Blokzincir (Blockchain) Teknolojileri

External call (dış çağrı) yapılmadan önce akıllı sözleşme durum değişkenlerinin (state variables) güncellenmemesi ve kontrol mekanizmasının atlanması.

Statik kod analiz araçları (Slither, Mythril) kullanılarak fonksiyonların dış çağrı sıraları ve durum değişimleri taranır.

Eski Solidity sürümlerinde (0.8.0 öncesi) tamsayı sınırlarının aşılması durumunda otomatik kontrol mekanizmasının bulunmaması.

Akıllı sözleşme kaynak kodundaki matematiksel işlemler ve kullanılan Solidity compiler sürümü incelenir.

Kritik fonksiyonların başına `onlyOwner` veya uygun rol tabanlı yetkilendirme modifier'larının unutulması veya public bırakılması.

Sözleşme arayüzü (ABI) ve fonksiyon görünürlük etiketleri (public/external) manuel olarak ve denetim araçlarıyla incelenir.

Mempool içerisindeki bekleyen işlemlerin botlar tarafından görülerek daha yüksek gas ücretiyle aynı işlemin önce çalıştırılması.

Mempool logları ve işlem sıra numaraları (nonce) incelenerek benzer blok içindeki işlem öncelikleri analiz edilir.

Tek bir DEX havuzundaki anlık spot fiyatın oracle olarak kullanılması ve flash loan (anlık kredi) ile havuz fiyatının manipüle edilmesi.

Oracle kaynak kodları incelenir; fiyat beslemesinin merkezi bir kaynaktan mı yoksa TWAP (Zaman Ağırlıklı Ortalama Fiyat) mekanizmasından mı geldiği denetlenir.

ERC-20 transfer fonksiyonlarının dönüş değerlerinin (`bool`) sözleşme tarafından kontrol edilmemesi ve işlemin başarılı sanılması.

Token transfer işlemlerinin dönüş değerlerini işleyen mantıksal kontrollerin varlığı statik analizle taranır.

Kritik sözleşme mantığında `block.timestamp` değişkeninin net bir koşul veya rastgele sayı üretiminde kullanılması.

Zaman damgasına bağlı çalışan rastgele sayı üreticileri veya ödül dağıtım mekanizmaları incelenir.

Proxy mimarilerinde kullanılan `delegatecall` fonksiyonunun kontrolsüz adreslere veri yönlendirmesi veya yetkisiz upgrade.

Upgrade edilebilen (Upgradeable) akıllı sözleşme mimarileri ve initializer fonksiyon erişimleri incelenir.

Geleneksel HDD veya düşük hızlı SSD disklerin EVM state büyüklüğünü (state bloat) işleyememesi ve disk doluluğu.

Sunucu disk okuma/yazma hızları (IOPS) ve node loglarındaki senkronizasyon gecikmeleri izlenir.

Tek bir RPC sunucusunun yatay ölçeklenememesi, bağlantı havuzu (connection pool) sınırlarının aşılması ve DDOS korumasının yetersizliği.

RPC sunucu istek süreleri (latency) ve HTTP 429 (Too Many Requests) hata oranları izlenir.

Proof-of-Stake (PoS) ağlarında validator node'un çevrimdışı kalması veya aynı blok için çift imza (double signing) atması.

Validator performans izleme araçları ve ağ gezgini (explorer) üzerinden ceza logları kontrol edilir.

Gerekli p2p portlarının (örn. Ethereum için 30303) router veya güvenlik duvarı tarafından dışarı kapatılması.

Node dışarıdan erişilebilirlik port testleri (netcat / telnet) ile taranır.

İstemci (client) yazılımının (Geth, Erigon, Besu vb.) fork blok yüksekliğinden önce güncel sürüme yükseltilmemiş olması.

İstemci sürüm numaraları ağ duyuruları ve resmi release notları ile karşılaştırılır.

State değişkenlerinin optimize edilmeden saklanması, gereksiz büyük veri tiplerinin (`uint256` yerine küçük tip kullanılmaması) tercih edilmesi.

Hardhat veya Foundry gas reporter eklentileri ile fonksiyon bazlı gas maliyetleri analiz edilir.

Sonsuz veya sınırsız büyüyen dizilerin (`array.length`) döngüler içinde taranması sonucunda blok gas limitinin aşılması.

Döngülerin maksimum iterasyon sınırları ve test ağındaki gas tüketim limitleri test edilir.

Her fonksiyon çağrısında tüm durum verilerinin event olarak (`emit`) blokzincire yazılması.

Kontrat ABI ve event log parametreleri gas profil araçlarıyla taranır.

İşlemler gönderilirken dinamik gas tahmin algoritmasının kullanılmaması ve maxFeePerGas limitinin düşük kalması.

Mempool'daki bekleyen işlemlerin gas seviyeleri ve ağ ortalama gas fiyatı karşılaştırılır.

İmzalanan mesaj içerisine `chainId`, sözleşme adresi veya benzersiz bir `nonce` değerinin dahil edilmemesi.

EIP-712 standartlarına uygun yapılandırılmış veri imzalama mekanizmalarının varlığı incelenir.

`s` değerinin geçerli aralığın üst sınırında kabul edilmesi ve imza parametrelerinin manipüle edilmesi.

İmza doğrulama fonksiyonlarında `s` ve `v` parametre sınır denetimleri incelenir.

MetaMask veya WalletConnect sağlayıcılarının ağ değişikliklerinde (Chain change) event dinleyicilerinin doğru yönetilmemesi.

Tarayıcı konsolundaki provider hata logları ve ağ değiştirme simülasyonları test edilir.

Gnosis Safe gibi yapılandırmalarda M-of-N eşik değerinin yanlış belirlenmesi ve kurtarma (recovery) mekanizmasının kurulmaması.

Multi-sig cüzdan sahip adresleri ve eşik (threshold) oranları denetlenir.

Optimistic rollup'ların fraud-proof (hile kanıtı) süresinin prototip gereği sabit 7 gün sürmesi.

Köprü (Bridge) sözleşmelerindeki para çekme talep süreleri ve kullanıcı deneyimi akışları incelenir.

Matematiksel kanıtların (SNARK/STARK) hesaplanmasının yoğun GPU/CPU gücü gerektirmesi ve prover altyapısının optimize edilmemesi.

Prover sunucu kaynak kullanımı ve kanıt oluşturma süreleri (generation time) izlenir.

Merkeziyetsizleştirilmemiş tekil sequencer mimarilerinin çökmesi durumunda L2 ağının işlem onaylayamaması.

L2 ağ durum denetleyicisi ve sequencer erişim logları izlenir.

Akıllı sözleşme event yapısının değişmesi (schema update) veya subgraph manifest dosyasındaki başlangıç bloğunun yanlış ayarlanması.

Subgraph loglarındaki sync status ve indexing error (hatalı blok) bildirimleri kontrol edilir.

NFT görselleri ve JSON dosyalarının sadece lokal node'da tutulması ve pinleme hizmeti (Pinata, Infura IPFS vb.) kullanılmaması.

IPFS hash (CID) değerlerinin birden fazla pinleme servisi üzerinden erişilebilirliği test edilir.

Backend servisinin RPC bağlantısının koptuğu süre zarfında blokzincirde gerçekleşen event'leri taramaması (Polling/Websocket kopması).

Backend loglarındaki son işlenen blok yüksekliği (last processed block) ile zincir yüksekliği karşılaştırılır.

Ağ hashrate gücünün düşük olması ve kötü niyetli bir madencilik havuzunun ağın çoğunluk hash gücünü ele geçirmesi.

Ağ toplam hashrate dağılımı ve havuz oranları (mining pool distribution) analiz edilir.

Ağ gecikmelerinin artması veya validator'lar arası ağ bölümlenmesi (Network Partition) yaşanması.

Blok onay süreleri (Finality time) ve konsensüs katılım oranları (voting power) izlenir.

Zaman hesaplamalarında saniye/gün dönüşüm hatalarının yapılması veya cliff dönemi koşullarının kontrata yanlış kodlanması.

Vesting sözleşme testleri (Time-travel testleri Foundry/Hardhat ile) farklı zaman dilimlerinde simüle edilir.

DEX'lerde (Uniswap v2/v3 vb.) ilk token çifti eklenirken piyasa rayicinden bağımsız hatalı oran girilmesi.

Havuz ilk ekleme (initial liquidity) işlemleri ve mempool'daki bot etkileşimleri incelenir.

Teminat oranlarının piyasa dalgalanmalarını karşılayamaması ve basılan token arzının talepten bağımsız kontrolsüz artması.

Stablecoin rezerv oranları ve piyasa fiyatı (depeg oranları) oracle verileriyle izlenir.

Yatırımcı cüzdan adreslerinin illicit (yasadışı) fon kaynaklarıyla ilişkisinin zincir üzerinde taranmaması.

Cüzdan adresleri zincir üstü analitik araçları (Chainalysis, Elliptic) ile taranır.

Yatırımcı cüzdanlarına giren fonların geçmişinde kara para aklama bulaşıklığı bulunması ve kurumun yasal sorumluluk altında kalması.

Giriş ve çıkış yapan tüm varlıkların işlem geçmişi (Transaction graph) denetlenir.