WalletConnect Nedir ve SSP ile Nasıl Çalışır

Bir merkeziyetsiz borsayı, bir NFT pazarını ya da bir borç verme uygulamasını açıp da yanında QR code bulunan bir "Connect Wallet" düğmesi gördüyseniz, WalletConnect ile zaten tanıştınız demektir. Bu, kendi kendine saklamalı cüzdanları insanların gerçekten kullandığı uygulamalara bağlayan sessiz tesisattır. Bir SSP kullanıcısı için soru yalnızca "WalletConnect nedir" değil, "Onu kullandığımda güvenliğimin neyi değişir ve neyi aynı kalır?" sorusudur.

Kısa cevap: WalletConnect kapıdır. Anahtarlarınız ve SSP'nin 2-of-2 koruması tam olarak oldukları yerde kalır.

WalletConnect Aslında Nedir

WalletConnect, merkeziyetsiz bir uygulama (bir dApp) ile bir cüzdan arasında imza isteklerini taşımak için açık bir protokoldür. Bir saklayıcı değildir. Para tutmaz. Ne tohum cümlenizi ne de özel anahtarlarınızı görür. Bir cüzdan ve bir dApp WalletConnect üzerinden bağlandığında, iki uç nokta bir relay ağı aracılığıyla şifreli bir oturum kurar ve mesajlar bu oturum üzerinden gidip gelir. Relay yalnızca şifreli blokları görür; bunları yalnızca iki uç nokta okuyabilir.

Ekosistemin neredeyse her yerinde kullanılır ve cüzdan tarafındaki tek bir akış sizi yüzlerce uygulamada yeni bir akış öğrenmenize gerek kalmadan dolaştırır. Protokol docs.walletconnect.com adresinde açıkça belgelenmiştir ve ethereum.org/en/dapps adresinde WalletConnect uyumlu uygulamaların geniş bir kataloğunu bulabilirsiniz.

Temel Akış, Adım Adım

Bağlantı ritüeli, hangi dApp'i kullandığınızdan bağımsız olarak neredeyse her zaman aynıdır.

1. dApp bir "Connect Wallet" seçeneği gösterir ve bir QR code sunar veya — mobildeyseniz — bir derin bağlantı sunar.
2. SSP'yi açar, bir dApp'e bağlanmayı seçer ve QR code'u tararsınız (ya da bağlantıyı izlersiniz).
3. SSP, dApp'in ne istediğini size gösterir: bir oturum, adresiniz, bağlandığınız zincir.
4. Oturumu onaylarsınız. Artık SSP ile dApp arasında şifreli bir kanal açıktır.
5. dApp'te imza gerektiren bir işlem yaptığınızda — bir swap, bir token onayı, bir yatırma — dApp kanaldan bir imza isteği gönderir. SSP size tam olarak ne istendiğini gösterir.
6. Siz karar verirsiniz. Onaylarsanız imza süreci SSP'de yürütülür ve imzalanmış işlem dApp'e geri döner, dApp ise onu yayınlar.
7. İşiniz bittiğinde oturumu sonlandırırsınız.

Dikkat edilecek önemli şey: dApp asla özel anahtarlarınızı istemez. İmzalar ister. Her imza, cüzdanınızda verdiğiniz ayrı bir karardır.

İmza Modeli SSP'ye Nasıl Uyar

SSP, tabloyu çoğu cüzdanın yapamadığı bir biçimde tam burada değiştirir. Tipik bir tek imzalı cüzdanda her imza isteği, cüzdan arayüzünde tek bir onaydır — hızlı, ama aynı zamanda tek bir başarısızlık noktasıdır. O tek cihaz tehlikeye girerse veya düşmanca bir istekte "onayla"ya dokunursanız, imza gerçekleşir.

SSP bir 2-of-2 multisig cüzdandır. Anahtar 1, SSP Wallet tarayıcı uzantısında yaşar. Anahtar 2, telefonunuzda SSP Key mobil uygulamasında yaşar. Her işlem her seferinde iki anahtara da ihtiyaç duyar. Bu model WalletConnect kullandığınızda ortadan kalkmaz — ona uzanır.

Bir dApp WalletConnect üzerinden bir imza isteği gönderdiğinde:

• İstek önce bilgisayarınızdaki SSP Wallet uzantısına gelir.
• dApp'in size neyi imzalatmak istediğini incelersiniz — sözleşmeyi, miktarı, zinciri ve istediğinizde calldata'yı.
• Uzantı üzerinde onaylarsınız. Uzantı imzanın kendi payını üretir.
• İstek, ortak imza için telefonunuzdaki SSP Key'e iletilir. Aynı ayrıntıları orada da görürsünüz.
• Telefonunuzda onaylarsınız. SSP Key kendi payını üretir.
• İki pay tek bir geçerli imzada birleşir ve dApp'e döner.

UTXO zincirlerinde bu bir BIP-48 multisig imzası olarak gerçekleşir; EVM zincirlerinde (Ethereum, Polygon, Base, BNB Smart Chain, Avalanche) bir ERC-4337 smart account tarafından doğrulanan Schnorr ile birleştirilmiş 2-of-2 imzasıdır. Farklı kriptografi, aynı özellik: iki cihaz, iki onay, bir işlem. EVM tarafında daha derin bir okuma için SSP'nin account abstraction mimarisine ve temel kavram için 2-of-2 multisig'in ne olduğuna bakın.

Uzantıyı kandıran bir phishing dApp'i yine de telefonunuzu aşmak zorundadır. Bütün mesele budur.

Bilmeniz Gereken Güvenlik Sonuçları

WalletConnect güvenliğinizi zayıflatmaz; nelere dikkat etmeniz gerektiğini değiştirir. Aşağıdaki riskler WalletConnect'e özgü değildir ama bağlı bir dApp onlarla karşılaşmak için yaygın bir yerdir.

Phishing dApp'leri. Herkes popüler bir protokol gibi görünen bir web sitesi kurabilir ve sizden bağlanmanızı isteyebilir. Cüzdanın hangisinin gerçek olduğunu bilme yolu yoktur. Bağlanmadan önce her zaman doğru alan adında olduğunuzu doğrulayın. Kullandığınız uygulamaları yer imlerine ekleyin; bunlara arama reklamlarından veya sohbet bağlantılarından gitmeyin.

Kötü niyetli imza istekleri. Bir oturum açıldıktan sonra, bir dApp keyfi imzalar isteyebilir. Bir swap arayüzü, size bir yabancı sözleşmeye bir token bakiyesini boşaltma izni veren bir token onayı uzatabilir. SSP'nin size gösterdiğini okuyun. Bir imza isteği tanıdık gelmiyorsa — tanımadığınız bir sözleşme, sınırsız bir onay, size ait olmayan bir adrese transfer — reddedin. Telefonunuzdaki 2-of-2 incelemesi bunu yakalama ikinci şansınızdır.

Kör imzalama. Bazen imzalanan veriler şeffaf değildir — insan tarafından okunabilir alanlara çözülmeyen uzun bir hex dizesidir. Kör imza isteklerine şüpheyle yaklaşın. Size imzaladığınızın insan tarafından okunabilir niyetini gösteren uygulamaları tercih edin.

Bağlantı-uygulama karışıklığı. WalletConnect bir protokoldür. Pek çok cüzdan bunu uygular. "Use WalletConnect" diyen bir site belirli bir markaya dair güven sinyali değildir — bir tesisat standardıdır. "dApp WalletConnect kullanıyor" ifadesini "dApp güvenli" ile karıştırmayın.

Kapsamlı izinler. Bir oturum belirli zincirlere ve yöntemlere sınırlanabilir. SSP size oturum isteğini gösterdiğinde, neyin istendiğine bakın. Uygulamanın gerçekte ihtiyaç duyduğundan fazlasını isteyen bir oturumu reddetmenin zararı yoktur.

Eski oturumlar. Unuttuğunuz bir oturum hâlâ bir oturumdur. Bir dApp'in ön yüzü daha sonra tehlikeye girerse, etkin bir oturum bir tutamaçtır. İşiniz bittiğinde bağlantıyı kesmeyi alışkanlık edinin.

Bunu İşletmek için Somut Alışkanlıklar

Birkaç küçük disiplin WalletConnect kullanımınızı temiz tutar.

• dApp URL'sini doğrulayın bir bağlantı QR'ı taramadan önce. Sohbetlerden veya reklamlardan gelen bağlantılara tıklamak yerine alan adlarını yazın.
• Her imza isteğini okuyun. Hangi sözleşme çağrılıyor? Hangi zincirde? Hangi miktar? Sınırsız bir token onayı, sabit miktarlı bir onaydan farklı bir şeydir — ikisi de meşru olabilir ama hangisini imzaladığınızı bilmelisiniz.
• Telefon onayını ikinci bir bakış olarak kullanın. İstek bilgisayarda iyi görünüyor ama telefonda yanlış görünüyorsa, reddedin. İki cihaz, fark etmek için iki şans demektir.
• İşiniz bittiğinde oturumların bağlantısını kesin. SSP size oturum listesini sunar; ona açık kapılar listesi gibi davranın.
• Denetim geçmişi olan saygın uygulamaları tercih edin. Bir süredir var olan, denetim yayımlayan ve standart bir WalletConnect el sıkışmasının ötesinde giriş akışları talep etmeyen protokollere yönelin.
• Tohum cümlenizi her dApp akışından uzak tutun. Hiçbir meşru dApp asla tohum cümlenizi istemez. İmza istekleri dApp'lerin cüzdanınızla konuşma biçimidir; tohum isteyen her şey bir dolandırıcılıktır. Daha derin okuma için tohum cümlesi için en iyi uygulamalara bakın.
• Ethereum'da bağlanıyorsanız, gas, nonce ve sözleşme etkileşimleriyle ilgili aynı zincire özgü kurallar geçerlidir — SSP'de Ethereum zincir tarafındaki ayrıntıları kapsar.

Hepsini Birbirine Bağlamak

WalletConnect, SSP ile dApp ekosistemi arasındaki kapıdır. Şifrelidir, açık kaynaktır ve karşılaşacağınız çoğu cüzdan ve protokol tarafından kullanılır. Anahtarlarınızın nerede yaşadığını değiştirmez ve SSP'nin 2-of-2 modelini zayıflatmaz. Bir dApp'in istediği her işlem hâlâ hem tarayıcı uzantınızdan hem de telefonunuzdan geçmek zorundadır — bu, SSP'yi seçtiğinizde satın aldığınız güvenlik özelliğidir ve bağlandığınız her dApp'te sizinle birlikte yolculuk eder.

Anahtarlar sizinle kalır. Kapı yalnızca siz onun içinden geçerken açıktır.