Non-Custodial Web3 Wallets: Who Really Controls the Funds?

Disclaimer: This article is for educational purposes only. It is not financial, legal, or investment advice.

Geleneksel bir uygulamada erişim çoğu zaman e-posta, telefon numarası veya müşteri desteğiyle kurtarılabilir. Saklamasız Web3 cüzdanı farklı bir model kullanır: Kontrol, geçerli bir kriptografik imza oluşturabilme yeteneğine bağlıdır.

Özel anahtar yalnızca kullanıcıdaysa ilişkili blokzincir adresinden yapılacak işlemleri yalnızca o kullanıcı yetkilendirebilir. Cüzdan geliştiricisi, platform veya destek ekibi bu anahtarı bilmemeli ve "blokzincir parolasını sıfırlayamaz".

That is the core of a non-custodial, or self-custody, wallet: an intermediary does not hold the keys on the user’s behalf.

Temel çıkarımlar

Tokenler blokzincirde bulunur; cüzdan anahtarları yönetir ve ağ verilerini gösterir.

Özel anahtarla imza atabilen kişi adresi kontrol eder.

Kurtarma ifadesi genellikle kendisinden türetilen tüm hesapları geri yükler ve asla paylaşılmamalıdır.

Uygulama parolası genellikle tek bir cihazı korur; kurtarma ifadesinin yerini almaz.

Kendi kendine saklama doğrudan kontrol sağlar; ancak kimlik avını, kötü amaçlı yazılımları veya güvensiz imzaları önlemez.

Tokenler gerçekte nerede bulunur?

Kripto varlıklar telefonun, tarayıcı uzantısının veya donanım cihazının içinde saklanmaz. Blok zinciri ortak durumu, yani hangi varlıkların hangi adreslerle ilişkili olduğunu ve hangi işlemlerin gerçekleştiğini kaydeder.

Bir cüzdan genellikle şunları yapar:

anahtarları oluşturur veya anahtarlara bağlanır;
bakiyeleri ve geçmişi ağdan alır;
işlemleri hazırlar ve imzalar.

Bir cüzdan uygulamasını silmek, tokenleri blokzincirden silmez. Ancak anahtarları geçerli bir yöntemle kurtaramayan kullanıcı, bu tokenleri kontrol etme imkânını kalıcı olarak kaybedebilir.

Açık adres, özel anahtar ve kurtarma ifadesi

Bu terimler farklı amaçlara hizmet eder.

Public address

Göndericiyle paylaşılabilir ve blok gezginindeki açık kayıtları incelemek için kullanılabilir. Bir adresi bilmek, o adresten işlem yapma yetkisi vermez.

Özel anahtar

Bu gizli bilgi belirli bir hesap için işlemleri imzalar. Onu ele geçiren herkes söz konusu adres adına işlem yapabilir.

Kurtarma ifadesi

Gizli Kurtarma İfadesi olarak da adlandırılan kurtarma ifadesi, uyumlu bir cüzdanın ilgili anahtarları ve hesapları geri yükleyebildiği bir kelime dizisidir. Kurtarma tasarımları ürüne göre değiştiğinden kullanıcılar kendi cüzdanlarının resmî belgelerini izlemelidir.

One rule remains universal: never give a seed phrase or private key to support staff, a community administrator, a “verification” website, or someone promising to recover funds.

Transfer almak için yalnızca açık adres gerekir. Bir işlemi kontrol etmek için yalnızca adres veya işlem hash'i gerekir. Bu işlemlerin hiçbiri kurtarma ifadesi gerektirmez.

Parola ve kurtarma ifadesi arasındaki fark

Uygulama veya uzantı parolası genellikle tek bir cihazdaki yerel erişimi kilitler. Birinin o cihazı açmasına karşı koruma sağlayabilir; ancak blok zinciri adresinin evrensel erişim bilgisi değildir.

Bir saldırgan kurtarma ifadesini ele geçirirse yerel parolayı değiştirmek saldırganın erişimini ortadan kaldırmaz. Anahtarları başka bir uyumlu cüzdanda geri yükleyebilir.

Kullanıcı yerel parolayı unutur ancak doğru kurtarma ifadesini saklar ve kurtarma sürecini biliyorsa erişim genellikle geri yüklenebilir. Hem cüzdan erişimi hem de anahtar kurtarma yöntemi kaybedilirse destek ekibi eksik imzayı oluşturamaz.

Bazı modern cüzdanlar sosyal giriş, dağıtılmış kurtarma veya akıllı hesap mekanizmaları kullanır. Yedekleme modelleri klasik kurtarma ifadesinden farklı olabilir. Böyle bir cüzdanı kullanmadan önce şunları sorun:

Erişimi kim kurtarabilir?
Kaç faktör veya katılımcı gerekir?
Sağlayıcı bir işlemi tek başına imzalayabilir mi?
Haricî hesap engellenirse ne olur?
Kontrol dışa verilebilir veya aktarılabilir mi?

"Web3 cüzdanı" etiketi bu soruları yanıtlamaz.

Saklamalı ve saklamasız erişim

Question	Saklama hizmeti	Saklamasız cüzdan
Anahtarları kim tutar?	Hizmet sağlayıcı veya altyapısı	Kullanıcı veya kullanıcının seçtiği kendi kendine saklama düzeni
Zincir üstü işlemi kim imzalar?	Kullanıcı isteğini yerine getiren hizmet sağlayıcı	Kullanıcının cüzdanı
Erişim nasıl kurtarılır?	Genellikle hesap ve destek aracılığıyla	Kurtarma ifadesi, anahtarlar veya tanımlanmış bir kurtarma tasarımı aracılığıyla
Hizmet çekimleri sınırlandırabilir mi?	Evet, kendi sistemi içinde	Bir arayüz çalışmayabilir, ancak anahtarlar başka bir uyumlu arayüzde kullanılabilir
Temel risk	Hizmet sağlayıcı ihlali, arızası, kısıtlaması veya ödeme aczi	Anahtar kaybı veya ele geçirilmesi ve güvensiz imzalama

Bu karşılaştırma kontrol modellerini açıklar. Seçeneklerden birini evrensel olarak güvenli kılmaz; her biri risk ve sorumluluğu farklı bir noktaya yerleştirir.

"Fonlarımı kontrol ediyorum" gerçekte ne anlama gelir?

Özel anahtarın kontrolü imza yetkisi verir; ancak her token veya uygulama üzerinde sınırsız yetki anlamına gelmez.

Sonuçlar ayrıca şunlara bağlı olabilir:

token sözleşmesi kuralları;
ihraççının duraklatma, dondurma veya kara liste işlevleri;
daha önce verilmiş token izinleri;
yatırılan varlıkları tutan protokolün mantığı;
ağın kullanılabilirliği ve ücretleri;
akıllı sözleşme hataları;
arayüz, RPC sağlayıcısı veya hukuki kısıtlamalar.

Örneğin bir kullanıcı tokenleri bir akıllı sözleşmeye yatırabilir. Kullanıcı anahtarını kontrol etmeye devam eder; ancak çekim yalnızca sözleşmenin kuralları kapsamında mümkündür. Kendi kendine saklama, anahtarların bir aracı tarafından tutulmasını ortadan kaldırır; kodun kurallarını geçersiz kılmaz.

İşlem sırasında ne olur?

Cüzdan bakiyeyi ve güncel ücret parametrelerini alır.
Kullanıcı alıcıyı ve tutarı girer.
Uygulama hazırlanan işlemi gösterir.
Kullanıcı işlemi onaylar.
Özel anahtar, imzayı yerel olarak veya donanım imzalayıcıda oluşturur.
İmzalanan işlem ağa yayımlanır.
Ağ, imzayı ve yürütme kurallarını doğrular.

Doğru tasarlanmış bir cüzdan özel anahtarı blok zincirinde yayımlamaz. Anahtarın kendisini açıklamadan yetkiyi kanıtlayan bir imza yayınlar.

Kontrol ile güvenlik aynı şey değildir

Kendi kendine saklama, saklama hizmeti sağlayıcısına bağımlılığı azaltır; ancak sorumluluğu sahibine devreder.

Kimlik avı

Sahte bir site kullanıcıdan cüzdanını bağlamasını ve zararlı bir isteği imzalamasını ister. Bağlanmak ile imzalamak aynı şey değildir; ancak her imza isteği dikkatle incelenmelidir.

Kurtarma ifadesinin ele geçirilmesi

Kurtarma ifadesini başka biri görürse bu ifadeden türetilen tüm adresler ele geçirilmiş kabul edilmelidir. Uygulama parolasını değiştirmek yeterli değildir.

Zararlı izinler

Kullanıcı bir sözleşmeye token harcama izni verebilir. Risk; tokene, harcama yetkisi verilen adrese ve izin tutarına bağlıdır.

Adres değiştirme

Kötü amaçlı yazılım kopyalanan adresi değiştirebilir. İmzalamadan önce işlem ayrıntılarını güvenilir bir ekranda doğrulayın.

Kayıp yedek

Telefon bozulur, uygulama kaldırılır ve hiçbir kurtarma yöntemi bulunmazsa klasik kendi kendine saklama modelinde merkezi destek anahtarı yeniden oluşturamaz.

Temel kendi gözetimi güvenliği

Cüzdanları yalnızca resmî web sitesindeki bağlantılardan kurun; sponsorlu kopyalara ve sahte eklentilere karşı dikkatli olun.
Kurtarma verilerini cüzdanın resmî talimatlarına göre, tercihen çevrimdışı ve yetkisiz erişimden uzak biçimde yedekleyin.
Mesajla gelen bir bağlantı üzerinden asla kurtarma ifadesi girmeyin. Bu ifadeyi yalnızca doğrulanmış bir cüzdanda bilinçli bir kurtarma işlemi için kullanın.
Kurtarma ifadesinin ekran görüntüsünü almayın; e-posta veya mesajlaşma uygulamalarıyla göndermeyin.
İmzalamadan önce ağı, adresi, varlığı, tutarı, izinleri ve ücreti doğrulayın.
Yüksek tutarlar için donanım imzalayıcı kullanmayı değerlendirin; ancak kurtarma modelini ve tedarik zinciri risklerini anlayın.
Adresleri günlük dApp kullanımı ve uzun süreli saklama gibi amaçlara göre ayırın.
Önceki token izinlerini güvenilir bir blok gezgini veya resmî ağ aracıyla düzenli olarak inceleyin.
Yeni bir iş akışını önce küçük bir tutarla test edin.
Gizli bilgileri zamanından önce açığa çıkarmayan güvenli bir miras planı hazırlayın.

Bir sorun oluşursa

Uygulama parolası kayıp, ancak kurtarma ifadesi güvende

Kurtarma ifadesini rastgele bir web sitesine girmeyin. Cüzdanın resmî kurtarma talimatlarını bulun ve doğrulanmış bir uygulama kullanın.

Kurtarma ifadesi açığa çıkmış olabilir

İlgili tüm adresleri ele geçirilmiş kabul edin. Temiz bir cihazda yeni ve bağımsız bir cüzdan oluşturun; gas ve etkin izinleri hesaba katarak mümkün olan varlıkları yeni adreslere taşıyın. Eski parolayı değiştirmek yeterli değildir.

Şüpheli bir harcama izni imzalandı

İşlemi ve etkin harcama izinlerini bir blok gezgininde inceleyin. Bir izni iptal etmek de zincir üstü bir işlemdir ve gas gerektirir. Kurtarma ifadesi açığa çıktıysa yalnızca izinleri iptal etmek yeterli değildir.

Bir token yanlış adrese gönderildi

Blok zincirinde onaylanmış bir transferi geri alan bir düğme yoktur. Transferi yalnızca alıcı adresi kontrol eden kişi veya geçerli sözleşme mantığı geri gönderebilir. İşlemi geri çevireceğini söyleyen hiç kimseye kurtarma ifadenizi açıklamayın.

"Saklamasız" olduğu iddiası nasıl test edilir?

Sağlayıcıya şunları sorun:

Özel anahtarları kim oluşturur ve saklar?
Şirket benim onayım olmadan bir işlem imzalayabilir mi?
Şirketle iletişime geçmeden erişimi geri kazanabilir miyim?
Kontrolü uyumlu bir cüzdana aktarabilir veya dışa verebilir miyim?
Hizmet kapanırsa ne olur?

Yanıtlar yalnızca "merkeziyetsiz" veya "güvenli" ifadelerini tekrarlamamalı, mimariyi açıklamalıdır.

Sonuç

Gözetimsiz cüzdan, bir uygulamanın içindeki banka hesabı değildir. Kullanıcının anahtarları kontrol ettiği ve blok zinciri eylemlerini imzaladığı bir araçtır.

Direct control removes the need to trust an intermediary with key custody, but makes the user responsible for backups, signature review, and device security. The most useful habit is simple: a public address can be shared; a seed phrase and private key must never be shared.

Temel çıkarımlar