Google Cloud, eşik imzalama, işlem‑politikası uygulaması ve kurumsal yönetişim birleştiren özel önizleme Multi‑Party Computation (MPC) hizmetiyle kurumsal kripto custodia pazarına girdi. Google’ın teknik özetine göre çözüm, imza yetkisini bağımsız katılımcılar arasında bölerek tek bir cihazın tam özel anahtarı tutmasını engelliyor. Hizmet, Bitcoin ve Ethereum‑türü ağlar için secp256k1 imzalamasını desteklerken, Solana için Ed25519 desteği gelecekteki bir sürümde sunulacak. Duyuru, Fireblocks’un MPC kütüphanesindeki son güvenlik açığının anahtar‑yönetim sistemlerindeki kalan risklere dikkat çektiği bir dönemde geldi. CERT/CC, 26 Ekim’de Fireblocks’un mpc‑lib’inde bir hatayı ortaya koydu; bu hata, gerekli üst anahtar eksik olduğunda sıfır‑dolu bir tamponun kullanılmasına izin veriyordu. Sorun, saldırganın bir bozulmuş alt imzacı payı ve zincir kodu da varsa ata anahtar paylarını geri kazanmasını sağlayabilirdi, ancak harcanabilir bir özel anahtar ortaya çıkmadı. Danışma, o anda satıcı düzeltmesinin bulunmadığını ve kullanıcıların zincir kodlarını gizli tutmalarını, sertleştirilmiş türetmeye güvenmemelerini önerdi.

ETH / USD
Kaynak: CoinGecko. Fiyatlar gösterge niteliğindedir.

Google’ın MPC Tasarımı ve Kapsamı

Google belgeleri, anahtar paylarını ayrı donanım ortamlarında izole eden sertleştirilmiş eşik‑imzalama yaklaşımını tanımlıyor. Hizmet, politika kontrolleri ve kurumsal yönetişim kurallarını uygulayarak kuruluşların kimlerin işlem talep edebileceğini ve hangi koşullarda yetkilendirileceğini belirlemesine olanak tanıyor. Önizleme Bitcoin ve Ethereum ağlarına odaklansa da şirket, Solana desteğinin ardından geleceğini belirtti. Hizmetin 2027’nin başında ticari olarak sunulması bekleniyor ve büyük finans kurumları zaten özel önizlemeyi test ediyor.

Kurumsal Custodia İçin Sonuçlar

Fireblocks güvenlik açığı, MPC’nin tek başına tüm custodia risklerini ortadan kaldırmadığını gösteriyor. Dağıtılmış anahtar payları olsa bile türetme mantığı, erişim kontrolleri ve işlem‑onay mekanizmaları gibi uygulama detayları kritik olmaya devam ediyor. Google’ın MPC’sini benimseyen kurumlar, kurtarma prosedürlerini, katılımcı çalışma süresini ve politika yönetimini değerlendirmeli. Hizmet, bir anahtarın çalınması veya yetkisiz kullanımı, geçici imza yapılamama ve kalıcı anahtar kaybı durumlarını ele alıyor, ancak sağlam yönetişim ve operasyonel kontroller ihtiyacını ortadan kaldırmıyor.

İleride Neler İzlenmeli

Ana kilometre taşları arasında Google’ın MPC hizmetinin genel kullanıma açılması, düzenlenmiş custodianlarla gösterilen entegrasyonlar ve kamuya açıklanan güvenlik değerlendirmeleri yer alıyor. Gözlemciler, kurumların politika uygulaması ve kurtarma mekanizmalarını nasıl yapılandırdığını, eşik‑imzalama modelinin dayanıklılığını test edecek bir olayın ortaya çıkıp çıkmadığını izlemeli.