İçindekiler
- Cüzdan aslında neyi saklar: özel anahtar, para değil
- Saklamalı vs öz-saklamalı: tek tabloda
- Kurtarma ifadesi ve özel anahtar nedir, neden asla verilmez
- MetaMask, Rabby aslında ne
- Yeni başlayanın ilk adımı: takılmadan ilerleyen bir yol
- Siteye bağlanma ve yetki (approve) gizli riski
- Yeni başlayanın sık düştüğü birkaç yanılgı
- Sık sorulan sorular
Cüzdan aslında neyi saklar: özel anahtar, para değil
«Kripto cüzdanı» lafını ilk duyan çoğu kişinin kafasında para dolu bir cüzdan canlanır. Aslında öyle değil. NFT'in ve ETH'in hep blok zincirinde durur, oradan hiç ayrılmaz; cüzdanda bunların aslı yoktur.
Cüzdanın gerçekten sakladığı şey matematiksel bir «anahtardır». Bu anahtar tüm ağa «bu adres benim, içindekini kullanma hakkım var» diyebilir. Yani varlık zincirde kayıtlıdır, onu kimin hareket ettirebileceğini, karşılık gelen özel anahtarı kimin elinde tuttuğu belirler.
Bir benzetme. Paran banka kartı denen o plastikte durmaz, bankanın hesabında kayıtlıdır; kart ve şifre yalnızca «bu hesap benim» demeni sağlar.
Blok zinciri, herkesin görebildiği ama kimsenin değiştiremediği o defterdir. Cüzdanın ise o kart artı o şifredir. Kart kaybolunca yenisi çıkarılabilir, şifre unutulunca sıfırlanabilir; çünkü banka senin için kefil oluyor. Zincirde böyle bir «banka müşteri hizmetleri» yoktur; anahtar kaybolunca kaybolmuştur.
Bunu kavradığında geri kalan her şey kolaylaşır. «Saklamalı» ile «öz-saklamalı» arasındaki tüm ayrım tek cümleye iner: bu özel anahtarı başkası mı senin yerine tutuyor, yoksa sen kendin mi tutuyorsun.
Saklamalı vs öz-saklamalı: tek tabloda
Bu iki cüzdan iyi-kötü meselesi değildir; farklı aşamalara, farklı ihtiyaçlara uyar. Önce farkı ortaya koyalım.
| Boyut | Saklamalı cüzdan (borsa, ör. Binance hesabı) | Öz-saklamalı cüzdan (MetaMask, Rabby vb.) |
|---|---|---|
| Özel anahtar kimde | Platform senin için tutar, özel anahtarı görmezsin | Tamamen sende, platform işin içinde değil |
| Şifre unutulursa kurtarılır mı | Evet, platformun kurtarma akışıyla | Hayır, yalnızca kurtarma ifadesiyle kendin kurtarırsın |
| Öğrenme zorluğu | Düşük, deneyim internet bankacılığı gibi | Orta, kurtarma ifadesini yazıp Gas'ı yönetmen gerek |
| NFT pazarına doğrudan bağlanır mı | Genelde merkeziyetsiz pazara doğrudan bağlanamaz | Bağlanır, OpenSea gibi pazarları gezmenin standardıdır |
| Başlıca risk | Platform işletme riski, hesap çalınması, çekim kısıtı | Kurtarma ifadesini kaybetme, hatalı yetki, kendi hatan |
| Kime uygun | Yeni başlayan, ağırlıkla alım satım yapan | Gerçekten NFT tutan, zincir üstü uygulamayla iş yapan |
Bu tabloyu görünce çoğu yeni başlayanın kafasında resim oturur: saklamalı cüzdan «korkulukları olan başlangıç köyü» gibidir; eşik düşük, hata toleransı yüksek, ama tam anlamıyla «varlığı kendin saklamış» olmazsın; öz-saklamalı cüzdan direksiyonu tamamen sana verir, özgürdür, ama bir terslik çıkınca kimse arkanda durmaz.
Uygulamada bu ikisi sık sık birlikte kullanılır. Önce borsada ETH al (bu kısım için önce ETH al yazısının tüm akışına bak), sonra onu kendi öz-saklamalı cüzdanına çekip pazarı gez, NFT al. Aşağıda bu yolu adım adım açacağım.
Kurtarma ifadesi ve özel anahtar nedir, neden asla verilmez
Bir öz-saklamalı cüzdan oluşturduğunda sana 12 ya da 24 İngilizce kelimeyi yazdırır; işte bu kurtarma ifadesidir (tohum cümlesi, kurtarma kelimeleri de denir). Özünde özel anahtarın insan eliyle yazılabilen başka bir biçimidir.
Önemli olan ağırlığını hatırlamaktır: kurtarma ifadesi cüzdanının en üst yetkisidir. Bu kelime dizisini ele geçiren, herhangi bir cihazda cüzdanını baştan «diriltebilir», içindeki NFT ve parayı tümüyle çekebilir. Zincir transferi bir kez gerçekleşince geri alınamaz, şikâyetle geri getirilemez, sana hesabı dondurabilecek bir müşteri hizmetleri de yoktur.
Bunlar demir kuraldır, istisnası yoktur
- Kurtarma ifadesini yalnızca kâğıda yaz, çevrimdışı sakla; ekran görüntüsü alma, fotoğraflama, galeriye ya da bulut nota koyma.
- «Resmî müşteri hizmetleri», «proje sahibi», «airdrop alma sayfası» dâhil herkes kurtarma ifadesini isterse, hepsi dolandırıcılıktır. Gerçek uygulamalar asla sormaz.
- Kurtarma ifadeni hiçbir siteye ya da açılır pencereye girme. Gerçek cüzdan kurtarması, cüzdan uygulamasında çevrimdışı içe aktarmayla yapılır, web üzerinden geçmez.
- Kurtarma ifadenin sızmış olabileceğinden şüphelenirsen hemen yeni bir cüzdan oluştur, varlığı oraya taşı, eskisini tamamen bırak.
Çoğu yeni başlayan tam burada takılır: resmî gibi görünen bir sayfaya kanıp kurtarma ifadesini bir kutuya yazar ve birkaç saniye sonra cüzdan boşalır. Unutma, dolandırıcının şifrene değil, yalnızca bu kelime dizisine ihtiyacı var.
MetaMask, Rabby aslında ne
«Bir öz-saklamalı cüzdan kur» dediğimizde kastedilen genelde MetaMask, Rabby gibi yazılımlardır. Bunlar tarayıcı eklentisi ya da telefon uygulamasıdır; özel anahtarı senin için üretip saklar, bakiyeyi gösterir, alım satım yaparken bir onay penceresi açıp seni imzalatır.
MetaMask
En bilinen ve en geniş uyumlu Ethereum tarafı cüzdandır; neredeyse tüm NFT pazaryerleri ve zincir üstü uygulamalar onu destekler. Yeni başlayanın ilk kuracağı şey olarak genelde yanlış olmaz. Resmî sitesi metamask.io; indirmeyi yalnızca resmî siteden ya da resmî uygulama mağazasından yap, taklit eklenti sık görülen bir tuzaktır.
Rabby
DeBank ekibinin yaptığı bir cüzdandır; yeni başlayana dost bir yanı şudur: sen imzalamadan önce «bu işlem varlığına ne yapacak» kısmını olabildiğince insanın anlayacağı dile çevirir, örneğin «bu yetki bir sözleşmenin senin belli bir token'ının tamamını kullanmasına izin verir» der. Zincir üstü riskleri bilmeyen biri için bu önceden uyarı oldukça işe yarar.
Hangisini kullanırsan mantık aynıdır: bunlar yalnızca özel anahtarın «kâhyasıdır», gerçek yetki yine o kurtarma ifadesindedir. Cüzdan yazılımını değiştirip kurtarma ifadesiyle içe aktar, varlık yine yerinde kalır; çünkü varlık baştan sona zincirdedir, yazılımda değil.
Yeni başlayanın ilk adımı: takılmadan ilerleyen bir yol
Tamamen sıfırdansan ve gerçekten ilk NFT'ni almak istiyorsan, aşağıdaki sıra tuzağa az düşmeni sağlar. Mantığı şu: önce korkuluklu bir ortamda alış, sonra adım adım varlığı kendi eline al.
- Önce borsada hesap aç, saklamalı cüzdanla alım satıma alış. Deneyim hisse senedi uygulamasına yakındır; önce «ETH al, bakiyeye bak» gibi temel hamleleri oturt. Bu adım henüz kurtarma ifadesini içermez, psikolojik yük azdır.
- Bir öz-saklamalı cüzdan kur (MetaMask ya da Rabby gibi), kurtarma ifadesini özenle yaz. Rahatsız edilmeyeceğin bir zaman bul, kalemle iki kez yazıp doğrula, çevrimdışı sakla. Bu adım tüm yolun en çok yavaşlaman gereken yeridir.
- Küçük bir tutarla bir kez çekim dene. Borsadan kendi cüzdanına ilk ETH çekiminde büyük bir tutar çekme. Önce azıcık çek, adresi doğrula, ulaştığını teyit et; tüm akış kafanda oturunca gerçekten kullanacağın tutarı çek.
- Öz-saklamalı cüzdanla pazara gidip NFT al. Bu adımda artık varlığını kendin kontrol edebiliyorsun, imza ve Gas'ın ne olduğunu da kabaca kavradın; OpenSea gibi pazarları gezmek artık seni telaşlandırmaz.
Transfer öncesi alıcı adresini harfi harfine bir kez kontrol etmek, edinilmesi değerli bir alışkanlıktır. Adres uzun ve karmaşık göründüğü için göz kolayca atlar; Ethereum adres doğrulama aracımızla önce biçimini doğrulayıp parayı var olmayan ya da hatalı bir adrese göndermekten kaçınabilirsin. Zincirde bir kez yanlış transfer ettin mi, o da geri getirilemez.
Aldıktan sonra NFT'yi güvenle nasıl saklayacağın ayrı bir konudur; NFT'yi güvenle sakla yazısıyla devam edebilirsin.
Siteye bağlanma ve yetki (approve) gizli riski
Öz-saklamalı cüzdanın olunca sık sık iki hamleyle karşılaşırsın: «cüzdanı bağla» ve «imzala». Bu iki adım yalnızca birkaç tıklama gibi görünür ama arkasında yeni başlayanın en kolay yandığı yer gizlidir.
«Cüzdanı bağla» kendi başına yalnızca sitenin adresini okumasını sağlar, görece güvenlidir. Asıl dikkat edilmesi gereken sonradan açılan yetkidir (approve). Yetki şu demektir: bir akıllı sözleşmenin gelecekte cüzdanındaki belli bir varlığı kullanmasına izin verirsin. Bu mekanizmanın kendisi normaldir; pazarda NFT satışa koymak için önce pazar sözleşmesine bu NFT'yi taşıma yetkisi vermen gerekir.
Sorun şu: kötü niyetli site, «tehlikeli bir yetkiyi» «ücretsiz alım», «bağlantı doğrulaması» gibi zararsız bir kılığa sokar. İmzaladığın an varlığı kullanma yetkisini teslim etmiş olursun. Dolandırıcı bu yetkiyle eşyayı çeker, tüm süreçte kurtarma ifadene gerek duymaz; «kurtarma ifademi vermedim ama yine çalındı» şaşkınlığının nedeni de budur.
- Bu siteye resmî kanaldan kendim mi girdim, yoksa biri bağlantı gönderip beni özelden acele mi ettirdi? İkincisine yüksek tedbir.
- Açılır pencere ne istiyor? Sadece giriş imzası mı, yoksa varlığı kullanacak bir yetki mi? Anlamadıysan önce imzalama.
- Verdiği yetki «bu tek NFT» için mi yoksa «sınırsız, tüm varlık» için mi? Sınırsız yetkiye ekstra temkinli ol.
Pratik bir alışkanlık, verdiğin eski yetkileri düzenli kontrol edip iptal etmektir; kullanıp bıraktığın birçok site geride yetki kaydı bırakır, biriktikçe risk olur. Nasıl iptal edileceğini ve oltalamayı nasıl tanıyacağını NFT dolandırıcılığı tanıma yazısı daha ayrıntılı anlatıyor.
Yeni başlayanın sık düştüğü birkaç yanılgı
Bu yanılgıları erkenden düzelt
- «Cüzdan kullanmak için içine para koymak gerekir», yanlış. Cüzdanın kendisi ücretsizdir, oluşturmak para tutmaz. Yalnızca gerçekten bir transfer ya da alım satım başlattığında ağın Gas ücretini ödersin.
- «Telefonu değiştirince cüzdan gider», yanlış. Varlık zincirdedir, telefonda değil. Kurtarma ifadesi durdukça cihaz değiştirip onunla içe aktarabilirsin; bu yüzden asıl can alıcı şey kurtarma ifadesidir.
- «Saklamalı cüzdan en güvenlidir, nasılsa platform arkamda», tam doğru değil. Platform senin için kurtarma ifadesini kaybetme riskini engeller ama platformun kendi işletme riskini, hesap çalınmasını, çekim kısıtını sen üstlenirsin. «Özel anahtar sende değilse para tam olarak senin değildir» sözünün bir haklılığı var.
- «Tek cüzdanı sonuna kadar kullanmak en kolayı», önerilmez. Daha sağlam yol bölmektir: günlük olarak çeşitli sitelere bağlanan cüzdanda yalnızca küçük tutar tut, gerçekten değerli NFT'leri siteye pek bağlanmayan bir «soğuk» cüzdana koy; sık işlem ile önemli varlığı ayır.
- «Cüzdan kurunca zincir üstünü öğrendim», acele etme. Cüzdan kurmak yalnızca başlangıçtır; imza, yetki, Gas, ağ seçimi gibi konuları yavaş yavaş öğrenmen gerek. Önce küçük tutar, önce deneme yanılma; baştan büyük tutarla işlem yapmaktan çok daha güvenlidir.
Sık sorulan sorular
Saklamalı mı öz-saklamalı cüzdan mı, yeni başlayan hangisiyle başlamalı?
Borsanın saklamalı cüzdanıyla başlamanı öneririm. Deneyimi internet bankacılığına yakındır, şifreni unutursan kurtarabilirsin, alım satıma alışmak için uygundur. Gerçekten NFT tutmaya ve zincir üstü uygulamalarla iş yapmaya hazır olunca MetaMask veya Rabby gibi bir öz-saklamalı cüzdan kur, varlığı kendi adına çek. İkisi çatışmaz, birlikte kullanılabilir.
Kurtarma ifadesi ve özel anahtar başkasına söylenebilir mi?
Kesinlikle hayır. Kurtarma ifadesi ve özel anahtar cüzdanının en üst yetkisidir; eline geçen herkes içindeki tüm varlığı çekebilir, üstelik zincir transferi geri alınamaz, şikâyetle de geri getirilemez. Kurtarma ifadeni girmeni isteyen her müşteri hizmetleri, airdrop ya da ödül sayfası dolandırıcılıktır. Gerçek uygulamalar bunu asla sormaz.
Siteye bağlandıktan sonra varlığım neden çalındı, oysa kurtarma ifademi vermedim?
Çoğu zaman kötü niyetli bir sitede bir yetki (approve ya da permit) imzaladığın içindir. Yetki, bir sözleşmenin cüzdanındaki belli bir varlığı kullanmasına izin vermek demektir. Dolandırıcı bu tek yetkiyle varlığı çeker, kurtarma ifadene gerek duymaz. Bu yüzden siteye bağlanmadan, imzaya tıklamadan önce açılır pencerenin ne istediğini iyi oku, yabancı sitelerde gelişigüzel imzalama.
Donanım (soğuk) cüzdan yeni başlayan için şart mı?
Şart değil ama değerli varlık tuttuğunda çok faydalıdır. Donanım cüzdanı özel anahtarı çevrimdışı bir cihazda tutar; bilgisayarın virüs kapsa bile anahtar internete çıkmaz. Yeni başlayan önce yazılım cüzdanıyla küçük tutarla pratik yapabilir; gerçekten değerli NFT tutmaya başlayınca bunları siteye pek bağlanmayan bir donanım cüzdanına taşımayı düşünmek mantıklıdır.
Kaynaklar
Bu yazıdaki kavram ve işlemleri aşağıdaki resmî ve yetkin sayfalardan kendin doğrulayabilirsin:
- ethereum.org/wallets, Ethereum'un cüzdan türleri, özel anahtar ve öz-saklamanın anlamı hakkındaki resmî açıklaması
- metamask.io, MetaMask resmî sitesi; doğru indirme kanalını ve temel tanıtımı teyit et
- support.metamask.io, MetaMask resmî destek belgeleri, kurtarma ifadesi ve güvenlik uyarıları
- Etherscan, Blok zinciri tarayıcısı; adres bakiyesi ve işlem kaydını kontrol et
- ethereum.org/security, Ethereum resmî güvenlik kılavuzu, yaygın dolandırıcılık ve önlemleri