Son zamanlarda dijital varlık sektöründe güvenlik olayları ardı ardına gerçekleşti; birden fazla saldırı ve varlık çalınması, platform güvenliğini tekrar pazarın odak noktasına getirdi. Saldırı yöntemleri sürekli gelişirken, risk artık tek bir cüzdan veya teknik açığı sınırlamıyor ve hesap yetkileri, özel anahtar yönetimi, varlık aktarımı ile üçüncü taraf altyapı gibi birçok aşamayı kapsayabilir.
Kullanıcılar için daha gerçekçi soru, platformun olağan dışı durumlar gerçekleştikçe riskleri daha erken tespit edip engelleyebilir mi? Kritik işlemler için yeterli yetki ve denge mekanizmaları var mı? Varlıkların ABD hisse senetleri, RWA gibi farklı kategorilere genişlemesiyle güvenlik ve risk yönetimi sistemleri yeni iş sınırlarına uyum sağlayabilecek mi?
Bu bağlamda, küresel dijital finansal hizmetler platformu BIT (eski adıyla Matrixport), güven, uyumluluk, şeffaflık ve doğrulanabilirlik etrafında BIT'in mevcut risk yönetimi, güvenlik mimarisi, uyumluluk denetimi ve bağımsız doğrulama mekanizmalarını sistematik bir şekilde sunan BİT Güvenlik Beyanı V2.0'ı resmen duyurdu ve ABD hisse senedi, RWA ve varlık yönetimi gibi farklı iş senaryolarında düzenleyici, yönetim ve şeffaflık düzenlemelerini de kapsıyor.
Bir platformda yer alan varlıklar ve işler arttıkça, güvenlik ve güven nasıl eş zamanlı olarak genişler?
Risk gerçekleşmeden önce platform ne yapabilir?
Hiçbir platform, "güvenli" demekle tüm riskleri ortadan kaldıramaz. Kullanıcılar için daha önemli olan, risk ortaya çıkmadan önce koruma önlemlerinin olup olmadığı ve istisnai durumlar yaşandığında riskin zamanında tanımlanıp sınırlanıp sınırlanmadığıdır.
BIT, whitepaper'da risk yönetiminin sadece olay sonrası bir tedbir olmadığını, aksine işlem öncesi değerlendirme, işlem sırasında izleme ve işlem sonrası işleme süreçlerine kadar yayıldığını vurguluyor. Finansman ve teminat gibi spesifik iş senaryolarında bu mekanizma, due diligence, risk parametrelerinin belirlenmesi, gerçek zamanlı izleme, risk uyarıları ve ihlal ile tahliye gibi aşamalara uygulanmaktadır.
Bu mekanizmalar, kullanıcıların daha kolay algılayabileceği hesap ve varlık güvenliğine odaklanır. Örneğin, BIT, anormal oturum açma, anormal cihaz ve anormal çekim gibi yüksek riskli davranışları 24 saat boyunca dinamik olarak izler ve risk seviyesine göre uyarı tetikler, işlemi geciktirir veya insan tarafından denetim yapar. Güvenlik sisteminin yapması gereken sadece “olayların ne olduğunu事后 keşfetmek” değil, anormal durumlar sırasında riskleri mümkün olduğunca erken tanımlamak ve zamanında müdahale etmektir.
Sayısal varlık koruma düzeyinde, büyük ölçüde varlıklar soğuk cüzdanlarda saklanır; özel anahtarlar ise FIPS 140-3 Level 3 seviyesindeki donanım güvenlik modüllerinde (HSM) saklanır ve metin olarak erişilemez veya dışa aktarılamaz.
Ancak teknolojik araçlardan daha önemli soru şudur: İş ilerlemesi ile güvenlik gereklilikleri çatıştığında, “hayır” demeye kimin hakkı var?
Beyaz kitap, ürün çözümü, sistem mimarisi veya canlıya geçirme değişikliklerinde ciddi bir güvenlik riski varsa veya güvenlik temel standartları ile uyumluluk gereksinimlerine uygun değilse, BIT güvenlik ekibinin “tek oylu veto hakkı” olduğunu belirtir; varlık transferi, izin değişiklikleri ve işlem komutları gibi kritik işlemler için ise “dört göz ilkesi” uygulanır ve en az iki yetkili kişi ortak olarak katılır.
Bu mekanizmanın arkasındaki mantık, riskin "olmayacağını" vaat etmek değil, güvenliği riskten önce sağlamak—anormallikleri daha erken tanımlamak, kısıtlamaları daha erken kurmak ve tek bir hata tarafından oluşturulan etkileri mümkün olduğunca azaltmaktır.
Sayısal varlıklardan ABD hisse senedlerine kadar, güvenlik yeni iş sınırlarıyla nasıl uyum sağlar?
İşlemeler dijital varlıklardan ABD hisse senetlerine, RWA'ya ve varlık yönetimi alanlarına genişledikçe, "güvenlik" kavramı da değişiyor. Kullanıcılar artık hesapların güvenli olup olmadığını veya dijital varlıkların nasıl saklandığını değil, işlerin kim tarafından yürütüldüğünü, hangi düzenlemeler altında bulunduğunu ve varlıkların hangi aşamalardan geçtiğini merak ediyor.
Amerikan hisse senedi işleri örneği verildiğinde, BIT yeni beyaz kitapta ilgili işlerin düzenlemesi, hesapları, temizlenmesi ve varlık koruma düzenlemelerini daha da açıkladı. BIT menkul kıymet işleri, Matrix Gelephu Pte Ltd tarafından işletilmekte ve Grlephu Finansal Hizmetler Ofisi (GFSO) tarafından denetlenmektedir; ilgili işler, uygun düzenleyici ve lisans düzenlemeleri, müşteri varlığı koruma mekanizmaları ve lisanslı üçüncü taraf finansal kurumların katılımıyla, işlerin yürütülmesi için uygun uyumluluk ve altyapı desteğini sağlar.
Kullanıcı bir "alım" görüyor, ancak arka planda operasyon, düzenleyici süreçler, işlem yürütme, çarşılık ve varlık koruma gibi birçok süreç çalışıyor. Finansal platformlar için, iş sınırları ne kadar genişlerse, sadece yeni ürün giriş noktaları eklemek yerine, ilgili risk yönetimi ve uyumluluk mekanizmalarının da eş zamanlı olarak genişlemesi gerekiyor.
Aynı mantık, BIT'in diğer iş birliklerine de uzanmaktadır. Yeni versiyon beyaz kitap, Matrixport Asset Management (MAM) için düzenleyici ve yönetim bilgilerini daha da tamamlamakta ve BIT Grubu'nun Hong Kong, Bhutan, Singapur, İsviçre, İngiltere, ABD ve İngiliz Virgin Adaları gibi birçok yargı alanında uyumlu yapılandırmalarını sunmaktadır.
BIT, dijital varlıklardan geleneksel finansal varlıklara kadar, tek bir ürün için bir nokta güven mekanizması değil, iş sınırları genişledikçe genişleyen bir risk yönetimi ve güvence çerçevesi sunmaktadır.
Güvenliğin yanı sıra, neden “doğrulanabilir” olmalıdır?
Risk management, risk nasıl tanımlanır ve kontrol edilir sorununu çözer, ancak çeşitli varlıklar ve işlerde faaliyet gösteren bir finansal platform için kullanıcılara sadece “Bizim risk yönetimi sistemimiz var” demek yeterli değildir. Güvenlik, uyumluluk ve varlık düzenlemeleri yalnızca platform tarafından açıklanabiliyorsa, güven hâlâ “platformun ne dediğine inanmak” düzeyinde kalır.
Bu nedenle, BIT, güvenin daha spesifik sorulara ayrıştırılmasını sağlayacak şekilde, uyumluluk ve düzenleyici altyapı, bağımsız denetim ve onay mekanizmaları ile teknik ve operasyonel şeffaflığı temel güven sisteminin üç taşı olarak belirlemiştir: Platform kim tarafından denetlenmektedir? Varlıklar nasıl korunmaktadır? Riskler nasıl kontrol edilmektedir? Bu mekanizmalar bağımsız olarak doğrulanabilir mi?
Denetim ve onay düzeyinde, BIT, ISO yönetim sistemleri denetimi, SOC bağımsız onayı, yıllık finansal denetim ve iç denetim gibi mekanizmalar aracılığıyla, farklı varlıklar ve iş hatlarının uygulanabilirlik kapsamlarına göre çok katmanlı ve tamamlayıcı bir doğrulama sistemi oluşturarak tek bir denetim veya onay mekanizmasına aşırı bağımlılığı önler.
Şeffaflık, bilginin görülebilir olup olmadığını çözer; doğrulanabilirlik ise bu bilgilerin bağımsız olarak denetlenebilir olup olmadığını daha ileri düzeyde yanıtlar.
Endüstri tekrar "güvenlik" kelimesini tüm platformlar önüne koyduğunda, gerçekten önemli olan "biz güvenliyiz" demek değil, bu sözün ardında yatan mekanizmaları kullanıcıların görebilmesidir.
Güven, bir taahhüt veya bir denetimden değil, uzun vadeli ve sürekli bir kurumsal çalışma ile dışsal doğrulamadan gelir. Güvenlik sürekli bir işlem gerektirir, güven ise sürekli doğrulanmalıdır.
《BIT Güvenlik Beyanı V2.0》 tam metni: https://www.bit.com/whitepaper