Güvenlik araştırması

2026'dan bu yana Immunefi ve Cantina bug bounty programlarında bağımsız akıllı kontrat güvenlik araştırmacısı olarak çalışıyorum; odağım EVM protokolleri - perpetual, lending, restaking ve gerçek dünya varlıkları.

Araştırma hattı

Araştırma araçlarımı uçtan uca Python'da kendim yazdım: 216 programlık bir veritabanına dayanan Immunefi tarayıcısı; Slither, Mythril ve Semgrep ile statik analiz; geçmiş olaylar (Euler, Nomad, Wormhole) ve CTF arşivleriyle exploit örüntü eşleştirme; LLM üretimli analiz özetleri; otomatik Markdown ve Telegram raporlama. EVM'in yanında Solana, CosmWasm ve Move için ayrı analiz koşucuları var.

Metodoloji

• Canlı dağıtımlara karşı sabit bloklu Foundry fork proof-of-concept'leri - bulgular tahmin edilmez, gösterilir.
• Proxy storage slotlarından doğrudan okunan EIP-1967 canlı-kod / depo karşılaştırmaları. Bir hedefte bu yöntem, canlı kontratın herkese açık depodakinden daha eski ve yamalanmamış bir sürüm olduğunu kanıtladı.
• Derleyici hatası maruziyet kontrolleri, örn. Vyper reentrancy kilidi sürümleri.
• Zincir başına bilgi tabanı (Ethereum L1, Arbitrum, OP Stack/Base, zkSync Era, Solana, Cosmos/CosmWasm): hedef seçimini yönlendiren saldırı sınıfı, derleyici hatası ve ortam fizibilitesi kontrol listeleri.

Onaylanmış bulgular

• TipRun contract - onaylanmış kritik seviye (critical) bir bulgu.
• 0xMarkets - dört onaylanmış bulgu (High ve Medium seviye).

Sicil - dürüst haliyle

Şu ana kadar yaklaşık 90 protokol değerlendirmesi - Ostium, Polymarket, Morpho, Pendle, Renzo, Maple, Enzyme, Usual, GammaSwap ve diğerleri. Birçok hedefi düşük güvenli rapor yazmak yerine tam incelemeden sonra "gerçekten sağlam" olarak işaretledim - uzun bir gürültü listesi yerine kısa bir gerçek bulgu listesini tercih ederim.

Ostium incelemesi çalışma şeklimi iyi özetliyor: likidasyon bayrağının orta fiyatta kilitlenirken işlem değerinin etki-sonrası fiyatla yeniden hesaplandığı - kardeş otomasyon yolundan farklı olarak - bir aday likidasyon kontrolü baypası; canlı dağıtıma karşı Foundry fork proof-of-concept ile desteklendi.

Ajan güvenlik araçları

2026 hackathon işleri; hepsi AI ajanları ile zincir üstü risk kesişiminde:

• aegis402 (Casper Agentic Buildathon) - ödeme döngüsünün iki tarafını da uygulayan x402 çağrı-başı-ödemeli risk oracle'ı: HTTP 402 challenge'ını çözümleyip EIP-712 TransferWithAuthorization özetini secp256k1 Casper anahtarıyla imzalayan bir alıcı becerisi ve risk kararını döndürmeden önce zincir üstünde doğrulayıp mutabakat yapan bir satıcı oracle'ı. Odra/Rust CEP-18 kontratı testnet'te dağıtıldı ve doğrulandı; MCP ve LangChain üzerinden sunuluyor.
• guardskill (Pharos Agent Carnival) - kaynak kodu olmayan kontratları bytecode üzerinden analiz eden işlem-öncesi risk kapısı: PUSH verisini atlayan ve Solidity metadata kuyruğunu ayıklayan bir opcode yürüyücüsü, proxy deseni tespiti (EIP-1967, UUPS, beacon, EIP-1167) ve yükseltilebilirlik, owner-mint, durdurma/karaliste kontrolleri ile selfdestruct'ı işaretleyen salt-okunur ERC-20 sondaları. LangChain aracı, MCP sunucusu ve agent-kit aksiyonu olarak paketlendi.
• tradeguard (BNB Chain) - CoinMarketCap sponsorluğunda bir strateji becerisi ve zincir üstü risk kapısı: BSC RPC üzerinden bytecode analizi ve PancakeSwap likidite/vergi/honeypot kontrolleri, özel anahtarsız ve salt-okunur; kaybeden stratejileri kazananlarla birlikte yayınlayan şeffaf, sayısal backtest'lerle raporlandı.