Blockchain bugün hemen her sektörde yaygın biçimde kullanılıyor ve bu sektörlerin tamamı blockchain’in merkeziyetsiz, şeffaf, güven gerektirmeyen (trustless), değiştirilemez ve tamamen dağıtık eşler arası mimarisinden yararlanıyor. Her blockchain projesi, vizyonuna ve önceliklerine göre üç temel unsur etrafında şekillenir: merkeziyetsizlik, güvenlik ve ölçeklenebilirlik.
Küresel ölçekte benimsenmeyi hedefleyen pek çok blockchain projesi, temel mimarisi aracılığıyla bu üç unsuru aynı anda ve ödün vermeden gerçekleştirmeye ve en üst düzeye çıkarmaya çalışır. Ancak üç unsur arasındaki etkileşim ve denge bunu zorlaştırır. Vitalik Buterin’in ortaya attığı blockchain üçlemi (trilemma) kavramı tam da bu soruna işaret eder: merkeziyetsizlik, ölçeklenebilirlik ve güvenlik unsurlarından ikisine öncelik verildiğinde, bedeli genellikle üçüncüsünden ödenir. Kavram, merkeziyetsiz, ölçeklenebilir ve güvenli bir blockchain kurmaya çalışırken çoğu zaman bazı ödünlerin kaçınılmaz olduğunu kabul eder.
Merkeziyetsizlik blockchain’in özü, güvenlik kilit bir özelliği, ölçeklenebilirlik ise en büyük zorluğudur. Güvenlik çoğu zaman ölçeklenebilirliğin ve merkeziyetsizliğin önünde bir engel oluşturur; buna karşılık ölçeklenebilirlik sağlamak için ağda yapılan her değişiklik de güvenlikten ödün verilmesine yol açma eğilimindedir.
Ölçeklenebilirlik ve yan zincir (side chain) ödünü
Ölçeklenebilirlik her blockchain projesinin önemli bir boyutudur; çünkü projenin kitlesel benimsenmeye ulaşmak için daha yüksek hacimde işlem kaldırabilme yeteneğini belirler. Bunun yolu da uzlaşma süresini kısaltarak saniyedeki işlem sayısını (TPS), yani sistemin verimini artırmaktan geçer.
Ölçeklenme fırsatı ve talebi, üçüncü taraf blockchain’leri yan zincirler, roll-up’lar ve kanallar gibi yenilikçi ölçeklendirme yöntemleri geliştirmeye yöneltti. Bu yöntemler çoğu blockchain projesini üçlemi ele almaya teşvik etse de merkeziyetsizlik ile güvenlik arasındaki denge çoğu durumda ihmal edilmiş görünüyor.
Sky Mavis’in geliştirdiği blockchain oyunu Axie Infinity için kullanılan, Ethereum’a bağlı bir yan zincir olan Ronin Network, ölçeklendirme yöntemleri entegre edilirken güvenlik ile merkeziyetsizliğin nasıl karşı karşıya geldiğinin bir örneği. Axie Infinity yalnızca bir üçlem örneği değil; geliştiricilerinin, yatırımcılarının ve kullanıcılarının öncelikleri ve eylemleri ile bu eylemlerin sonuçları ışığında sorumluluk ve güven algılarını incelemeye değer bir proje.
Arka plan
Axie Infinity, Sky Mavis tarafından geliştirilen blockchain tabanlı bir oyna-kazan oyunu; Ethereum tabanlı kripto para birimlerini kullanan oyun içi ekonomisiyle tanınıyor. Dünya genelindeki geniş yayılımı ve popülerliği sayesinde Axie Infinity, Şubat 2021’de muazzam bir kullanıcı akınıyla karşılaştı.
Ethereum’un ciddi ölçeklenebilirlik eksikleri ve Axie Infinity’nin artan popülerliği karşısında Sky Mavis, TPS’yi artırma ihtiyacı duydu ve Axie Infinity’yi ölçeklendirmek için gereken hızlı ve düşük maliyetli işlem hacmini sağlamak amacıyla Şubat 2021’de Ronin ağını Ethereum’a bağlı bir yan zincir olarak başlattı.
Ronin ağı, ana Ethereum ağından bağımsız çalışan ve kendi mutabakat mekanizmasına sahip bir yan zincir olarak geliştiriliyor. Ağ, Ronin’i Ethereum ana ağına bağlamak için Ethereum’a bağlı iki yönlü bir köprü (Ronin Bridge) kullanıyor; amaç kullanıcılar için işlem yükünü azaltmak, Axie Infinity işlemlerini yürütmek ve Axie Infinity oyuncularının dijital varlıklarının zincirler arasında taşınabilmesini sağlamak.
Ronin ağı, ağdaki işlemleri işlemek ve doğrulamak için güvenilir bir doğrulayıcı grubuna dayanan yetki kanıtı (proof-of-authority) mutabakat modelini benimsedi. Çoklu imza (multisig) sistemiyle birlikte, akıllı sözleşmede bir işlemin ya da değişikliğin uygulanması veya bir para yatırma ya da çekme işleminin tanınması için, bireylerin ya da kurumların kontrol edebildiği yetkili cüzdanlara sahip bu doğrulayıcıların çoğunluğunun işlemi imzalaması gerekiyor.
Hack
Ronin köprüsünde ne oldu?
29 Mart 2022’de Sky Mavis, Ronin köprüsünde bir güvenlik ihlali yaşandığını ve doğrulayıcı düğümlerin ele geçirildiğini duyurdu; bunun sonucunda 173.600 ETH ve 25,5 milyon $ değerinde USDC stablecoin (toplamda 625 milyon $’dan fazla) iki işlemle Ronin köprüsünden boşaltılmıştı. (1)
Resmî Topluluk Uyarısı’na göre kötü niyetli para çekme işlemleri, doğrulayıcıların (validator) özel anahtarlarının ele geçirilmesi ve bu anahtarlarla sahte çekim işlemleri oluşturulması sonucu gerçekleşti. Geliştiricilerin açıklamasına göre saldırı sırasında Ronin dokuz doğrulayıcı düğümden oluşuyordu ve bir yatırma ya da çekme işleminin gerçekleşmesi için bunlardan beşinin imzası gerekiyordu. Saldırgan, Sky Mavis’e ait dört doğrulayıcı düğümün kontrolünü ele geçirdi; beşinci imza içinse Axie Infinity projesini destekleyen topluluk odaklı bir organizasyon olan Axie DAO’nun işlettiği üçüncü taraf bir doğrulayıcıyı kullandı. Doğrulayıcı anahtarlarının çoğunluğunu elinde tutan saldırgan, Ronin Bridge sözleşmesinin çoklu imza (multisig) modeli sayesinde kripto paraları doğrudan sahte bir Ethereum cüzdanına çekmeyi başardı.
Resmî Topluluk Uyarısı, Sky Mavis doğrulayıcılarının nasıl ele geçirildiğine dair ayrıntı vermiyor; ancak saldırganın, Axie DAO’nun işlettiği üçüncü taraf doğrulayıcının kontrolünü, Sky Mavis ile Axie DAO arasında Kasım 2021’de yapılan bir anlaşma sayesinde elde ettiğini belirtiyor.
Yoğun ağ trafiği döneminde işlemleri ücretsiz hâle getirip kullanıcı maliyetlerini düşürmek amacıyla, geliştiricilerin iki ayrı zincir arasında sunucularla iletişim kurmasını sağlayan gas-free bir RPC düğümü kurulmuştu. Bunun için Axie DAO’nun Sky Mavis’i beyaz listeye (whitelist) alması, yani Sky Mavis doğrulayıcılarının kendi adına işlem imzalamasına izin vermesi gerekiyordu; böylece Sky Mavis işlemleri hızla onaylayarak kullanıcı ve ağ yükünü azaltabilecekti.
Anlaşma Aralık 2021’de sona erdirilmiş olsa da beyaz liste erişimi hiçbir zaman kaldırılmadı. Bu da Sky Mavis doğrulayıcılarını ele geçiren saldırganın, işlemleri onaylamak için gereken Axie DAO doğrulayıcı imzasını kullanabilmesine olanak tanıdı. (2)
Güven ve Sorumluluk
Güven gerektirmemesi beklenen bir ağda güven
Bu çerçevede Ronin ağına yapılan saldırı, güven gerektirmeyen (trustless) bir ağda güvenin yeri ve blockchain projelerinde sorumluluğun dağılımı hakkında temel soruları gündeme getirdi.
Güven, ele avuca sığmayan bir kavram; tanımı yüzyıllardır filozoflar arasında tartışılıyor. Ancak zaman içinde güvenin çökmesi, sorumluluğun doğduğu nokta hâline geldi. Kurumsal güven çöktükçe güven kavramı dağıtık güvene dönüşüyor: güç tek bir merkezden alınıyor ve sorumluluk çeşitli kaynaklara dağıtılıyor. Bir zamanlar yukarı doğru, otoritelere yönelen güven artık yatay akıyor; kimi zaman insanlara, kimi zaman programlara ve kodlara.
Blockchain güveni de bir dağıtık güven biçimi. İyi davranışı ödüllendirip kötü davranışı cezalandıran bilişsel risk değerlendirme süreçlerine dayanıyor. Blockchain’e duyulan güven, onun merkeziyetsiz, güven gerektirmeyen (trustless), şifreli (encrypted) ve algoritmik yapısından kaynaklanıyor. (3)
Sky Mavis ağı güven gerektirmeyen bir ortamdan uzaklaştırdıkça ağ, işleyebilmek için güvene muhtaç hâle geldi; Sky Mavis de öncelikleri ve sonraki eylemleriyle blockchain’e duyulan güveni sarstı:
Sky Mavis’in ölçeklenebilirlik sorununa getirdiği merkezi çapraz zincir köprü (cross-chain bridge) çözümü, projeyi Ethereum ana ağındaki güven gerektirmeyen ve merkeziyetsiz güvenlik mutabakatı yapısından uzaklaştırdı. Çoklu imza modelinde imzaların birden fazla ve birbirinden bağımsız kuruluş arasında paylaştırılması yaygın bir uygulama olmasına rağmen Sky Mavis, dokuz doğrulayıcı düğümün dördünü kendi merkezi sunucusunda tutmayı tercih etti. Ayrıca tüm ağın mutabakatı için küçük bir doğrulayıcı havuzu kullanmak ve işlemleri doğrulayan örnek sayısını azaltmak, merkeziyetsizlikten verilen bir ödündür; bu, ağın zorluk seviyesini düşürmeyi gerektirirken sistemin güvenliğini de zayıflatır.
Sky Mavis’in öncelikleri TPS’yi en üst düzeye çıkarma isteği etrafında toplanırken merkeziyetsizlik, güvenlik ve güven gerektirmeyen yapı ihmal edildi. Üçlem açısından bakıldığında Sky Mavis, ölçeklenebilirlik adına maliyet ve hız uğruna güvenlikten ve merkeziyetsizlikten vazgeçti.
Vitalik Buterin’in de eleştirdiği Sky Mavis’in öncelik ve tercihlerinin yanı sıra, çapraz zincir köprülerinin özellikle %51 saldırılarına karşı savunmasız olduğu ileri sürülüyor.
Bu nedenle çapraz zincir köprüsü kullanan projelerde; yan zincir inşası için olgun bir süreç, güncellemelerin doğrulanmasına yönelik çerçeveler, güvenlik denetimleri, kalite kontrolleri, temel metrikler için gösterge panelleri, beklenmeyen sapmalarda devreye giren tetikleyiciler ve akıllı sözleşme denetimleri gibi mekanizmalar, kullanıcıların, varlıklarının ve en önemlisi güvenlerinin korunması için vazgeçilmezdir. Oysa Sky Mavis’in güvenlik ihlalini altı gün boyunca fark etmemesi ve bunu ancak bir kullanıcının şikâyeti üzerine öğrenmesi, güvenlik önlemlerini yeterince izlemediğini ve sıkı biçimde uygulamadığını açıkça gösteriyor.
Son bir yılda toplamda 1,5 milyar doları aşan üç büyük yan zincir saldırısını yan zincir saldırılarına kapsamlı bakışımızda birlikte değerlendirdik.
Zararı kim üstleniyor?
Resmî Topluluk Uyarısı’na göre Sky Mavis sorumluluğu üstleniyor; bu, Ronin’in işleyişindeki ve yaşanan güvenlik ihlalindeki belirleyici rolünün zımni bir kabulü olarak okunabilir. Ağı güven gerektirmeyen yapıdan uzaklaştırmaları, ağı saldırılara açık hâle getirdi. Dolayısıyla güvenin çökmesini tetikleyen öncelik ve tercihler Sky Mavis’e ait olduğundan, sorumluluğun büyük bölümünün de Sky Mavis’te olduğunu savunmak için güçlü bir zemin var.
Çeşitli açılardan başarısız olmasına rağmen Sky Mavis, Binance liderliğindeki bir “kurtarma turunda”, diğer girişim sermayesi fonlarının yanı sıra Animoca Brands, a16z, Dialectic, Paradigm ve Accel gibi mevcut yatırımcılarının katılımıyla 150 milyon dolar topladı. (4) Bu da mevcut yatırımcıların söz konusu fonların geri ödenmesinden Sky Mavis ile birlikte sorumlu olup olmadığı sorusunu akla getiriyor. Sorumluluğu paylaşsınlar ya da paylaşmasınlar, yatırımcıların yatırım yapmadan önce daha iyi bir durum tespiti (due diligence) yapması gerektiği açık.
Kullanıcılar saldırının mağduru gibi görünse de sorumluluğun bir kısmı onlarda kalıyor. Özellikle Axie Infinity’nin bir gelir kaynağına dönüştüğü ülkelerde katılımcıların hızlı ve ucuz işlemlere odaklanması, ölçeklendirme yöntemleri nedeniyle tam olarak merkeziyetsiz olmayan ve güvenlik ihlallerine açık projelerin ortaya çıkmasına yol açıyor.
Ronin ağına yapılan saldırı güvenin neden ve nasıl çöktüğünü aydınlatıyor; ancak sorumluluğun ayrıştırılması ve dağılımı tartışmalı olmaya devam ediyor.
Sonuç
Olaydan geriye ne kalıyor?
Ronin ağına yapılan saldırı; merkeziyetsiz ölçeklendirmenin, katılımcıların güveni için güven gerektirmeyen bir ağ kurmanın ve dağıtık sorumluluğu güçlendirmenin önemini ortaya koyuyor. Ne var ki blockchain üçleminin üstesinden gelmeyi ne yazık ki başaramıyor.
- https://roninblockchain.substack.com/p/community-alert-ronin-validators?s=w
- https://roninblockchain.substack.com/p/community-alert-ronin-validators?s=w
- https://associazioneblockchain.it/doc/trusting-a-trustless-network-the-paradoxes-of-trust-in-blockchain-technology/
- https://www.coindesk.com/video/the-hash-on-cdtv-clips/sky-mavis-raises-150m-to-reimburse-axie-infinity-hack-victims/
Yazar
Daha fazla Vircon İçgörüleri
Çıktı Yanlış Olduğunda Kim Öder? Şirket, Tedarikçi ve Model Sağlayıcı Arasında Sorumluluk Dağılımı
8 Ekim 2026DORA, Bulut Yoğunlaşması ve Kuantum Sonrası Şifreleme: Türk Fintech'ler İçin Operasyonel Dayanıklılık Haritası (2026)
24 Ekim 2026Asgari Sermaye Süresi 31.12.2027'ye Uzatıldı: Startup Sermaye Artırımını Yatırım Turuyla Nasıl Birleştirir?
24 Ekim 2026Kılıç Kimin? Sanal Eşyalar, Kullanıcı İçeriği ve Modlar Türk Hukukunda
24 Ekim 2026Dijital Kimlik Cüzdanı, Biyometri ve e-KYC: Türk Fintech'ler Ne Bilmeli? (eIDAS 2, AMLR, TCMB, BDDK, MASAK)
23 Ekim 2026Türkiye'de Espor Oyuncu Sözleşmeleri: İşçi mi Sporcu mu, İş Kanunu İstisnası, İmaj Hakkı ve Kulüp–Oyuncu–Yayıncı Üçgeni
23 Ekim 2026İlgili Hizmet Alanlarımız
ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Oyun ve Espor Hukuku
Stüdyo yatırım turları, mülkiyet zinciri, yayıncı ve platform sözleşmeleri, espor.
Hizmet sayfası →Startup Hukuku
Kuruluş, kurucu sözleşmeleri, ESOP, term sheet ve regülasyon.
Hizmet sayfası →