Kripto Dolandırıcılıklarından Nasıl Kaçınılır ve Dijital Varlıkların Güvenilirliği Nasıl Doğrulanır?

Her boğa piyasası iki tür insanı kendine çeker. Bazıları ürün geliştirir. Diğerleri ise bu ürünler üzerinden kripto dolandırıcılığı yöntemleri oluşturur.

Yöntemler neredeyse her yıl değişiyor. Sahte ICO'ların yerini kimlik avı siteleri, kötü amaçlı cüzdan izinleri, sahte airdrop kampanyaları ve meşru platformlarla neredeyse aynı görünen kopya uygulamalar aldı. Teknoloji geliştikçe onu kötüye kullanmaya çalışan kişiler de yöntemlerini geliştiriyor.

Başarılı saldırıların çoğu blok zinciri güvenliğinin kırılmasını gerektirmez. Bunun yerine yanlış web sitesine cüzdan bağlamak, kötü amaçlı bir işlemi onaylamak, sahte teknik desteğe güvenmek veya en başından itibaren ortadan kaybolmak amacıyla oluşturulmuş bir projeye yatırım yapmak gibi sıradan hatalardan yararlanırlar.

Kripto dolandırıcılıklarından nasıl kaçınılacağını öğrenmek, bu yöntemlerin nasıl işlediğini anlamakla başlar. Mekanizmalar tanıdık hâle geldiğinde, yaygın kripto dolandırıcılığı girişimlerinin çoğu artık ikna edici görünmez.

Projeleri doğrulamak, blok zinciri verilerini incelemek ve olağan dışı derecede yüksek kazanç vaatlerini sorgulamak, genellikle çalınan varlıkları sonradan kurtarmaya çalışmaktan çok daha etkili bir koruma sağlar.

Yeni Token Sözleşmelerindeki Akıllı Sözleşme Güvenlik Açığı Göstergeleri

Bir token oluşturmak artık son derece kolay. Güvenilir bir proje oluşturmak ise tamamen farklı bir konu.

Profesyonel bir web sitesi, aktif bir Telegram topluluğu ve binlerce token sahibi birkaç gün içinde ortaya çıkabilir. Ancak bunların hiçbiri tokenı kontrol eden akıllı sözleşmenin güvenilirliği hakkında fazla bilgi vermez. Birçok kripto yatırım dolandırıcılığı tam da bu noktada kendini belli eder.

Çoğu yatırımcı, blok zinciri verilerini incelemekten çok sosyal medya paylaşımlarını okumaya zaman ayırır. Oysa blok zinciri genellikle daha güvenilir bilgiler sunar.

Yeni piyasaya sürülen bir tokenı satın almadan önce şu kontrolleri yapmak faydalıdır:

• Akıllı sözleşme denetimi: Bağımsız denetimler şeffaflığı artırır ancak yatırımcının kendi araştırmasının yerini almamalıdır.

• Doğrulanmamış kaynak kodu: Kaynak kodu incelenemeyen sözleşmelere daha dikkatli yaklaşılmalıdır çünkü çalışma biçimleri bağımsız olarak değerlendirilemez.

• Geliştirici cüzdanlarının takibi: Az sayıda cüzdanın kontrol ettiği büyük token miktarları, bu varlıkların beklenmedik şekilde piyasaya sürülmesi durumunda ciddi risk oluşturabilir.

• Token kilitleme takvimleri: Şeffaf hak ediş (vesting) programları, proje içindeki kişilerin tokenlarını hemen satma olasılığını azaltır ve yatırım öncesinde incelenmesi gereken en önemli rug pull göstergelerinden biridir.

• Blok zinciri gezgini üzerinden doğrulama: Cüzdan hareketleri, sahiplik değişiklikleri, ayrıcalıklı izinler ve token dağılımı, sorunlar geniş yatırımcı kitlesi tarafından fark edilmeden çok önce görülebilir.

Blok zinciri, tahmin yürütmeye çok az yer bırakır. Cüzdan hareketleri, sözleşme izinleri ve token dağılımı, projenin ana sayfasının ötesine bakmaya birkaç dakika ayıran herkes tarafından incelenebilir.

Merkeziyetsiz Borsalarda Likidite Kilidinin Doğrulanması

Likidite, yatırımcıların yeni bir token keşfettikten sonra ilk inceledikleri göstergelerden biridir. Güçlü bir likidite havuzu hemen güven oluşturur. İşlemler sorunsuz gerçekleşir, emirler aşırı fiyat kayması olmadan tamamlanır ve proje gerçekte olduğundan çok daha köklü görünebilir.

Likidite oluşturmak hiçbir zaman en zor kısım olmadı. Asıl önemli olan, bu likiditenin lansmandan sonra korunup korunmadığıdır. Tamamen geliştirici ekibin kontrolündeki bir işlem havuzu, oluşturulduğu kadar hızlı ortadan kaldırılabilir ve yatırımcılar satılması neredeyse imkânsız tokenlarla baş başa kalabilir.

Bu nedenle birkaç sorunun yanıtlanması gerekir:

1. Likidite gerçekten kilitlendi mi veya yakıldı mı? Likidite sağlayıcı tokenlarının uygun şekilde yakılması ya da güvenilir bir kilitleme hizmetinin kullanılması, geliştiricilerin fonları önceden haber vermeden çekmesini çok daha zor hâle getirir.

2. LP tokenlarının sahibi kim? Tek bir cüzdan likidite sağlayıcı tokenlarının neredeyse tamamını kontrol ediyorsa, bu cüzdan fiilen piyasanın kontrolünü elinde tutar.

3. Likidite doğal görünüyor mu? Sahte likidite oluşturma faaliyetleri genellikle belirgin izler bırakır: lansman öncesindeki ani artışlar, bağlantılı cüzdanlar arasındaki tekrarlanan transferler veya yalnızca pazarlama kampanyaları sırasında ortaya çıkan likidite.

4. Blok zinciri geçmişi ne gösteriyor? Blok zinciri gezgini üzerinden yapılacak hızlı bir kontrol, projenin web sitesinde yer almayan önceki likidite çekimlerini, sahiplik transferlerini veya diğer faaliyetleri ortaya çıkarabilir.

Likiditesi yüksek bir piyasa alıcıları çeker. Kilitlenmiş likidite ise yatırım yaptıktan sonra onları korumaya yardımcı olur. Bunlar birbirinden çok farklı iki kavramdır ve aralarındaki farkı göz ardı etmek, merkeziyetsiz piyasaların tarihinde birçok yatırımcıya pahalıya mal olmuştur.

Token Basma Fonksiyonlarının ve Gizli Honeypot Kodlarının Değerlendirilmesi

Her rug pull dolandırıcılığı likiditeyle başlamaz. Bazen tuzağın kendisi akıllı sözleşmedir.

Bir honeypot token, bu durumu çok iyi açıklar. Token satın alma işlemi sorunsuz gerçekleşir ancak satış işlemleri sözleşme tarafından engellenir veya ciddi şekilde kısıtlanır. Token sahipleri varlıklarını satmaya karar verene kadar her şey normal görünür.

Token basma (mint) fonksiyonları da aynı derecede dikkat gerektirir.

Yeni token oluşturulabilmesi tek başına şüpheli değildir. Ancak sınırsız token basma yetkileri, bu yetkileri kontrol eden kişilere büyük ölçüde güvenilmesini gerektirir. Tek bir cüzdan istediği zaman toplam arzı artırabiliyorsa, tokenın ekonomik yapısı değiştirilemez koddan ziyade kişilerin kararlarına bağlıdır.

Birçok kripto yatırım dolandırıcılığı tam olarak bundan yararlanır. Çoğu alıcı yatırım yapmadan önce sözleşme izinlerini veya yönetici yetkilerini incelemez. Bu gizli fonksiyonlar piyasayı etkilemeye başladığında ise sözleşme aslında en başından beri programlandığı şekilde çalışmaktadır.

Kurumsal İletişimi Taklit Eden Kimlik Avı Yöntemleri

Çoğu insan kimlik avı denildiğinde yazım hatalarıyla dolu, şüpheli bağlantılar içeren kötü hazırlanmış e-postaları düşünür. Bu tür saldırılar hâlâ mevcut olsa da kripto dünyasına aşina kişileri kandırmaları artık daha zordur.

Modern kripto kimlik avı dolandırıcılıkları ise oldukça farklı görünür.

Sahte cüzdan güncellemeleri, borsalardan geliyormuş gibi görünen güvenlik uyarıları, acil KYC doğrulama talepleri veya müşteri desteği tarafından gönderilmiş izlenimi veren mesajlar, kullanıcıları bağlantılara tıklamaya ikna edebilir. Bazen alan adı yalnızca tek bir karakterle farklılık gösterir. Bazı durumlarda ise saldırganlar sponsorlu reklamlar satın alarak sahte sitelerini gerçek platformların üzerinde gösterir.

Amaç neredeyse hiç değişmez. Her kimlik avı kampanyası, mağduru kendi isteğiyle belirli bir işlemi gerçekleştirmeye ikna etmeye çalışır.

Bu genellikle şu yöntemlerle yapılır:

• Özenle hazırlanmış kimlik avı bağlantıları üzerinden cüzdanın sahte bir web sitesine bağlanması.

• Sahte güvenlik uyarılarının ardından kurtarma ifadesinin girilmesi ve bunun sonucunda seed phrase bilgilerinin ele geçirilmesi.

• Cüzdan faaliyetlerini gizlice izleyen veya işlemleri farklı adreslere yönlendiren sahte tarayıcı uzantılarının yüklenmesi.

• Telegram, Discord veya sosyal medya üzerinden iletişime geçen talep edilmemiş teknik destek hesaplarına güvenilmesi ve ardından cüzdan sahipliğini “doğrulama” talebinin kabul edilmesi.

Bu saldırıları tehlikeli yapan unsur çoğu zaman teknik karmaşıklıkları değildir. İkna edici bir web sitesi oluşturmak, marka kimliğini kopyalamak veya benzer bir alan adı kaydetmek artık nispeten düşük maliyetlidir. Saldırının başarılı olup olmayacağını belirleyen asıl unsur ise mağdurun güvenini kazanmaktır.

Tanıdık bir logo, inandırıcı bir güvenlik bildirimi veya gerçek görünen bir destek hesabı, kullanıcının sonraki her adımın güvenli olduğuna inanması için yeterli olabilir. Kimliğe bürünme dolandırıcılığı tam da bu nedenle etkili olmaya devam eder: mağdur, bir saldırganla iletişim kurduğunu fark etmeden çok önce gerçek bir şirketle görüştüğüne inanır.

Güven Oluşturmaya Dayalı Pig Butchering Dolandırıcılıklarının İşleyişi

Tüm kripto dolandırıcılıkları arasında pig butchering olarak bilinen yöntem, muhtemelen teknik açıdan en basit ancak en etkili yöntemlerden biridir.

Bu dolandırıcılıkta acele ettirme, geri sayım veya hesabın on dakika içinde askıya alınacağına dair uyarılar bulunmaz. Tüm sistem sabır üzerine kuruludur. Kripto paralardan ilk kez söz edilmeden önce bazen haftalar geçer.

İnsanları hazırlıksız yakalayan da tam olarak bu sabırdır.

Çoğumuz tanımadığımız kişilerden gelen yatırım tekliflerine güvenmemeyi öğrendik. Ancak sıradan bir sohbetin finansal dolandırıcılığın parçasına dönüşmesini çok az kişi bekler. İş hakkında başlayan bir konuşma günlük sohbetlere dönüşür. Günlük sohbetler arkadaşlığa evrilir. Sonunda yatırım konusu, sanki tamamen doğal bir şekilde ortaya çıkmış gibi gündeme gelir.

Bu aşamada öneriyi sorgulamak rahatsız edici hissettirebilir çünkü öneri artık tanıdık gelen bir kişiden gelmektedir.

Yatırım süreci de dikkatle hazırlanır. Web sitesi profesyonel görünür, müşteri desteği dakikalar içinde yanıt verir, küçük tutarlı para çekme işlemleri gecikmeden gerçekleştirilir ve hesap bakiyesi sürekli büyür. Her şey, kullanıcı daha büyük bir miktar göndermeyi risk almak yerine zaten işe yarayan bir sürecin devamı olarak görmeye başlayana kadar şüpheleri tek tek ortadan kaldırmak üzere tasarlanmıştır.

Tuzak, yüksek tutarlı bir para çekme talebinde bulunulduğunda kapanır.

Birdenbire kurallar değişir. Transferin serbest bırakılması için vergi ödenmesi gerekir. Hesabın yükseltilmesi istenir. Ek doğrulama zorunlu hâle gelir. Likiditenin kilidinin açılması gerektiği söylenir.

Bu açıklamaların her biri tek başına inandırıcı görünebilir çünkü mağdur platformun gerçek olduğuna çoktan inanmıştır. Dolandırıcılar artık yabancı birinden para istememektedir. Yatırımın gerçek olduğuna inanan birinden para istemektedir.

Bu tür kripto yatırım dolandırıcılıklarını bu kadar tehlikeli yapan da budur. Blok zinciri teknolojisindeki bir açığı değil, insanların karşılarındaki kişinin kimliğini doğrulamadan önce oluşturabildiği güveni istismar ederler.

Kötü Amaçlı Merkeziyetsiz Uygulamalar ve Cüzdan İzinlerinin Kötüye Kullanılması

Cüzdan bağlamak artık neredeyse otomatik bir alışkanlık hâline geldi. Token takası yapmak, NFT oluşturmak, airdrop talep etmek veya yeni bir protokolü denemek… Bir süre sonra tanıdık cüzdan onay penceresi neredeyse dikkat bile çekmez. Birkaç tıklama, bir imza ve kullanıcı yaptığı işleme geri döner.

Saldırganların güvendiği alışkanlık da tam olarak budur.

Kötü amaçlı bir web sitesinin cüzdanı boşaltmak için her zaman özel anahtara veya seed phrase bilgilerine ihtiyacı yoktur. Bazen yalnızca izin alması yeterlidir.

Kullanıcı kötü amaçlı bir sözleşmeyi onayladığında, bu izin ilk etkileşim unutulduktan çok sonra bile aktif kalabilir. Günler, hatta haftalar sonra tokenlar kaybolmaya başlar ve kullanıcılar cüzdanlarının hacklendiğini düşünür.

Gerçekte ise blok zinciri daha önce verilmiş izinleri uygulamaktadır.

Aynı yaklaşım birçok kripto dolandırıcılığında görülür. Sahte bir airdrop kontrol aracı gereksiz erişim izinleri ister. Kopyalanmış bir DeFi platformu, gerçek uygulamanın asla talep etmeyeceği yetkiler talep eder. Sahte tarayıcı uzantıları bile kullanıcıları, tüm işlemlerin tamamen gerçek göründüğü sahte arayüzlere yönlendirebilir.

Riski önemli ölçüde azaltan bir alışkanlık vardır: Her cüzdan onayını tek seferlik bir işlem değil, devam eden bir erişim yetkisi olarak değerlendirmek.

Cüzdan izinlerini düzenli olarak gözden geçirmek ve gereksiz izinleri iptal etmek yalnızca birkaç dakika sürer. Ancak bu işlem, artık herhangi bir amaca hizmet etmeyen erişim yetkilerini ortadan kaldırır.

Uzun vadeli varlıklar için donanım cüzdanı kullanımıyla birleştirildiğinde, bu basit güvenlik rutini kötü amaçlı uygulamaların en yaygın saldırı yollarından birini kapatmaya yardımcı olur.

Üçüncü Taraf Platformları Doğrulamak İçin Yatırım Öncesi Kontrol Listesi

Çoğu insan ancak para kaybettikten sonra bir güvenlik rutini oluşturur.

Oysa çok daha iyi bir yaklaşım vardır: Cüzdanınızı bağlamadan önce platformu kontrol etmek için beş dakika ayırmak. Bu beş dakika, sonradan neredeyse hiçbir zaman boşa harcanmış gibi görünmez.

Hiçbir kontrol listesi tüm riskleri ortadan kaldıramaz. Ancak şaşırtıcı derecede çok sayıda kripto dolandırıcılığını, varlıklarınıza ulaşma fırsatı bulmadan önce tespit etmeye yardımcı olur.

Hızlı bir inceleme genellikle en önemli soruların yanıtlarını verir:

1. Alan adını dikkatlice doğrulayın. Birçok saldırı, gerçek web sitesi adresinden yalnızca tek bir karakterle ayrılan kopya sitelerle başlar. Tarayıcının verdiği güvenlik uyarıları göz ardı edilmemelidir.

2. Platformu kendi topluluğu dışındaki kaynaklardan araştırın. Bağımsız tartışmalar, geliştirici faaliyetleri, güvenlik raporları ve geçmiş olaylar, çoğu zaman tanıtım içeriklerinden çok daha fazla bilgi sunar.

3. İmzalamadan önce cüzdan taleplerini inceleyin. Güvenilir uygulamalar neden belirli izinlere ihtiyaç duyduklarını açıklar. Geniş kapsamlı token erişim izinleri veya beklenmedik işlem talepleri daha dikkatli değerlendirilmelidir.

4. Protokolü kimin kontrol ettiğini kontrol edin. Çoklu imza (multi-signature) cüzdanları, tek bir cüzdanın ele geçirilmesi sonucunda hazine fonlarının veya yönetim işlevlerinin kontrolünün kaybedilmesi riskini azaltır.

5. Uzun vadeli varlıklarınızı günlük işlemlerinizden ayırın. Yeni uygulamaları test etmek için ayrı bir cüzdan kullanmak, bir sorun yaşanması durumunda olası zararları sınırlar. Böylece özel anahtarların kontrolü tamamen sizde kalır.

Hiçbir yatırımcı her sözleşmeyi, her işlemi veya her web sitesini kusursuz şekilde kontrol edemez. Ancak tutarlılık, mükemmellikten çok daha önemlidir.

Başarılı saldırıların büyük bölümü, her şey yeterince tanıdık göründüğü için bir kişinin temel doğrulama adımlarından birini atlamasına dayanır.

Sıkça Sorulan Sorular (SSS)

Bir kripto borsası çalınan parayı iade edebilir mi?

Genellikle hayır. Blok zinciri işlemleri geri alınamaz. Ancak bazı borsalar, çalınan varlıklar platformdan çekilmeden önce durum bildirilirse bu varlıkları dondurabilir.

Bir kripto tokenının rug pull dolandırıcılığı olup olmadığını nasıl anlayabilirim?

Akıllı sözleşmeyi inceleyin, likidite kilitlerini doğrulayın, geliştirici cüzdanlarının hareketlerini kontrol edin ve kaynak kodunun doğrulanıp doğrulanmadığını araştırın. Yalnızca pazarlama faaliyetlerine güvenmeyin.

Cüzdanımı yeni bir DEX'e bağlamak güvenli mi?

Evet, ancak yalnızca web sitesini doğruladıktan ve talep edilen izinleri inceledikten sonra. İşlem tamamlandığında gereksiz cüzdan izinlerini iptal edin.

Birisi kripto cüzdanımın herkese açık adresini öğrenirse ne olur?

Tek başına hiçbir şey olmaz. Herkese açık adresler paylaşılmak üzere tasarlanmıştır. Özel anahtarınız veya kurtarma ifadeniz olmadan hiç kimse fonlarınıza erişemez.

Kurtarma ifadesi dolandırıcılıkları nasıl çalışır?

Saldırganlar, kurtarma ifadenizi isteyen sahte destek sohbetleri, web siteleri veya cüzdan uyarıları oluşturur. Kurtarma ifadenizi bu tür yerlere girmeniz, saldırganların cüzdanınızın tam kontrolünü ele geçirmesine olanak tanır.

Bir kripto varlık kurtarma şirketi paramı geri alabilir mi?

Bazı şirketler soruşturmalara yardımcı olabilir. Ancak garantili kurtarma vaatlerine son derece dikkatli yaklaşılmalıdır. Birçok kripto dolandırıcılığı sonrası varlık kurtarma hizmeti de aslında dolandırıcılıktır.