WalletConnect, 2018'de Pedro Gomes tarafından tek bir problemi çözmek amacıyla geliştirilen açık kaynak bir bağlantı protokolüdür: mobil cüzdandaki özel anahtar hiçbir zaman tarayıcıya girmeden, bir dApp'e nasıl bağlanılır? Bugün ağ, 700'den fazla cüzdan ve 70.000'i aşkın uygulamayla 300 milyonun üzerinde bağlantıya aracılık etmiştir; bu rakamı bizzat WalletConnect Network dokümantasyonu doğrular. Protokolün temel ilkesi değişmeden durmaktadır: özel anahtarınız yalnızca cüzdanınızda kalır, dApp yalnızca imzanızı alır.
WalletConnect tam olarak ne yapar ve neden gereklidir?
Bir tarayıcı tabanlı dApp'e bağlanmak istediğinizde iki temel seçenek vardır: özel anahtarınızı tarayıcı uzantısına teslim edersiniz ya da güvenli bir köprü protokolü kullanırsınız. WalletConnect ikinci seçeneği standart hale getirir. Protokol, cüzdan ile dApp arasında uçtan uca şifreli bir mesajlaşma kanalı açar; bu kanal, özel anahtarınıza hiçbir zaman dokunmaz.
Tarayıcı tabanlı cüzdan uzantıları, kötü amaçlı eklentiler veya sahte web siteleri tarafından ele geçirilmeye karşı savunmasızdır. Mobil cüzdan uygulamaları ise işletim sisteminin korumalı alanı (sandbox) içinde çalışır ve bu saldırı vektörünü büyük ölçüde kapatır. WalletConnect bu güvenlik avantajını masaüstü dApp deneyimiyle birleştirir.
Protokol ayrıca zincirden bağımsızdır: Ethereum ve tüm EVM uyumlu L2'ler (Arbitrum, Optimism, Base, Polygon, BNB Chain), Solana, Cosmos, Polkadot ve Bitcoin ekosistemi dahil olmak üzere geniş bir ağ yelpazesinde çalışır. Bunu mümkün kılan teknik standart, Chain Agnostic Improvement Proposals (CAIPs) adıyla bilinen zincirden bağımsız adres formatıdır. Yeni bir zincir CAIP standardını benimsediği anda WalletConnect uyumluluğu teknik olarak açılır.
WalletConnect protokolü teknik düzeyde nasıl çalışır?
WalletConnect v2'nin mimarisi üç katmandan oluşur: Relay hizmeti, uçtan uca şifreleme ve eşleştirme (pairing) mantığı.
QR kodu veya derin bağlantı (deep link) tarandığında, cüzdan ile dApp şu sırayla ilerler:
Eşleştirme başlatma
dApp, bir pairing topic (tanımlayıcı) ve simetrik bir şifreleme anahtarı içeren URI üretir. Bu URI, QR koduna ya da derin bağlantıya dönüştürülür.
Şifreli kanal kurma
Cüzdan URI'yi tarar; ardından X25519 eğrisi üzerinden Diffie-Hellman algoritmasıyla paylaşılan bir oturum anahtarı türetilir. Tüm sonraki mesajlar AES-256-GCM ile şifrelenir. Bu şema v1'deki daha zayıf anahtar değişim yöntemini doğrudan ele alır.
Relay üzerinden yönlendirme
Şifreli mesajlar, WebSocket bağlantısıyla Relay servisine iletilir. Relay servisi mesaj içeriklerini göremez; yalnızca şifreli paketleri iletir. WalletConnect Network dokümantasyonuna göre Relay, kullanıcıların cüzdan adresleri, işlem hash'leri veya KYC bilgilerinden tamamen habersizdir.
Oturum onayı
Cüzdan bağlantı talebini inceler ve kullanıcı onaylarsa oturum aktif hale gelir. dApp artık imzalı işlem talepleri gönderebilir; ancak bunların tamamı yine cüzdanda onaylanmak zorundadır.
V1'den en kritik fark şudur: v1'de tek bir zincir ve tek bir cüzdan bağlantısı destekleniyordu; v2 ise aynı oturumda birden fazla zincir ve hesap yönetimine olanak tanır. Ayrıca v2, Waku ağı tabanlı dağıtık relay altyapısına geçiş yaparak merkezi sunucu bağımlılığını azaltmayı hedefler.
Relay, şu an için kısmen izinli (permissioned) bir modelde çalışır. Reown tarafından yönetilen Gateway Nodes, 2024 başından bu yana üretim trafiğinin tamamını taşır. Ağın tamamen izinsiz (permissionless) modele geçişi ilerleyen aşamalarda planlanır.
WalletConnect ile dApp'e nasıl bağlanılır?
Uygulama adımları cüzdan ve platforma göre küçük farklılıklar gösterse de genel akış aynıdır.
Masaüstü dApp ve mobil cüzdan kombinasyonu: dApp'in bağlan menüsünden "WalletConnect" seçilir. Bir QR kodu belirir. Telefonunuzda güvenilir bir cüzdan uygulaması açılır, tarayıcı veya WalletConnect menüsünden QR tarama başlatılır.
Kod tarandıktan sonra cüzdanda bir onay penceresi açılır; dApp'in hangi işlemleri talep ettiği listelenir. Onayın ardından oturum aktif hale gelir ve tüm işlem talepleri cüzdanda onaylanır.
Mobil ve mobil kombinasyonu (aynı cihaz): QR kodu yerine derin bağlantı devreye girer. dApp, cüzdan uygulamasını doğrudan açan bir URI sunar ve aynı akış mobil ortamda tamamlanır. Kamerayı kullanmak yerine uygulama-içi yönlendirme gerçekleşir.
Bağlantıyı sonlandırmak için iki yol vardır: cüzdanın oturum yönetimi ekranından ilgili oturumu kapatmak ya da dApp arayüzünden bağlantıyı kesmek. Her işlem bitiminde aktif oturumları gözden geçirmek güvenli bir alışkanlıktır; dApp'in erişim ihtiyacı ortadan kalktıktan sonra açık oturum bırakmak gereksiz bir saldırı yüzeyi oluşturur.
Hangi cüzdanlar WalletConnect'i destekler?
WalletConnect, açık bir protokol standardı olduğu için entegrasyon serbesttir. 700'den fazla cüzdan protokolü uygulamıştır. Yaygın kullanılanlar arasında MetaMask Mobile, Trust Wallet, Coinbase Wallet, Ledger Live (donanım cüzdan desteğiyle), Exodus ve Argent X sayılabilir.
Donanım tarafında Ledger ve Ellipal, WalletConnect aracılığıyla yüzlerce dApp ile uyumlu hale gelmiştir; bu, soğuk cüzdanı aktif olarak DeFi protokollerinde kullanmak isteyenler için kritik bir özelliktir. İmza süreci yine fiziksel cihaz üzerinden geçer, yani özel anahtar ağa hiç çıkmaz.
Phantom gibi Solana ağına yönelik cüzdanlar da v2 standardını destekler. Phantom'ın Chrome uzantısını kurma adımlarına göz atarak Solana dApp'lerine nasıl bağlandığını anlayabilirsiniz.
WalletConnect protokolüyle uyumlu dApp sayısı 70.000'in üzerindedir. Uniswap, Aave, Curve, OpenSea ve yüzlerce başka DeFi ve NFT platformu bu standardı benimsemiştir. Bu geniş ekosistem, cüzdan seçiminden bağımsız olarak neredeyse her DeFi protokolüne erişim imkânı sunar.
Reown nedir — WalletConnect ile ilişkisi ne?
Eylül 2024'te WalletConnect Inc., Reown adıyla yeniden markalaştı. Bu isim değişikliği protokolü etkilemedi; WalletConnect protokolü varlığını sürdürmekte ve WalletConnect Foundation tarafından yönetilir. Reown ise geliştiricilere yönelik bir UX platformuna dönüştü.
Reown iki ana araç sunar: AppKit, dApp'lerin cüzdan bağlantısı, sosyal giriş ve zincir içi işlemleri (swap, on-ramp) tek bir entegrasyonla sunmasını sağlar. WalletKit ise cüzdan uygulamalarının 6.000'den fazla dApp ile uyumlu çalışmasına olanak tanır; App Verification ve Web3 Notifications gibi güvenlik özellikleri de bu katmanda yer alır.
Aynı dönemde WalletConnect Token (WCT) duyuruldu. Token, ağın merkeziyetsizleşme sürecinde yönetişim işlevi görecek şekilde tasarlanmıştır. Ağın merkeziyetsizleşme yol haritası devam eder; mevcut durumda relay altyapısı hâlâ büyük ölçüde Reown tarafından yönetilir.
WalletConnect kullanırken gerçek güvenlik riskleri nelerdir?
Protokolün teknik güvenliği sağlamdır; asıl tehdit sosyal mühendislik ve sahte dApp'lerden kaynaklanır.
Sahte uygulama saldırısı
2024 yılında Google Play Store'da "WalletConnect" adıyla yayımlanan bir uygulama, MS Drainer adlı bir cüzdan boşaltma yazılımı içeriyordu. Beş ay boyunca 10.000'den fazla kez indirildi ve 150'den fazla kullanıcıdan yaklaşık 70.000 dolar çaldı. Uygulama, gerçek WalletConnect protokolüyle hiçbir ilgisi olmayan bağımsız bir dolandırıcılık aracıydı. WalletConnect'in resmi bir mobil uygulaması yoktur; yalnızca bir protokoldür.
Kötü niyetli imza talepleri
SlowMist güvenlik ekibinin araştırmasına göre, bazı cüzdan uygulamaları WalletConnect bağlantısı kurulduktan sonra arayüz geçişlerinde imza pencerelerini otomatik olarak gösterebilir. Kötü niyetli dApp'ler bu davranışı sürekli imza talebi göndererek kötüye kullanabilir. MetaMask, v10.25.0 eklenti sürümünden itibaren eth_sign (kör imza) özelliğini varsayılan olarak devre dışı bırakmıştır.
Alan adı doğrulama açığı
WalletConnect, bağlantı kurulmadan önce dApp'in alan adını doğrulamaz. Bu nedenle sahte bir alan adından gelen QR kodu taranırsa oturum açılmaya başlar. WalletKit'in Verify API özelliği, bilinen kimlik avı alan adlarını otomatik olarak işaretleyebilir; bu özelliği destekleyen cüzdanlar daha koruyucudur.
Bu riskleri minimize etmek için temel kurallar şunlardır: yalnızca dApp'in resmi web sitesinden QR kod tarayın; beklenmedik imza taleplerini reddedin; kullandığınız uygulamayı sahte cüzdan uygulamalarına karşı korunma konusunda bilinçli şekilde seçin ve uygulama mağazasından değil doğrudan resmi siteden indirin.
MetaMask ile WalletConnect arasındaki fark nedir?
MetaMask bir cüzdandır; WalletConnect ise bir bağlantı protokolüdür. Karşılaştırma kavramsal olarak farklı katmanlara aitse de sık sorulan bir soru olduğu için yanıtlamak gerekir.
MetaMask masaüstünde tarayıcı uzantısı olarak çalışır ve pek çok dApp'e doğrudan enjeksiyon yöntemiyle bağlanır. Aynı MetaMask mobil uygulaması, WalletConnect protokolünü kullanarak QR kodu tarama yöntemiyle de dApp bağlantısı kurabilir. Yani MetaMask, WalletConnect'i destekleyen bir cüzdandır.
Fark en çok şu senaryolarda anlam kazanır: tarayıcı uzantısı olmayan bir ortamda ya da farklı bir cihazdan bağlanmak istediğinizde WalletConnect tek geçerli seçenek olabilir. MetaMask'a yeni bir ağ ekleme veya BNB Smart Chain entegrasyonu gibi işlemler sırasında, WalletConnect aracılığıyla mobil cüzdanınızı masaüstü arabirime bağlamak sıklıkla tercih edilir.
Sıkça Sorulan Sorular
WalletConnect ücretsiz mi?
Son kullanıcılar için tamamen ücretsizdir. Geliştiriciler ve kurumsal entegrasyonlar için Reown, belirli bir kullanım hacminin üzerinde ücretli planlar sunar.
WalletConnect bağlantısı ne kadar süre açık kalır?
Bir oturum, her iki tarafça da kapatılana ya da cüzdan veya dApp tarafından sonlandırılana kadar açık kalabilir. Bazı dApp'ler belirli bir hareketsizlik süresi sonunda oturumu otomatik sonlandırır; bu davranış dApp'e göre değişir. Kullanım sonunda cüzdanınızın oturum yönetimi ekranından aktif bağlantıları elle kapatmak en güvenli yaklaşımdır.
Sahte WalletConnect uygulaması var mı?
Evet. 2024 yılında Google Play'de gerçek WalletConnect protokolüyle ilgisi olmayan bir sahte uygulama 10.000'den fazla kez indirildi ve kullanıcılardan yaklaşık 70.000 dolar çaldı. WalletConnect'in resmi bir mobil uygulaması bulunmaz; protokol yalnızca destekleyen cüzdan uygulamaları üzerinden kullanılır.
WalletConnect hangi zincirleri destekler?
Protokol zincirden bağımsız tasarlanmıştır. Ethereum ve tüm EVM L2'ler (Arbitrum, Optimism, Base, Polygon, BNB Chain), Solana, Cosmos, Polkadot ve Bitcoin dahil olmak üzere geniş bir ekosistemde çalışır. Destek CAIP standartları üzerinden sağlandığından yeni zincirler görece hızla entegre edilebilir.
Özel anahtarım WalletConnect üzerinden paylaşılıyor mu?
Hayır. Bu protokolün temel güvenlik ilkesidir. Relay servisi dahil hiçbir üçüncü taraf özel anahtarınıza erişemez. dApp yalnızca imzanızı alır; imzalama işlemi cüzdan uygulaması içinde gerçekleşir.
WalletConnect ile donanım cüzdan kullanılabilir mi?
Evet. Ledger ve Ellipal gibi donanım cüzdanlar WalletConnect protokolünü destekler. Bu sayede soğuk depolamadaki varlıklarınızı DeFi protokollerine bağlayabilirsiniz; özel anahtar yine cihazda kalır ve tüm imzalar fiziksel donanım üzerinde onaylanır.
QR kodu yerine derin bağlantı ne zaman kullanılır?
Hem dApp hem de cüzdan aynı mobil cihazda açıksa kameranızla QR kodu taramak pratik değildir. Bu durumda dApp, cüzdan uygulamasını doğrudan açan bir URI (derin bağlantı) sunar. Tüm süreç cihaz içinde tamamlanır.
Kripto piyasaları çok hızlı değer kaybedebilir. Bu yazı yatırım tavsiyesi değildir; bu alandaki her şeyi kaybetmeyi göze alabileceğiniz parayla yapın.
WalletConnect'i kullanırken tek pratik kural şudur: imzaladığınız her şeyi okuyun. Protokol güvenli bir kanal kurar, ancak o kanaldan geçen talebi değerlendirmek kullanıcının sorumluluğundadır. Beklenmedik bir izin talebi ya da alışılmadık bir işlem miktarı gördüğünüzde reddedin. Cüzdanı kapatıp gerçek URL'yi doğrulamak saniyeler alır; cüzdanı boşaltan bir saldırıyı geri almak ise mümkün değildir.
Kaynaklar ve doğrulama
Bilgileri uygulamadan önce güncel ayrıntıları aşağıdaki birincil veya alan otoritesi kaynaklardan kontrol edin.
Tartışmaya Katılın