5 Tohum İfadesi Dolandırıcılığı ve Kendinizi Nasıl Korursunuz

Tohum ifadesi hırsızlığı, kripto para dünyasındaki en etkili saldırı vektörüdür. Akıllı sözleşme açıklarını istismar etmekten veya %51 saldırısı gerçekleştirmekten farklı olarak, bir tohum ifadesi çalmak basit, ölçeklenebilir ve saldırgana kurbanın fonları üzerinde tam, geri dönüşü olmayan kontrol sağlar. Burada açıklanan beş dolandırıcılık, tohum ifadesi hırsızlığı olaylarının büyük çoğunluğunu oluşturur. Her birini anlamak ve bunlara karşı nasıl savunulacağını bilmek, kripto tutan herkes için zorunlu bilgidir.

Bu dolandırıcılıkların her biri, kullanıcıların olduğunu düşündükleri şey ile gerçekte olan arasındaki boşluğu istismar eder. Her durumda savunma doğrulamadır: kullandığınız araçların, ziyaret ettiğiniz sitelerin ve etkileşimde bulunduğunuz kişilerin iddia ettikleri şey olduğunu teyit etmeyi bilmek.

Dolandırıcılık 1: Sahte Tohum İfadesi Oluşturucuları¶

Sahte tohum ifadesi oluşturucuları, meşru BIP39 araçlarına benzerken ürettikleri her tohum ifadesini gizlice kaydeden web siteleri veya uygulamalardır. Saldırgan ya bir dizi tohum ifadesini sabit kodlar (böylece her kullanıcı saldırganın zaten bildiği bir ifade alır) ya da üretilen ifadeyi uzak bir sunucuya iletir.

Nasıl Çalışır¶

Saldırgan, rastgele tohum ifadeleri üretiyor gibi görünen profesyonel görünümlü bir web sitesi oluşturur. En basit sürümde site, saldırganın zaten kontrol ettiği önceden hesaplanmış bir ifade listesinden seçer. Daha sofistike sürümlerde araç, Web Crypto API kullanarak gerçek görünen bir ifade üretir ancak aynı anda entropiyi veya nihai ifadeyi gizli bir ağ isteği aracılığıyla saldırganın sunucusuna gönderir.

Kurban geçerli görünen 12 veya 24 kelimelik bir ifade görür, cüzdan oluşturur ve fon yatırır. Saldırgan ilgili adresleri izler ve fonları çeker --- bazen hemen, bazen bakiye değerli bir eşiğe ulaşana kadar bekler.

Kendinizi Nasıl Korursunuz¶

• Aracın istemci tarafında çalıştığını doğrulayın. Sayfayı yükleyin, internetten bağlantınızı kesin ve bir ifade oluşturun. Araç bağlantı olmadan başarısız oluyorsa sunucu iletişimi gerektiriyordur ve güvenilmemelidir. Ayrıntılı doğrulama adımları için Çevrimiçi Tohum İfadesi Oluşturucu Güvenli mi? yazısına bakın.
• Ağ trafiğini inceleyin. Üretmeden önce tarayıcınızın Geliştirici Araçları Ağ sekmesini açın. Üretim sırasında sıfır giden istek ateşlenmeli.
• Açık kaynak araçlar kullanın. Yalnızca kaynak kodu herkese açık şekilde denetlenebilen oluşturucuları kullanın. SafeSeed'in Bitcoin Tohum İfadesi Oluşturucusu ve Ethereum Tohum İfadesi Oluşturucusu tamamen açık kaynak ve istemci tarafıdır.
• Sonuçları çapraz doğrulayın. Bir ifade oluşturun ve iki veya daha fazla bağımsız araçta aynı adresi üretip üretmediğini kontrol edin. Bir oluşturucu ne zaman veya nerede kullanırsanız kullanın her zaman aynı ifadeyi üretiyorsa sabit bir liste kullanıyordur.

Dolandırıcılık 2: Gerçek Cüzdanları Taklit Eden Oltalama Siteleri¶

Oltalama siteleri, kullanıcıları mevcut tohum ifadelerini girmeye kandırmak için MetaMask, Phantom veya donanım cüzdanı web arayüzleri gibi popüler cüzdanların arayüzünü kopyalar. Saldırganın amacı yeni bir ifade üretmek değil, zaten sahip olduğunuz birini yakalamaktır.

Nasıl Çalışır¶

Saldırgan, meşru bir cüzdan sitesine yakından benzeyen bir alan adı kaydeder: metamask.io yerine metamask-wallet.io veya ledger.com yerine ledger-support.com. Gerçek sitenin görsel tasarımını kopyalar ve kullanıcılardan tohum ifadelerini girerek cüzdanlarını "geri yüklemelerini" veya "doğrulamalarını" isteyen bir bilgi istemi sunar.

Bu oltalama siteleri şu yollarla dağıtılır:

• Cüzdanla ilgili arama sorgularında görünen Google ve sosyal medya reklamları
• Telegram, Discord ve X (Twitter) üzerindeki sahte destek kanalları
• Cüzdanınızın "doğrulama" veya "güvenlik güncellemesi" gerektirdiğini iddia eden e-postalar
• "MetaMask cüzdanını kurtar" gibi sorgularda sıralanan SEO optimizeli sayfalar

Kurban oltalama sayfasına tohum ifadesini girdikten sonra saldırganın sunucusuna iletilir. Saldırgan ifadeyi kendi cüzdanına aktarır ve tüm fonları çeker, genellikle dakikalar içinde.

Kendinizi Nasıl Korursunuz¶

• Tohum ifadenizi asla hiçbir web sitesine girmeyin. Meşru cüzdan yazılımı asla tohum ifadenizi tarayıcıda girmenizi istemez. Cüzdan geri yükleme, cüzdan uygulamasının içinde gerçekleşir, bir web sitesinde değil.
• Resmi siteleri yer imine ekleyin. Cüzdan arayüzlerine yalnızca kendinizin belirlediği yer imleri aracılığıyla erişin, asla arama sonuçları veya mesajlardaki bağlantılar üzerinden değil.
• URL'yi karakter karakter doğrulayın. Oltalama alan adları karakter değiştirme (küçük l vs 1, rn vs m) ve ek kelimeler kullanarak aldatır.
• Kurtarma için donanım cüzdanı kullanın. Cüzdan geri yüklemeniz gerekiyorsa bunu donanım cihazının kendisinde veya üreticinin doğrulanmış sitesinden indirilen resmi masaüstü uygulamasında yapın.

Dolandırıcılık 3: Önceden Üretilmiş Cüzdan Kartları¶

Bu dolandırıcılık, özel anahtarların nasıl çalıştığını henüz anlamayan kripto dünyasına yeni girenleri hedefler. Saldırgan, genellikle güzel basılmış ve paketlenmiş, önceden üretilmiş bir tohum ifadesi veya özel anahtar içeren fiziksel kartlar satar veya dağıtır. Kart, QR kodu ve açık adres dahil meşru bir kağıt cüzdan gibi görünür.

Nasıl Çalışır¶

Saldırgan binlerce tohum ifadesi üretir, hepsini kaydeder ve profesyonel görünümlü kartlara basar. Bunlar pazar yerlerinde satılır, kripto konferanslarında dağıtılır veya çevrimiçi siparişlere "hediye" olarak dahil edilir. Kart, alıcıya basılı adrese kripto yatırmasını söyler.

Kurban, güvenli bir kağıt cüzdanı olduğuna inanarak adrese fon gönderir. Aynı tohum ifadesinin kopyasını elinde tutan saldırgan fonları istediği zaman çeker.

Bu dolandırıcılığın bir varyasyonu ikincil pazarlarda satılan "önceden yüklenmiş" cüzdanları içerir. Satıcı cüzdanın belirli bir miktarda kripto içerdiğini iddia eder ve indirimli satar. Alıcı donanım veya kağıt cüzdan alır, ancak satıcı tohum ifadesinin bir kopyasını tutar ve satıştan sonra fonları çeker.

Kendinizi Nasıl Korursunuz¶

• Her zaman kendi anahtarlarınızı üretin. Başka birinin oluşturduğu tohum ifadesini veya özel anahtarı asla kullanmayın. Tek güvenli anahtar, kontrol ettiğiniz bir cihazda kendinizin ürettiği anahtardır.
• Anahtarların sır olduğunu anlayın. Başka biri tohum ifadenizi gördüyse bir kopyası olduğunu varsaymalısınız. Birinin bildiği bir ifadeyi sildiğini doğrulamanın yolu yoktur.
• Çevrimdışı üretin. Kendi anahtarlarınızı sıfırdan oluşturmak için SafeSeed'in istemci tarafı araçlarını veya başka güvenilir bir oluşturucuyu hava boşluklu makinede kullanın.

Dolandırıcılık 4: Pano Zararlı Yazılımları¶

Pano zararlı yazılımı ("clipper" olarak da bilinir), panonuzu kripto para ile ilgili veriler için izleyen ve sessizce saldırganın verileriyle değiştiren bir kötü amaçlı yazılım türüdür.

Nasıl Çalışır¶

En yaygın varyant panodaki Bitcoin veya Ethereum adreslerini izler. Ödeme göndermek için bir adres kopyaladığınızda zararlı yazılım bunu saldırganın adresiyle değiştirir. Doğrulamadan yapıştırırsanız fonlarınız doğrudan saldırgana gider.

Daha tehlikeli bir varyant tohum ifadelerini hedefler. Tohum ifadenizi kopyalarsanız (örneğin cüzdan kurulumu sırasında uygulamalar arasında aktarırken) clipper onu yakalar ve saldırgana iletir. Bazı varyantlar panodaki tohum ifadesini saldırganın kontrol ettiği farklı bir ifadeyle değiştirir ve güvenliği ihlal edilmiş bir ifadeyi yedeklemenize neden olur.

Clipper'lar genellikle şu yollarla dağıtılır:

• Korsan yazılımlar ve kırılmış uygulamalar
• Resmi olmayan uygulama mağazalarındaki sahte cüzdan uygulamaları
• Pano izinleri isteyen tarayıcı uzantıları
• Meşru kripto araçlarının truva atlı versiyonları

Kendinizi Nasıl Korursunuz¶

• Tohum ifadenizi asla panoya kopyalamayın. Elle yazın. Dijital olarak aktarmanız gerekiyorsa sistem panosunu içermeyen bir yöntem kullanın.
• Yapıştırılan adresleri her zaman doğrulayın. Herhangi bir işlemi onaylamadan önce yapıştırılan adresin ilk ve son birkaç karakterini amaçlanan adresle karşılaştırın. Formatın doğru olduğunu teyit etmek için adres doğrulayıcı kullanın.
• Yalnızca doğrulanmış yazılım kullanın. Cüzdan uygulamalarını ve araçlarını yalnızca resmi kaynaklardan indirin. Özellikle kripto için kullanılan makinelerde korsan yazılımlardan tamamen kaçının.
• Güncel antivirüs çalıştırın. Kesin olmasa da modern antivirüs yazılımları bilinen birçok clipper'ı tespit eder.
• Pano içeriğini kontrol edin. Bir adresi kopyaladıktan sonra işlemde kullanmadan önce eşleştiğini doğrulamak için düz metin düzenleyiciye yapıştırın.

Dolandırıcılık 5: Sosyal Mühendislik Saldırıları¶

Sosyal mühendislik, kripto çağına uyarlanmış en eski hırsızlık biçimidir. Saldırgan, sizi tohum ifadenizi gönüllü olarak ifşa etmeniz veya anahtarlarınızı tehlikeye atacak bir eylem gerçekleştirmeniz için manipüle eder.

Nasıl Çalışır¶

Kripto alanında sosyal mühendislik birçok biçim alır:

Sahte teknik destek. Saldırgan, bir cüzdan sağlayıcısı, borsa veya blokzincir projesinin destek personeli gibi davranır. Kullanıcının halka açık şikayetine yanıt olarak Telegram, Discord veya X üzerinden ulaşırlar. Sorunu "teşhis etmek" veya kimliğinizi "doğrulamak" için tohum ifadenize ihtiyaçları olduğunu iddia ederler. Hiçbir meşru destek ekibi tohum ifadenizi istemez.

"Sıkışmış fonlar" tuzağı. Saldırgan, "yanlışlıkla" paylaştığını iddia ederek bir tohum ifadesini herkese açık olarak yayınlar (sosyal medya, forumlar veya sohbet gruplarında). İlişkili cüzdan görünür fonlar içerir. Biri fonları almak için ifadeyi içe aktardığında, tokenların gas ücreti gerektiren bir ağda olduğunu keşfeder. Gas tokenları yatırdığında saldırganın kontrol ettiği bir süpürücü bot yatırılan tokenları anında çeker.

Yatırım danışmanı. Dolandırıcı, sosyal medya veya flört uygulamaları aracılığıyla (genellikle haftalar boyunca) bir ilişki kurar ve sonunda kurbanı cüzdan erişimini paylaşmayı veya belirli (kötü amaçlı) bir aracı kullanmayı gerektiren "özel bir yatırım fırsatına" yönlendirir.

Airdrop talepleri. Ücretsiz token airdrop'u sunan mesajlar, fonlarınızı transfer etme izni isteyen veya tohum ifadenizi girmenizi isteyen kötü amaçlı bir dApp'e "cüzdanınızı bağlamanızı" gerektirir.

Kendinizi Nasıl Korursunuz¶

• Tohum ifadenize nükleer fırlatma kodu gibi davranın. Hiçbir meşru hizmet, destek ekibi, arkadaş veya aile üyesi tohum ifadenize ihtiyaç duymaz. Asla. Hiçbir nedenle.
• İstenmeyen yardıma şüpheyle yaklaşın. Özellikle sosyal medya veya mesajlaşma platformlarında kripto yardımı teklif eden biri sizinle iletişime geçerse, aksini kanıtlayana kadar dolandırıcılık olduğunu varsayın.
• Kimlikleri resmi kanallardan doğrulayın. Bir cüzdan sağlayıcısı veya borsadan destek almanız gerekiyorsa resmi web sitelerine gidin ve orada listelenen destek formunu veya sohbeti kullanın.
• "Sıkışmış fonlar" hilesini anlayın. Fonları olan herkese açık paylaşılmış bir tohum ifadesi bulursanız bu bir yemdir. Görünür tokenlar başka tokenlar yatırmadan taşınamaz ve bunlar anında çalınacaktır.
• Akıllı sözleşme izinlerini gözden geçirin. Bir dApp sınırsız token onayı veya belirtilen amacıyla eşleşmeyen izinler istiyorsa işlemi reddedin.

Kullandığınız Herhangi Bir Aracı Nasıl Doğrularsınız¶

Yukarıdaki her dolandırıcılığa karşı savunma tek bir beceriye yakınsar: doğrulama. İşte herhangi bir kripto aracını değerlendirmek için birleşik bir yaklaşım.

Kaynak Kodu Şeffaflığı¶

Bir araç açık kaynak değilse ne yaptığını doğrulayamazsınız. Açık kaynak kod güvenlik garantisi değildir, ancak kapalı kaynak araçlar koşulsuz güven gerektirir. Anahtarlar veya tohum ifadeleri içeren herhangi bir işlem için açık kaynak araçlara öncelik verin.

İstemci Tarafı Çalışma¶

Anahtar üretim araçları için, sayfayı yükledikten sonra internetten bağlantınızı keserek istemci tarafı çalışmayı doğrulayın. Araç çevrimdışı çalışıyorsa kriptografik işlemleri Web Crypto API aracılığıyla tarayıcınızda çalışıyordur. Bu, SafeSeed ve diğer güvenilir oluşturucular tarafından kullanılan standarttır. Entropi kaynağının neden önemli olduğunu anlamak için Kriptoda Entropi Nedir? yazısını okuyun.

Ağ Davranışı¶

Tüm ağ isteklerini izlemek için tarayıcınızın Geliştirici Araçlarını kullanın. Hassas işlemler (anahtar üretimi, tohum ifadesi gösterimi, işlem imzalama) sırasında sıfır giden istek olmalıdır. Bir analitik hizmetine bile olsa herhangi bir istek, veri sızıntısı için potansiyel bir vektördür.

Alan Adı ve Sertifika Doğrulaması¶

Herhangi bir web sitesine bilgi girmeden önce tam alan adını doğrulayın ve HTTPS'nin aktif olduğundan emin olun. Sık erişilen kripto araçları için yer imleri kullanın. Alan adını projenin resmi sosyal medya hesapları veya GitHub deposuyla çapraz referanslayın.

Topluluk İtibarı¶

Aracın bağımsız güvenlik araştırmacıları tarafından incelenip incelenmediğini kontrol edin. Denetim raporları, güvenilir kripto forumlarındaki tartışmalar ve güvenlik odaklı yayınlardaki bahisler arayın. Dış incelemesi ve topluluk varlığı olmayan bir araç daha yüksek risk taşır.

Sonuçların Çapraz Doğrulaması¶

Tohum ifadesi oluşturucu kullanırken, farklı güvenilir bir araçla aynı adresi türeterek çıktıyı doğrulayın. SafeSeed'deki Bitcoin Adres Oluşturucu veya Ethereum Adres Oluşturucu referans noktası olarak hizmet edebilir. İki bağımsız araç aynı tohum ifadesinden aynı adresi üretiyorsa, her ikisi de muhtemelen standardı doğru uygulamaktadır.

Kripto ekosisteminin en büyük gücü olan kendi kendine saklama, aynı zamanda en büyük zayıflığıdır. Aranacak bir dolandırıcılık departmanı, talep edilecek bir geri ödeme ve fonlar çalındıktan sonra bir kurtarma süreci yoktur. Bu beş dolandırıcılığı anlamak ve doğrulama alışkanlıkları geliştirmek, kripto güvenliğinize yapabileceğiniz en değerli yatırımdır. Temel anahtar güvenliği kavramları hakkında daha fazla okuma için Özel Anahtar Güvenliği En İyi Uygulamaları ve Tohum İfadesi ve Özel Anahtar Karşılaştırması yazılarına bakın.