Kriptoda Sosyal Mühendislik Saldırıları: Kendinizi Nasıl Korursunuz
Sosyal mühendislik, insanları güvenliklerini tehlikeye atacak eylemler yapmaya yönlendirme sanatıdır. Kripto parada sosyal mühendislik tüm teknik güvenlik önlemlerini devre dışı bırakır; en güçlü kriptografik anahtarlar, en güvenli donanım cüzdanları ve en sağlam borsa güvenliği bile, sahibi erişimi kandırılarak verirse işe yaramaz.
Sosyal mühendislik, yazılım açıklarını istismar etmekle ilgili değildir. İnsan psikolojisini istismar eder: güven, korku, aciliyet, açgözlülük, yardımseverlik ve otorite. Bu taktikleri anlamak yapabileceğiniz en önemli güvenlik yatırımıdır; çünkü hiçbir teknik çözüm, gelişmiş bir sosyal mühendislik saldırısına karşı tam koruma sağlayamaz.
Sosyal Mühendislik Kriptoda Neden Etkilidir
Kripto para ekosisteminin bazı özellikleri onu sosyal mühendisliğe karşı özellikle savunmasız hale getirir:
- Geri döndürülemez işlemler — Kripto para bir kez gönderildiğinde geri alınamaz. Arayabileceğiniz bir banka yoktur, başlatabileceğiniz bir chargeback yoktur.
- Takma adlı kimlikler — Sahte kimlik oluşturmak, başkası gibi davranmak ve anonim şekilde hareket etmek kolaydır.
- Teknik karmaşıklık — Birçok kullanıcı cüzdanlarının, anahtarlarının ve işlemlerinin nasıl çalıştığını tam olarak anlamaz; bu da onları saldırganların "uzman" yönlendirmesine açık hale getirir.
- Yüksek değer, yüksek duygu — İnsanlar finansal varlıkları konusunda, özellikle piyasa oynaklığında duygusal hale gelir; bu da manipülasyona daha açık olmalarına yol açar.
- Merkezi olmayan destek — Bitcoin veya Ethereum için merkezi bir müşteri hizmeti yoktur. Kullanıcılar topluluk forumlarında yardım arar; saldırganlar da burada pusuya yatar.
- Paylaşım kültürü — Kripto toplulukları genellikle açık ve iş birliğine dayalıdır; bu da saldırganların güven inşa etmesi için fırsatlar yaratır.
Sosyal Mühendislik Saldırı Kategorileri
1. Kimliğe Bürünme
Saldırgan, güvendiğiniz biri gibi davranır: bir kripto proje ekip üyesi, borsa desteği, cüzdan geliştiricisi, influencer veya hatta bir arkadaşınız.
Sahte Müşteri Desteği
Bu, en yaygın kripto sosyal mühendislik saldırısıdır:
- Genel bir forumda (Reddit, Discord, Telegram, Twitter) soru veya şikayet paylaşırsınız.
- Dakikalar içinde kendisini "Official Support" olarak tanıtan biri DM üzerinden sizinle iletişime geçer.
- Profesyonel görünen bir yanıt verir ve bir bağlantı kullanarak cüzdanınızı "doğrulamanızı" veya hesabınızı "senkronize etmenizi" ister.
- Bağlantı, seed phrase veya kimlik bilgilerinizi ele geçiren bir phishing sitesine götürür.
Gerçek örnek: Ledger'ın 2020’deki müşteri veritabanı sızıntısından sonra kullanıcılar, Ledger desteği gibi davranan saldırganlardan "güvenlik güncellemesi" gerektiğini söyleyen ve kullanıcıları 24 kelimelik kurtarma ifadesini isteyen bir phishing sitesine yönlendiren e-postalar ve DM’ler aldı.
Proje Ekibi Taklidi
Saldırganlar, gerçek proje kurucularını veya ekip üyelerini yakından taklit eden sosyal medya hesapları oluşturur:
- Benzer kullanıcı adı (ekstra alt çizgi, küçük l yerine büyük I).
- Kopyalanmış profil fotoğrafı ve biyografi.
- Gerçek kişinin aktif olduğu başlıklara yanıt verme.
Kötü amaçlı bir siteye cüzdan bağlamayı gerektiren özel token satışları, erken erişim veya airdrop talepleri sunarak DM atabilirler.
Arkadaş/İş Arkadaşı Taklidi
Bir saldırgan sosyal ağınız hakkında bilgiye sahipse (sosyal medya, veri sızıntıları veya bir arkadaş hesabının ele geçirilmesi yoluyla), tanıdığınız biri gibi davranabilir:
- "Selam, acilen biraz kripto almam gerekiyor, bu adrese 0.5 ETH gönderir misin? Yarın geri öderim."
- Ele geçirilmiş bir hesabın, tüm kişilere phishing bağlantıları veya para talepleri içeren DM göndermesi.
2. Senaryo Kurgulama (Pretexting)
Pretexting, hedefle etkileşime girip bilgi almak için uydurma bir senaryo (pretext) oluşturmayı içerir:
"Yanlışlıkla" Paylaşım
Bir saldırgan, seed phrase içeren ve cüzdan bilgilerini "yanlışlıkla" ifşa etmiş gibi görünen bir mesaj paylaşır. Cüzdana erişmeyi deneyen meraklı kullanıcılar, cüzdanda fon olduğunu ancak çekim için işlem ücreti gerektiğini görür. Ücreti gönderdiklerinde para hemen saldırgan tarafından alınır (cüzdan, sweeper bot içeren bir honeypot’tur).
Güvenlik Araştırmacısı Senaryosu
"Ben bir güvenlik araştırmacısıyım ve cüzdanınızda bir açık buldum. Etkilenip etkilenmediğinizi doğrulamak için kurulumunuzu kontrol etmem gerekiyor. Cüzdan yazılım sürümünüzü, türetim yollarınızı ve adresinizin ilk birkaç karakterini paylaşabilir misiniz?"
Bu yaklaşım, "araştırmacı" rolünün otoritesini kullanarak giderek daha hassas taleplere yükselir.
Hukuki/Düzenleyici Senaryo
"Ben [sahte devlet kurumu]. Kripto para hesabınız şüpheli etkinlik nedeniyle işaretlendi. Soruşturma için fonlarınızı güvenli devlet emanet adresine aktarmanız gerekiyor, aksi halde yargılanabilirsiniz."
Bu, hukuki sonuç korkusunu istismar eder. Hiçbir meşru devlet kurumu sizden kripto para transfer etmenizi istemez.
3. Yemleme (Baiting)
Yemleme, kurbanı cezbetmek için arzu edilen bir şey sunar:
Ücretsiz Token Airdrop’ları
"500 ücretsiz XYZ token almak için cüzdanını bağla!" Bağlantı süreci, cüzdanı boşaltan kötü amaçlı bir akıllı sözleşme onayı ister. Onay saldırılarıyla ilgili ayrıntılar için Phishing Prevention guide içeriğimize bakın.
Enfekte USB Sürücüler
Fiziksel yemleme: halka açık alanlara bırakılmış, üzerinde "Crypto Wallet Backup" veya "Private" yazan USB sürücüler. Bilgisayara takıldığında cüzdan dosyalarını, metin belgelerindeki seed phrase ifadelerini ve tarayıcı eklentisi verilerini arayan zararlı yazılım yükler.
Sahte İş Teklifleri
"DeFi analisti arıyoruz. Değerlendirme için lütfen özel trading platformumuzu indirin." Platform zararlı yazılım içerir. Bu yöntem, Lazarus Group’un kripto şirketlerini hedeflemesi dahil yüksek profilli saldırılarda kullanılmıştır.
4. Romantik ve İlişki Dolandırıcılıkları (Pig Butchering)
"Pig butchering" dolandırıcılıkları, ilişki kurmayı yatırım dolandırıcılığıyla birleştiren uzun soluklu sosyal mühendislik saldırılarıdır:
- İlk temas — Saldırgan bir tanışma uygulaması, sosyal medya veya mesajlaşma platformunda iletişim başlatır. Çekici, başarılı bir profil sunar.
- İlişki kurma — Haftalar veya aylar içinde gerçekmiş gibi hissettiren bir ilişki inşa eder. Kişisel detaylar paylaşır, ilgi gösterir ve duygusal bağ kurar.
- Yatırımı gündeme getirme — Kripto para yatırımındaki başarısından gündelik şekilde bahseder. Sahte kârlar gösterir ve kurbanı yatırım yapmaya teşvik eder.
- Platform — Kurbanı, sahte getiriler gösteren sahte bir borsa veya yatırım platformuna yönlendirir. Kurban para yatırır ve "bakiyesinin" büyüdüğünü görür.
- Tırmandırma — Kârla cesaretlenen kurban daha fazla yatırım yapar; çoğu zaman borç alır veya birikimlerini bozar.
- Çıkış — Kurban para çekmeye çalıştığında platform "vergi", "ücret" veya ek depozito ister. Sonunda saldırgan ve platform ortadan kaybolur.
Bu dolandırıcılıklar, bireysel olarak yüz binlerce ila milyonlarca dolar kayba ve toplamda on milyarlarca dolarlık kayba yol açmıştır.
Uyarı işaretleri:
- Çevrimiçi bir kişinin siz sormadan kripto para yatırımını gündeme getirmesi.
- Daha önce duymadığınız, olağan dışı yüksek getiri vaat eden yatırım platformları.
- Daha fazla yatırım yapmanız veya hızlı hareket etmeniz için baskı.
- Ek ücret ödemeden fon çekememe.
5. Otoriteyi İstismar
Saldırganlar algılanan otoriteyi kullanır:
Sahte Borsa E-postaları
Büyük bir borsadan gelmiş gibi görünen, "şüpheli etkinlik" bildirip acil işlem isteyen e-postalar. Aciliyet, eleştirel düşünmeyi devre dışı bırakmak için tasarlanır. Phishing Prevention guide içeriğimize bakın.
Kolluk Kuvveti Taklidi
"Kripto paranız kara para aklama ile bağlantılı. Soruşturma süresince koruma için bu adrese aktarın." Gerçek kolluk birimleri bu şekilde çalışmaz.
Teknik Otoriteyi İstismar
"Ben bir blockchain geliştiricisiyim ve mempool’dan cüzdanınızda bir açık olduğunu görebiliyorum. Fonlarınızı hemen yeni bir cüzdana taşımanız gerekiyor. Adım adım yardımcı olayım."
6. $5 Wrench Saldırısı
Fiziksel zorlama: seed phrase ifadenizi açıklamanız veya fon transfer etmeniz için şiddet tehdidi ya da doğrudan şiddet uygulanması. Bu, sosyal mühendisliğin en doğrudan biçimidir.
Karşı önlemler:
- Plausible deniability — BIP-39 passphrase kullanarak temel cüzdanda yalnızca küçük bir yem miktarı tutun. Baskı altında, passphrase olmadan seed phrase ifadesini verin.
- Çoklu imza — Harcama için farklı yerlerde saklanan birden fazla anahtar gerekiyorsa tek başınıza imza atmaya zorlanamazsınız.
- Zaman kilitli işlemler — Bazı kurulumlar büyük işlemler için bekleme süresi gerektirir; bu da müdahale için zaman kazandırır.
- Varlıklarınızı kamuya açıklamayın — En iyi savunma hedef olarak tanımlanmamaktır.
İstismar Edilen Psikolojik İlkeler
Saldırganların kullandığı psikolojik tetikleyicileri anlamak, bunların size karşı kullanıldığını fark etmenize yardımcı olur:
Aciliyet
"Şimdi harekete geçmezsen fonlarını kaybedersin." "Bu teklif 10 dakikaya bitiyor." "Hesabın 24 saat içinde kilitlenecek."
Aciliyet, sağlıklı değerlendirmeyi kısa devreye uğratır. Meşru şirketler sizden anında güvenlik kararı vermenizi istemez.
Otorite
"Ben [Exchange] güvenlik ekibindenim." "Ledger destek mühendisi olarak, ... gerekiyor"
İnsanlar algılanan otorite figürlerine daha kolay uyar. Otoriteyi her zaman bağımsız kanallardan doğrulayın.
Karşılıklılık
Saldırgan önce değerli bir şey sunar (yararlı bilgi, küçük bir hediye, ücretsiz hizmet) ve böylece sonradan istismar edeceği bir minnet duygusu oluşturur.
Kıtlık
"Bu özel presale için sadece 100 yer var." "Sınırlı süreli whitelist fırsatı."
Yapay kıtlık, fırsatı kaçırma korkusu (FOMO) yaratarak düşünmeden karar aldırır.
Sosyal Kanıt
"Herkes grupta yatırım yapıyor." "Bu referanslara bak." "1000 kişi zaten aldı."
İnsanlar başkalarının yaptığı düşünülen hareketleri takip eder. Kriptoda referanslar ve grup baskısı kolayca sahte üretilebilir.
Beğenilme
İnsanlar sevdikleri kişilerin taleplerine daha çok uyar. Bu yüzden romantik dolandırıcılıklar çok etkilidir; kurban saldırganı gerçekten sever ve güvenir.
Tutarlılık
Küçük bir şeye bağlandıktan sonra (gruba katılmak, küçük bir yatırım yapmak), saldırganlar bunu tırmandırır ve önceki davranışlarınızla tutarlı kalma isteğinizi kullanır.
Savunma Stratejileri
1. Doğrulama İlkesi
Kaynağı bağımsız biçimde doğrulamadan hiçbir talep üzerine işlem yapmayın:
- Size DM atıp borsa desteği olduğunu söyleyen biri mi var? Yer iminizden doğrudan borsaya giriş yapın ve resmi kanaldan destekle iletişime geçin.
- Bir e-posta hesabınızı güvene almanızı mı istiyor? Doğrudan borsaya gidin (e-posta bağlantısına tıklamayın) ve hesap durumunuzu kontrol edin.
- Bir "arkadaş" kripto mu istiyor? Doğrulamak için bilinen telefon numarasından arayın.
2. Seed Phrase Kuralı
Seed phrase ifadeniz hiçbir web sitesine girilmemeli, hiçbir kişiyle paylaşılmamalı ve internete bağlı hiçbir ekranda gösterilmemelidir. İstisnası yoktur.
Hiçbir meşru hizmet — borsa, cüzdan sağlayıcısı, blockchain projesi, destek ekibi, geliştirici veya devlet kurumu — sizden seed phrase istemez. İsteyen herkes saldırgandır.
3. Soğuma Süresi
Önemli bir işlem yapmadan önce (kripto gönderme, işlem onaylama, yeni bir sitede kimlik bilgisi girme):
- 10 dakika bekleyin.
- Kendinize sorun: "Bu etkileşimi ben mi başlattım, yoksa biri mi başlattı?"
- Kendinize sorun: "Bana bir aciliyet dayatılıyor mu? Bir gün beklersem ne olur?"
- Kendinize sorun: "Kimse benimle iletişime geçmemiş olsaydı bunu yine yapar mıydım?"
Sosyal mühendislik duyguya ve aciliyete dayanır. Zaman, saldırganın düşmanıdır.
4. Ayrı Kanal Doğrulaması
Biri Kanal A’dan (e-posta, DM, telefon) acil bir talep ile size ulaşıyorsa, Kanal B’den (farklı, güvenilir bir iletişim kanalı) doğrulayın:
- Ledger size güvenlik sorunu hakkında e-posta mı attı? Ledger'ın resmi Twitter/X hesabını, durum sayfasını ve topluluk forumlarını kontrol edin.
- Bir iş arkadaşınız Slack üzerinden kripto mu istiyor? Doğrudan arayın.
- Borsa desteği sizinle iletişime mi geçti? Konuşmayı kapatın ve borsanın resmi destek portalından yeni bir görüşme başlatın.
5. Saldırı Yüzeyinizi Azaltın
- Varlıklarınızı kamuya açıklamayın — Portföy ekran görüntüsü paylaşmaktan, kazançla övünmekten veya belirli miktarlardan bahsetmekten kaçının.
- Takma ad kullanın — Kripto kimliğinizi gerçek kimliğinizden ayrı tutmayı düşünün.
- Çevrimiçi kişisel bilgiyi sınırlayın — Paylaştığınız her detay (şehir, iş yeri, ilgi alanı) ikna edici bir senaryo kurmak için kullanılabilir.
- Yabancılardan gelen DM’leri kapatın — Discord, Telegram ve kripto topluluklarının bulunduğu diğer platformlarda.
6. Çevrenizi Eğitin
Kripto varlıklarınızı bilen aileniz, arkadaşlarınız ve iş arkadaşlarınız da birer saldırı yüzeyidir. Bir saldırgan:
- Aile üyelerinize sahte bir acil durumla ulaşabilir.
- Bilgi almak için eşinizi/partnerinizi sosyal mühendislikle hedefleyebilir.
- Güvenilir bir kanaldan size ulaşmak için iş e-posta hesabınızı hedefleyebilir.
Size yakın insanların, kripto varlıklarınızla ilgili bilgi paylaşmamaları ve sizinle doğrudan doğrulamadan kriptoyla ilgili hiçbir talebi iletmemeleri gerektiğini anladığından emin olun.
Sosyal mühendislik saldırıları çoğu zaman seed phrase isteyen sahte araçlar içerir. SafeSeed Seed Phrase Generator, tamamen tarayıcınızda çalışan açık kaynaklı, istemci tarafı bir araçtır. Yer imlerine ekleyin ve sadece yer iminiz üzerinden erişin; başkalarının verdiği bağlantılar üzerinden asla erişmeyin.
Gerçek Dünya Vaka Çalışmaları
Vaka 1: Discord Sunucusu Ele Geçirilmesi
2022’de, saldırganların sosyal mühendislik yoluyla yönetici hesaplarına erişmesinin ardından birçok yüksek profilli NFT proje Discord sunucusu ele geçirildi. Saldırganlar resmi duyuru kanallarında sahte "mint" bağlantıları paylaştı. Mesajlar yönetici yetkisi olan resmi sunucudan geldiği için kullanıcılar bunlara güvendi ve cüzdanlarını kötü amaçlı akıllı sözleşmelere bağladı. Milyonlarca dolarlık NFT ve kripto para çalındı.
Ders: "Resmi" kanallardan gelen mesajlar bile kanal ele geçirilmişse kötü amaçlı olabilir. Önemli duyuruları birden fazla bağımsız kaynaktan doğrulayın.
Vaka 2: Lazarus Group İş Dolandırıcılığı
Kuzey Kore’nin Lazarus Group’u, LinkedIn’de sahte iş teklifleriyle kripto para şirketlerindeki çalışanları hedef aldı. "Mülakat süreci", "kodlama değerlendirmesi" için özel bir yazılım projesi indirmeyi gerektiriyordu. Yazılım, saldırganlara kurbanın bilgisayarına ve oradan kripto şirketinin sistemlerine erişim sağlayan zararlı yazılım içeriyordu. Bu teknik Ronin Network saldırısında ($625M) ve diğer büyük ihlallerde kullanıldı.
Ders: Profesyonel bağlamlarda bile, bilinmeyen kaynaklardan yazılım indirme konusunda son derece dikkatli olun.
Vaka 3: SIM Swap Dalgası
2019-2020 döneminde bir SIM swap saldırı dalgası önde gelen kripto para sahiplerini hedef aldı. Saldırganlar mobil operatör destek personelini sosyal mühendislikle kandırarak kurbanların telefon numaralarını taşıttı. SMS erişimiyle borsa 2FA’yı aştılar, e-posta parolalarını sıfırladılar ve borsa hesaplarını boşalttılar. Bireysel kayıplar on binlerce dolardan milyonlarca dolara kadar çıktı.
Ders: SMS 2FA, yüksek değerli hesapları korumak için güvenli değildir. Donanım güvenlik anahtarları ve TOTP doğrulayıcıları kullanın.
SSS
Kripto parada sosyal mühendislik nedir?
Sosyal mühendislik, kripto para sahiplerini hassas bilgileri (seed phrase, parola, 2FA kodları) ifşa etmeye veya güvenliklerini tehlikeye atan eylemler yapmaya (kötü amaçlı işlemleri onaylama, saldırganlara para gönderme) kandırmak için psikolojik manipülasyon kullanmaktır. Teknik açıkları değil insan davranışını hedef alır.
Bir sosyal mühendislik girişimini nasıl tespit ederim?
Başlıca göstergeler şunlardır: "destek" veya "ekip üyeleri"nden gelen istenmeyen iletişim, seed phrase veya private key talepleri, yapay aciliyet ("hemen harekete geç"), gerçek olamayacak kadar iyi görünen teklifler, tanımadığınız yazılımları indirme talepleri ve duygusal manipülasyon (iltifat, korku, suçluluk). Herhangi bir etkileşim sizi anında harekete zorlar gibi hissettiriyorsa durun ve bağımsız doğrulama yapın.
Sosyal mühendislik donanım cüzdanlarını atlatabilir mi?
Donanım cüzdanı private key’lerinizi teknik saldırılara karşı korur; ancak sosyal mühendislik yine de sizi cihazda kötü amaçlı bir işlemi onaylamaya, phishing sitesinde seed phrase ifadenizi girmeye veya fonları saldırgan adresine aktarmaya kandırabilir. Hem teknik güvenlik hem de sosyal farkındalık gereklidir.
Pig butchering dolandırıcılığı nedir?
Pig butchering, saldırganların haftalar veya aylar boyunca kurbanla ilişki kurup ardından onları sahte bir kripto para yatırım platformuna yönlendirdiği uzun soluklu bir romantik/yatırım dolandırıcılığıdır. Kurban artan miktarlarda para yatırır, sahte kârlar görür ve para çekmeye çalıştığında her şeyini kaybeder. İsim, Çince’deki "kesimden önce domuzu semirtme" ifadesinden gelir.
$5 wrench saldırısından nasıl korunurum?
Gizli bir cüzdan oluşturmak için BIP-39 passphrase kullanın. Baskı altında, passphrase olmadan seed phrase ifadesini verin; saldırgan küçük bir yem miktarı olan cüzdanı görür. Ayrıca kripto para varlıklarınızı kamuya açıklamayın ve farklı fiziksel konumlarda tutulan anahtarlar gerektiren çoklu imza kurulumlarını değerlendirin.
Seed phrase ifademi herhangi biriyle paylaşmalı mıyım?
Hayır. Hiçbir kişi, hizmet veya kurumun seed phrase ifadenize ihtiyaç duyması için meşru bir sebep yoktur. Bunu isteyen biri ya bilgisizdir ya da kötü niyetlidir. Seed phrase ifadeniz yalnızca güvenilir bir cihazda cüzdan kurtarma sırasında girilmelidir. Seed Phrase guide içeriğimize bakın.
Sosyal mühendisliğe maruz kaldığımı düşünürsem ne yapmalıyım?
Şüpheli saldırganla tüm iletişimi hemen durdurun. Gönderdikleri hiçbir bağlantıya tıklamayın. Sağladıkları hiçbir dosyayı indirmeyin. Belirli bir kurumu temsil ettiğini iddia ettilerse, o kurumla resmi web sitesi üzerinden doğrudan iletişime geçin. Hassas bilgi paylaştıysanız veya işlem onayladıysanız, varlıklarınızı güvenceye almak için derhal harekete geçin.
Sosyal mühendislik girişimlerini nasıl raporlarım?
Sahte hesapları platforma bildirin (Twitter/X, Discord, Telegram). Phishing sitelerini Google Safe Browsing’e bildirin (safebrowsing.google.com). Dolandırıcılıkları taklit edilen şirkete bildirin. Bazı yargı bölgelerinde kripto para dolandırıcılığı kolluk kuvvetlerine bildirilebilir. Deneyiminizi (hassas detayları paylaşmadan) topluluk forumlarında paylaşmak da başkalarını uyarmaya yardımcı olabilir.