidir.

İştirak etməyə hazır olanlar, bu təşəbbüsü X-də açıq şəkildə paylaşmağa və ya istinad etməyə, @mave99a-ya yazmağa dəvət olunur, həll etmək istədikləri məsələləri, de-sensitizasiya edilmiş hücum nümunələrini və ya təqdim edə biləcəkləri resursları paylaşsınlar. Ümid edirəm ki, müzakirələr açıq şəkildə aparılacaq, daha çox inşaatçıların bunu görməsi və iştirak etməsi üçün.

Crypto artıq belə davam edə bilməz. Birlikdə işləməyə hazır olanlar, gəlin indi hərəkətə keçək, bir həyata keçirilə bilən və yoxlanıla bilən təkmilləşdirmədən başlayaraq.

1. Binance, ilkin elan rəsmi post və sonrakı araşdırma rəsmi yeniləməsi, 2026-10-30; TRM çoxzəncirli analizi. Bu məqalə 2026-10-30 tarixinə qədər təsdiqlənmişdir; araşdırma və geri qaytarma vəziyyəti dəyişə bilər. \↩\
2. Satoshi Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, 2008. \↩\
3. Uniswap, Unichain EVM Uyğunluğu. Birgə asılılıq risklərinin mərkəzləşməsi bu məqalənin müəllifinin qiymətləndirməsidir, bu sənədin nəticəsi deyil. \↩\
4. Vitalik Buterin, Sam Wilson, Ansgar Dietrichs, lightclient, EIP-7702: EOAlar üçün Kod Təyin Edilməsi, 2024-05-07 tarixində yaradılmışdır. \↩\
5. Minfeng Qi, Qin Wang, Ruiqiang Li, Tianqing Zhu, Shiping Chen, EIP-7702 Fırıldaqçılıq Hücumu, 2025-12-13, arXiv v1 ön çap; bu, Binance hadisəsinin qiymətləndirilməsi deyil. \↩\
6. Ethereum, Maksimal çıxarıla bilən dəyər (MEV), sıralama mexanizmi, fərqli növlər və mənfi təsirlər; "bu, bug düzəlişi kimi qəbul edilməlidir" müəllifin istifadəçilərə zərər verən davranışların mühəndislik iddiasıdır. \↩\
7. PHP rəsmi 2026 xəbərləri arxivi; CISA 2026-10-26 məlum olan istismar edilmiş zəiflik yeniləməsi, CVE-2026-109618, CVE-2026-109619. \↩\
8. Safe, Qoruyucular və Modullar, funksiyalar və icazə risklərinin izahı. \↩\
9. Apple, Apple istifadə edilmiş orijinal hissələr üçün təmir seçimlərini genişləndirəcək, 2024-04-11; cari hissə kilidi dəstəyi izahı. \↩\
10. Ledger, Ledger'in Hardware Implant Attack-a Cavabı, 2026-10, istehsalçının paylama mərhələsindəki hücuma dair izahı; Joe Grand, hardware implant reverse engineering. İstehsalçı tərəfindən təsdiqlənməmiş şəbəkə zərərlərinin qiymətləndirməsini nəticə kimi yazmamaq. \↩\
11. Coinkite, Cari COLDCARD Təhlükəsizlik Statusu, 2026-10-30 tarixində baxış, 2026-cı ilin 7-ci ayında baş vermiş hadisə və düzəliş qeydləri; yeniləmə və toxum köçürməsi iki fərqli əməliyyatdır. \↩\
12. ERC-4337: Alt Mempool İstifadə Edərək Hesab Abstraksiyası; Trezor, SLIP39 FAQs, limit bərpası, uyğunluq və əlavə parol riskləri. Mövcud mexanizm inşaatın əsasını təşkil edir, hər bir yerləşdirmənin etibarlı olduğu anlamına gəlmir. \↩\
13. BIP-174: Qismən İmzalanmış Bitcoin Əməliyyat Formatı, imzalanmamış əməliyyatların mübadilə formatı, çarpaz zəncir ümumi aktiv strategiyası standartı deyil. \↩\
14. W3C, Verifiable Credentials Overview v1.0, 2026-07-30 Qrup Qeydi; Ethereum gizlilik izahı. Ümumi texnologiyanın standart vəziyyəti müstəqildir. \↩\
15. CoW Protokol sənədi, əməliyyat niyyəti və həll mexanizmi; bu məqalə konkret yerləşdirməyə tam təhlükəsizlik dəstəyi vermir. \↩\
16. iShares, IBIT 2025 illik hesabatı, PDF 8-10-cu səhifələrdə mühafizə tənzimləmələri və 45-ci səhifədə risk izahı. \↩\
17. Mark Nottingham, RFC 9518: Mərkəzləşmə, Mərkəzləşməmə və İnternet Standartları, 2023-12, müstəqil təqdimat, izah edici RFC, standart yol tənzimləməsi deyil. \↩\
18. Bitcoin ağ kitabının 8-ci bölməsi Sadələşdirilmiş Ödəniş Təsdiqi; BIP-157: Müştəri Tərəfi Blok Filtrlənməsi; Ethereum, Yüngül müştərilər. Fərqli yüngül müştərilərin təsdiq sahəsi və etibar şərtləri fərqlidir. \↩\
19. Ethereum Foundation, Trilyon Dollar Təhlükəsizlik Təşəbbüsünü Elan Edir, 2025-05-14. \↩\
20. Anthropic, Kritis İnfrastrukturun Müdafiəsi üçün AI, 2026-01-08, PNNL ilə əməkdaşlıqda məhdud mühit tədqiqatı. \↩\
21. Anthropic, AI ilə mümkün kiber təhdidlərin xəritələnməsi, faktiki sui-istifadə nümunələri tədqiqatı. \↩\
22. Lucasfilm, Ulduz Döyüşləri: Yeni Ümid (Fəsil IV), 1977; bu məqalə əsər adını və birgə özünü xilas etmə təsvirini istifadə edir. \↩\