Dolandırıcılık NFT’leri: Web3’ün Spam E-postaları

Ledger Live’ı açtığınızda Polygon hesabınızda yeni bir NFT görüyorsunuz. Heyecanlı bir şekilde NFT’ye tıklıyor ve bir mesaj görüyorsunuz. “Tebrikler! 1.000 ETH kazandınız. Kesinlikle-bir-dolandırıcılık-nftsi-sitesi-değil.com adresine gidip ödülünüzü alın.”

Cüzdanınızı bağladığınızda sizden airdrop’u almanız isteniyor. Heyecanlı bir şekilde Nano cihazınızı açıp işlemi MetaMask’te kabul ediyor, cihazınızda işlemi kör imzalıyor ve bakiyelerinizi kontrol etmek için Ledger Live’a dönüyorsunuz. O da ne, hesabınızda hiçbir stETH olmadığını ve daha da önemlisi token bakiyelerinizin uçtuğunu görüyorsunuz! Günümüzde kripto sahiplerini hedef alan en yaygın dolandırıcılıklara kurban düşmek işte bu kadar kolaydır. Peki, yanlışı nerede yaptınız?

Hepimiz airdrop’ları duymuşuzdur, şanslıysanız onları alarak iyi bir miktar kazanç bile elde etmişsinizdir. Ancak püf noktası şudur: Herkes hiçbir şey yapmadan bir şeyler elde etmek ister. Dolandırıcılar da tam olarak bu histen faydalanır. Elbette dolandırıcılık NFT’leri sıradan dolandırıcılıklardan biraz daha sofistikedir. Deneyimli kripto kullanıcıları için bile bunları tespit etmek çok daha zor olabilir.

Peki bu dolandırıcılıkta süreç nasıl işler?

Dolandırıcılık NFT’leri Nedir ve Bu Dolandırıcılıkta Süreç Nasıl İşler?

Dolandırıcılık NFT’leri, dolandırıcılık e-postalarının Web3’teki eş değeridir. Nasıl dünyanın her yerinde e-posta gelen kutuları bu tarz dolandırıcılık e-postalarıyla doluysa, on chain (zincir içi) cüzdan adresleri de bu dolandırıcılık NFT’leriyle doludur. Kullanılan yöntem, dolandırıcılık e-postalarındakine çok benzer. Spam ve oltalama girişimlerini tespit eden ve filtreleyen sistemleri geliştirmemiz yıllar sürmüştür, ancak kripto dünyası bu açıdan hâlâ vahşi batı gibidir. Dolayısıyla da dolandırıcılık NFT’leri biraz farklıdır.

Bir dolandırıcılık NFT’sinde genellikle bazı yaygın sosyal mühendislik taktikleri kullanılır. Bazı dolandırıcılık NFT’leri sizi kandırarak token’larınızı veya NFT’lerinizi vermenizi sağlamaya çalışırken, bazıları ise yerel varlıklarınızı (ETH, MATIC vb.) da hedef alır.

Genellikle sizi acil bir şekilde harekete geçmeye teşvik eden bir eylem çağrısı olur: Bir geri sayım sayacı veya büyük miktarda para kazanma vaadi popüler yöntemlerdir. Esas itibarıyla dolandırıcılar mantıksız bir şekilde ve acilen hareket etmenizi ister. Ücretsiz kripto veya bir NFT koleksiyonuna erişim gibi ilginizi çekecek bir şey vadederler.

Her dolandırıcılığın kendine has bir tarzı vardır ama hep aynı aracı kullanırlar: oltalama. Ne yazık ki bir oltalama bağlantısına erişmek kötü amaçlı bir kişinin şu yöntemlerden biriyle size ulaşmasını sağlar: Saldırganın dosyalarınıza erişmesini ve ekranınızı kurcalamasını sağlayan kötü amaçlı bir yazılımın bilgisayarınıza indirilmesi veya daha yaygın bir yöntem olarak kötü amaçlı bir işlemi imzalamaya ikna edilmeniz.

Bu dolandırıcılıkların arasındaki farkların neler olduğuna bakalım:

Kötü Amaçlı Bir Yazılım İndirmenizi Sağlayan Dolandırıcılık NFT’leri

Dolandırıcı ilk olarak NFT’deki bir oltalama bağlantısını kullanarak sizi bilgisayarınıza kötü amaçlı bir yazılımın indirileceği bir siteye yönlendirir. Bu, saldırganın dosyalarınızı okumasına olanak tanır. Bir yazılım (sıcak) cüzdan kullanıyorsanız saldırgan, hesabınıza ait gizli kurtarma ifadesini veya özel anahtarları cihazınızın belleğinde bulabilir. Hatta bir keylogger (tuş kaydedici) yükleyip kripto hesaplarınız için olanlar da dâhil tüm parolalarınızı öğrenebilir.

Bu örnekte varlıklarınızı bir Ledger cihazıyla korumak, özel anahtarlarınız internet bağlantısından izole bir şekilde saklandığından kriptolarınızın güvende olmasını sağlar. Bu da kriptolarınızın Web2 cihazınızdaki potansiyel kötü amaçlı yazılımlara veya casus yazılımlara karşı güvende olduğu anlamına gelir.

Ne yazık ki Dolandırıcılık NFT’lerinin en yaygın türünde mağdurları tuzağa düşürmek için farklı bir yöntem kullanılır ve donanım cüzdan sahipleri hedef alınır.

Kötü Amaçlı Bir İşlemi İmzalamanızı Sağlayan Dolandırıcılık NFT’leri

Açıklamak gerekirse, bir Dolandırıcılık NFT’sinde yer alan bir oltalama sitesi sizi bir işlemi imzalamaya yönlendirebilir ve bu da bir Ledger cihazının sizi koruyamayacağı bir şeydir. Ledger cihazınızı Ledger Ekosistemi içinde kullanmak güvenlidir.

Ancak Ledger cihazınızı Ledger Live’ın dışındaki uygulamalara ve hizmetlere erişmek için kullanmak istiyorsanız, cihazı MetaMask, Coinbase Wallet veya WalletConnect gibi bir üçüncü taraf cüzdan arayüzüne bağlamanız gerekir.

İşte bu en kritik andır: Tam olarak neyi imzaladığınız nadiren net bir şekilde bellidir ve bazı cüzdanlar önerilen işlemin tüm ayrıntılarını insan tarafından okunabilir bir dilde göstermez. Bu, kör imzalama olarak adlandırılır ve ne yazık ki dolandırıcılar arasında yaygın bir saldırı vektörüdür. Ne yazık ki tek bir onay yeterlidir: Onayla tuşuna tıkladığınızda varlıklarınız doğrudan dolandırıcının cüzdanına gidebilir.

NFT’yi Satarsam veya Transfer Edersem Ne Olur?

İlk olarak, bunu yapmayın. Ne yaparsanız yapın kötü amaçlı olma ihtimali bulunan bir token ile etkileşime geçmeyin. Açıklamak gerekirse, bu dolandırıcılıklar nadiren sadece on-chain (zincir içi) etkileşime geçerek etkinleşir, bu spam token’ların satılması veya transfer edilmesi size hiçbir şey kazandırmaz.

Spam’i yakım adresine göndermeyi düşünüyor olabilirsiniz. Ancak bu göründüğü kadar iyi bir fikir değildir. Dolandırıcılık NFT’si sözleşmeleri aceleyle yazılır ve oldukça verimsiz olabilir. Elbette dolandırıcıların en iyi NFT sözleşmesini konuşlandırmak gibi bir dertleri yoktur. Neticede tek istedikleri şey, olup bitenden habersiz kullanıcıların fonlarını çalmaktır. Bu, sözleşmeyi çağırma maliyeti son derece yüksek olabileceğinden dolandırıcılık NFT’lerini transfer etmeye çalıştığınızda sizi doğrudan etkileyebilir. Bunun dolandırıcıya bir faydası olmasa da fonlarınızı gas ücretleri ödeyerek boşa harcamanıza neden olabilir.

Bu NFT’leri satmak da bir çözüm değildir. Çoğu zaman akıllı sözleşme NFT’yi satmanızı yasaklar. Evet, o spam ile aldığınız 2 ETH’lik teklifi hiçbir şekilde kullanamazsınız. Ne yazık ki bu spam token’lardan kazanç elde etmenizi önleyen mantıksal bir kod yazmak oldukça kolaydır, bu yüzden hesabınızdaki dolandırıcılık NFT’lerini transfer etmeyi veya satmayı denemeniz önerilmez. Bunun yerine, en iyisi portföyünüzde spam NFT’lerini gizlemektir.

Bağlantıya Tıkladım, Ne Yapmalıyım?

Sadece bir dolandırıcılık bağlantısına tıklamanızın sonucunda cihazınızın etkilenmesi düşük bir olasılıktır. Genellikle site, kötü amaçlı bir yazılımı dizüstü bilgisayarınıza veya akıllı telefonunuza indirmeniz veya kripto cüzdanınızla bir işlemi imzalamanız için sizi ikna etmeye çalışır. Bir Ledger cihazınız varsa, Web2 cihazınızdaki kötü amaçlı yazılımlar için endişelenmeniz gerekmez. Dizüstü bilgisayarınızda veya akıllı telefonunuzda bir kötü amaçlı yazılım olsa bile, Ledger cihazınız özel anahtarlarınızı saklama ve işlemleri imzalama süreçlerini izole bir ortamda gerçekleştirir.

Ancak kötü amaçlı bir işlemi imzalarsanız bir Ledger cihazı kullanmak, kötü amaçlı kişiyi durdurmayacaktır. Bu yüzden güvenilir olmayan bir bağlantıya tıklarsanız ve sizden bir işlemi imzalamanız istenirse bunu sakın yapmayın! Hangi tür bir cüzdan kullanırsanız kullanın, bu kriptolarınız için en büyük tehdittir.

Kötü Amaçlı Bir İşlem İmzaladım, Ne Yapmalıyım?

Kötü amaçlı bir işlemi imzalamak varlıklarınızı kaybetmenize yol açabilir. Bir oltalama sitesindeki bir işlemi imzaladıysanız, token’larınızı kurtarmak için artık çok geç kalmış olabilirsiniz. İşlemi imzaladığınızda varlıklarınızın takas edilme, aktarılma veya “satılma” süreci başlar ve bu da onları kaybetmeniz için yeterlidir.

Daha fazla kayıp yaşamamak için hemen onayları feshetmeyi sağlayan bir araç kullanmalısınız. Popüler araçlar arasında Etherscan veya Revoke.cash yer alır. Bunun için küçük bir gas ücreti ödemeniz gerekeceğini lütfen unutmayın.

Dolandırıcılık NFT’leri Nasıl Yönetilir?

Artık kriz anında neler yapmanız gerektiğini öğrendiğinize göre, şimdi de dolandırıcılık NFT’lerinden etkilenmemek için başvurabileceğiniz bazı önemli yöntemlere bir bakalım.

Güvenmek yerine kendiniz doğrulayın.

Doğrulamak, bilgileri bizzat bulmanız anlamına gelir. Bir diğer meşhur söz ise şudur, “Kendi araştırmanızı yapın” (DYOR). Meşru Airdrop’lar genellikle bir heyecan yaratır ve sosyal medyada yoğun bir şekilde konuşulur. Bir airdrop’u doğrulamak için Reddit ve Twitter’da onu mutlaka araştırın. Bu durumda bile dolandırıcılar hype yaratmak için sahte hesaplar oluşturur. Projenin meşruluğunu doğrulayın, kriptoda deneyimli arkadaşlarınıza sorun, bir topluluğa dâhil olun ve ancak tüm bunları yaptıktan sonra o sözleşmeye bağlanma riskini almak isteyip istemediğinize karar verin.

Şüpheye Düşerseniz İmzalamayın.

Ledger cihazınızda herhangi bir şeyi onaylamadan önce işlem ayrıntılarını cüzdan arayüzünüzde dikkatle gözden geçirin. Dolandırıcılar geçerli bir imza olmadan varlıklarınızı elinizden alamaz, bu yüzden kendinizi korumanın en iyi yolu işlemi imzalamamaktır. Bağlanmaya kesinlikle karar verdiyseniz, onayları ana bakiyelerinizden uzak tutmak için tek kullanımlık bir cüzdan kullanmayı düşünün.

Dolandırıcılıkları Bildirin

Bu dünyayı daha güvenli hâle getirmek için sıkı bir şekilde çalışıyoruz, ancak dolandırıcılık sitelerinin icabına bakmak adeta bir köstebek tokmaklama oyunu gibidir. Dolandırıcılıkları blok zinciri dedektiflerine, çevrim içi ihbar hizmetlerine veya polise ihbar edebilirsiniz. Ledger cihazlarını kapsayan bir dolandırıcılıkla karşılaştıysanız müşteri destek ekibiyle iletişime geçin.

Uygulamalara ve Hizmetlere Ledger Live ile Erişin

Ledger Live içinde dolandırıcılık NFT’lerini görselleştirebilirsiniz. Ledger Live’da tanımadığınız bazı NFT’ler görürseniz, bunlarla etkileşime geçmeyin. Dolandırıcılık NFT’leri sizi her zaman Ledger Live’dan ayrılmaya yönlendirir. Kriptolarınızı güvende tutmanın ilk adımı, bu istekleri yok saymaktır. Güvenliğiniz için Ledger Live NFT’lerdeki URL’leri kopyalayıp yapıştırmanıza izin vermeyecek bir şekilde tasarlanmıştır, ancak başka platformlar üzerinden bir oltalama bağlantısına tıklarsanız bu oltalama sitelerinden bazılarının şaşırtıcı bir şekilde gerçek gibi göründüğünü görebilirsiniz.

Uygulamalara ve hizmetlere Ledger Live aracılığıyla erişirken şeffaf imzalama eklentisinden yararlanabilirsiniz. Bu, NFT’leri desteklenen piyasalar üzerinden ve her bir işlemi insan tarafından okunabilir bir biçimde görerek satın alıp satabileceğiniz anlamına gelir. O hâlde bir Ledger donanım cüzdan cihazı satın alıp NFT’leri güvenli ve bilgi sahibi bir şekilde yönetmeye ne dersiniz?

Unutmayın: Her işlemdeki en önemli parça sizsinizdir. Fonlarınızı güvende tutma gücü yalnızca sizdedir. Bir Ledger cihazı fonlarınızı çevrim içi tehditlerden koruyabilir, ancak işlemleri onaylayan kişi sizsinizdir; bu yüzden güvenmeyin, doğrulayın.