Kripto Varlıklar dolandırıcılığı yeni trendleri: Blok Zinciri protokolleri saldırı aracı haline geliyor

Kripto varlıklar ve blok zinciri teknolojisi, finansal özgürlüğün kavramını yeniden şekillendiriyor, ancak bu dönüşüm yeni güvenlik zorluklarını da beraberinde getiriyor. Dolandırıcılar artık yalnızca teknik açıkları kullanmıyor, aynı zamanda blok zinciri akıllı sözleşme protokollerini kendileri saldırı aracı haline getiriyor. Özenle tasarlanmış sosyal mühendislik tuzakları aracılığıyla, blok zincirinin şeffaflığını ve geri alınamazlığını kullanarak kullanıcıların güvenini, varlıkları çalma aracına dönüştürüyorlar. Sahte akıllı sözleşmelerden, çapraz zincir işlemlerini manipüle etmeye kadar, bu saldırılar yalnızca gizli olmakla kalmıyor, aynı zamanda "meşrulaştırılmış" görünümü nedeniyle daha da aldatıcı hale geliyor. Bu makale, gerçek vaka analizleriyle dolandırıcıların protokolleri nasıl saldırı araçlarına dönüştürdüğünü ortaya koyacak ve teknik korumadan davranış önlemeye kadar kapsamlı çözümler sunarak, merkeziyetsiz dünyada güvenli bir şekilde ilerlemenize yardımcı olacaktır.

1. Yasal protokoller nasıl dolandırıcılık aracı haline gelir?

Blok Zinciri protokolü tasarımının asıl amacı güvenliği ve güveni sağlamaktır, ancak dolandırıcılar bu özellikleri kullanarak, kullanıcıların dikkatsizliği ile birleştirerek çeşitli gizli saldırı yöntemleri oluşturmuşlardır. Aşağıda bazı yöntemler ve teknik detay açıklamaları bulunmaktadır:

(1) Kötü Niyetli Akıllı Sözleşme Yetkilendirmesi

Teknik Prensipler:

Ethereum gibi Blok Zincirleri üzerinde, ERC-20 token standardı kullanıcıların "Approve" fonksiyonu aracılığıyla üçüncü şahıslara (genellikle akıllı protokoller) cüzdanlarından belirli miktarda token çekme yetkisi vermesine olanak tanır. Bu işlev, kullanıcıların işlemleri, staking veya likidite madenciliği gerçekleştirmek için akıllı protokollere yetki vermesi gereken DeFi protokolleri arasında yaygın olarak kullanılmaktadır. Ancak, dolandırıcılar bu mekanizmayı kötü niyetli protokoller tasarlamak için kullanmaktadır.

Çalışma Şekli:

Dolandırıcılar, genellikle bir kimlik avı web sitesi veya sosyal medya aracılığıyla tanıtılan, meşru bir projeye benzeyen bir DApp oluştururlar. Kullanıcı cüzdanını bağlar ve "Onayla" butonuna tıklamaya ikna edilir; bu, yüzeyde az miktarda token yetkilendirmesi gibi görünse de, aslında sınırsız bir limit olabilir. Yetkilendirme tamamlandığında, dolandırıcının sözleşme adresi yetki kazanır ve istediği zaman "TransferFrom" fonksiyonunu çağırarak kullanıcının cüzdanından tüm ilgili token'ları çekebilir.

Gerçek Vaka:

2023'ün başında, "bir DEX güncellemesi" olarak kılık değiştiren bir phishing sitesi, yüzlerce kullanıcının milyonlarca dolar değerinde USDT ve ETH kaybetmesine neden oldu. Zincir üzerindeki veriler, bu işlemlerin tamamen ERC-20 standardına uygun olduğunu gösteriyor; mağdurlar, yetkilendirme gönüllü olarak imzalandığı için hukuki yollarla bile geri alamıyorlar.

(2) imza oltalama

Teknik Prensip:

Blok Zinciri işlemleri, kullanıcıların işlemin geçerliliğini kanıtlamak için özel anahtar aracılığıyla imza oluşturmasını gerektirir. Cüzdan genellikle imza talebini açar, kullanıcı onayladıktan sonra işlem ağa yayınlanır. Dolandırıcılar bu süreci kullanarak imza taleplerini taklit ederek varlıkları çalar.

Çalışma Şekli:

Kullanıcı, resmi bir bildirim gibi gizlenmiş bir e-posta veya sosyal medya mesajı alır, örneğin "NFT airdrop'unuz alınmayı bekliyor, lütfen cüzdanınızı doğrulayın". Bağlantıya tıkladıktan sonra, kullanıcı kötü niyetli bir web sitesine yönlendirilir ve cüzdanı bağlaması ve bir "doğrulama işlemi" imzalaması istenir. Bu işlem aslında "Transfer" fonksiyonunu çağırarak cüzdandaki ETH veya token'ları dolandırıcı adresine doğrudan gönderebilir; ya da dolandırıcının kullanıcının NFT koleksiyonunu kontrol etmesine izin veren bir "SetApprovalForAll" işlemi olabilir.

Gerçek Vaka:

Bir ünlü NFT projesinin topluluğu, imza phishing saldırısına uğradı. Çok sayıda kullanıcı, sahte "airdrop alma" işlemlerini imzaladıkları için milyonlarca dolarlık NFT kaybetti. Saldırganlar, EIP-712 imza standardını kullanarak güvenli gibi görünen talepler oluşturdu.

(3) Sahte coinler ve "toz saldırısı"

Teknik Prensip:

Blok Zinciri'nin açıklığı, herhangi birinin herhangi bir adrese token göndermesine izin verir, bu da alıcının aktif olarak talep etmemiş olsa bile mümkündür. Dolandırıcılar bunu kullanarak, birden fazla cüzdan adresine az miktarda Kripto Varlıklar gönderirler, böylece cüzdanın etkinliğini izler ve bunu cüzdanın sahibi olan birey veya şirketle ilişkilendirirler. Saldırganlar daha sonra bu bilgileri kullanarak kurbanlara kimlik avı saldırıları veya tehditler gerçekleştirirler.

Çalışma Şekli:

Çoğu durumda, toz saldırılarında kullanılan "toz" kullanıcı cüzdanlarına airdrop şeklinde dağıtılır; bu tokenlar belirli bir isim veya meta verilerle gelebilir ve kullanıcıları detayları kontrol etmek için bir web sitesine yönlendirebilir. Kullanıcılar bu tokenları nakde çevirmeye çalışabilir ve ardından saldırganlar token ile birlikte gelen sözleşme adresi aracılığıyla kullanıcının cüzdanına erişebilir. Daha gizli olanı ise, toz saldırıları sosyal mühendislik yoluyla kullanıcıların sonraki işlemlerini analiz ederek, kullanıcıların aktif cüzdan adreslerini hedef alarak daha hassas dolandırıcılıklar gerçekleştirebilir.

Gerçek Vaka:

Geçmişte, Ethereum ağı üzerinde ortaya çıkan bir token toz saldırısı binlerce cüzdanı etkiledi. Bazı kullanıcılar merak nedeniyle etkileşimde bulunarak ETH ve ERC-20 tokenleri kaybettiler.

İki, bu dolandırıcılıkların neden fark edilmesi zor?

Bu dolandırıcılıkların başarılı olmasının büyük bir nedeni, Blok Zinciri'nin meşru mekanizmalarının arkasına gizlenmiş olmalarıdır; sıradan kullanıcıların kötü niyetli doğasını ayırt etmesi zordur. İşte birkaç ana neden:

• Teknik karmaşıklık: Akıllı sözleşme kodu ve imza talepleri, teknik olmayan kullanıcılar için anlaşılması güçtür. Örneğin, bir "Approve" talebi karmaşık onaltılık veriler olarak görünebilir ve kullanıcılar bunun anlamını sezgisel olarak belirleyemez.

• Zincir üzerindeki yasal durum: Tüm işlemler Blok Zinciri üzerinde kaydedilir, görünüşte şeffafdır, ancak mağdurlar genellikle yetki veya imzanın sonuçlarını sonradan fark ederler ve bu noktada varlıklar geri alınamaz.

• Sosyal mühendislik: Dolandırıcılar insan doğasının zayıflıklarını, örneğin açgözlülük, korku veya güveni kullanır.

• Kandırma ustaca: Phishing siteleri resmi alan adlarına benzer URL'ler kullanabilir ve güvenilirliklerini artırmak için HTTPS sertifikası bile kullanabilir.

Üç, Kripto Varlıklar Cüzdanınızı Nasıl Korursunuz?

Bu teknik ve psikolojik savaşların bir arada bulunduğu dolandırıcılıklara karşı, varlıkları korumak için çok katmanlı bir strateji gereklidir. Aşağıda detaylı önlem önerileri bulunmaktadır:

Yetki izinlerini kontrol et ve yönet

• Cüzdanın yetkilendirme kayıtlarını düzenli olarak kontrol etmek için blok zinciri tarayıcısının yetkilendirme kontrol aracını kullanın.
• Gereksiz yetkileri iptal edin, özellikle bilinmeyen adreslere verilen sınırsız yetkileri.
• Her yetkilendirmeden önce, DApp'in güvenilir bir kaynaktan geldiğinden emin olun.
• "Allowance" değerini kontrol edin, eğer "sonsuz" ise derhal iptal edilmelidir.

Bağlantıyı ve kaynağı doğrula

• Resmi URL'yi manuel olarak girin, sosyal medya veya e-posta bağlantılarına tıklamaktan kaçının.
• Web sitesinin doğru alan adı ve SSL sertifikası kullandığından emin olun.
• Yanlış yazım veya fazla karakter içeren web adreslerine dikkat edin.

Soğuk cüzdan ve çoklu imza kullanımı

• Çoğu varlığı donanım cüzdanında saklayın, yalnızca gerekli olduğunda ağa bağlayın.
• Büyük varlıklar için, birden fazla anahtarın işlem onaylaması gerektiği çoklu imza araçlarını kullanın.

İmza taleplerini dikkatli işleyin

• Her imza attığınızda, cüzdan penceresindeki işlem detaylarını dikkatlice okuyun.
• Blok Zinciri tarayıcısının kod çözme işlevini kullanarak imza içeriğini çözümleyin veya teknik uzmanla danışın.
• Yüksek riskli işlemler için bağımsız bir cüzdan oluşturun, az miktarda varlık saklayın.

Toz saldırısına karşı koyma

• Belirsiz token alındığında etkileşime geçmeyin. Onu "çöp" olarak işaretleyin veya gizleyin.
• Token kaynağını Blok Zinciri tarayıcısı ile doğrulayın, eğer toplu gönderimse, yüksek dikkat gösterin.
• Cüzdan adresinizi herkese açık hale getirmekten kaçının veya hassas işlemler için yeni bir adres kullanın.

Sonuç

Yukarıda belirtilen güvenlik önlemlerinin uygulanmasıyla, kullanıcılar yüksek düzeyde dolandırıcılık planlarının kurbanı olma riskini önemli ölçüde azaltabilirler. Ancak gerçek güvenlik yalnızca teknik korumalara dayanmaz. Donanım cüzdanları fiziksel bir savunma oluşturduğunda ve çoklu imza riski dağıttığında, kullanıcıların yetkilendirme mantığını anlaması ve zincir üzerindeki davranışlarına dikkat etmesi, saldırılara karşı son kaleyi oluşturur.

Her imza öncesi veri analizi, her yetki sonrası yetki incelemesi, kendi dijital egemenliğinin korunmasıdır. Gelecekte, teknoloji ne kadar gelişirse gelişsin, en temel savunma hattı her zaman şudur: Güvenlik bilincini alışkanlık haline getirmek, güven ile doğrulama arasında dengeyi korumak. Blok Zinciri dünyasında, her tıklama, her işlem kalıcı olarak kaydedilir, değiştirilemez. Bu nedenle, dijital varlıklarınızı korumak için tetikte kalmak ve sürekli öğrenmek son derece önemlidir.