Blok Zinciri dünyasının yeni tehditleri: protokol açıkları dolandırıcılık aracı haline geliyor

Kripto para birimleri ve Blok Zinciri teknolojisi finansal yapıyı değiştiriyor, ancak aynı zamanda yeni güvenlik zorlukları da getiriyor. Dolandırıcılar artık yalnızca teknik açıkları kullanmakla sınırlı kalmıyor, aynı zamanda Blok Zinciri akıllı sözleşme protokollerini saldırı aracı haline getiriyor. Özenle tasarlanmış sosyal mühendislik tuzakları aracılığıyla, Blok Zinciri'nin şeffaflığını ve geri alınamazlığını kullanarak kullanıcıların güvenini varlık çalma aracı haline getiriyorlar. Sahte akıllı sözleşmelerden çapraz zincir işlemlerini manipüle etmeye kadar, bu saldırılar yalnızca gizli ve zor tespit edilmekle kalmıyor, aynı zamanda "yasal" görünümü nedeniyle daha aldatıcı hale geliyor.

Bir, yasal protokol nasıl dolandırıcılık aracına dönüşür?

Blok Zinciri protokolü aslında güvenliği ve güveni sağlamak amacıyla tasarlanmıştır, ancak dolandırıcılar bu özellikleri ustaca kullanarak, kullanıcıların dikkatsizliği ile bir araya getirerek çeşitli gizli saldırı yöntemleri geliştirmişlerdir. Aşağıda bazı yaygın yöntemler ve teknik detayları bulunmaktadır:

(1) Kötü Niyetli Akıllı Sözleşme Yetkilendirmesi

Teknik Prensip: Ethereum gibi blok zincirlerinde, ERC-20 token standardı kullanıcıların "Approve" fonksiyonu aracılığıyla üçüncü taraflara cüzdanlarından belirli miktarda token çekme yetkisi vermesine olanak tanır. Bu özellik, DeFi protokollerinde yaygın olarak kullanılmakta, ancak dolandırıcılar tarafından da istismar edilmektedir.

Çalışma Şekli: Dolandırıcılar, yasal projelere benzer şekilde tasarlanmış DApp'ler oluşturur, kullanıcıları cüzdanlarını bağlamaya ve yetki vermeye ikna eder. Görünüşte az miktarda token'e yetki vermek gibi görünse de, aslında sınırsız bir limit olabilir. Yetki verildikten sonra, dolandırıcılar kullanıcı cüzdanından her zaman ilgili tüm token'leri çekebilir.

Gerçek vaka: 2023 yılının başında, "bir DEX güncellemesi" olarak gizlenen bir kimlik avı sitesi yüzlerce kullanıcının milyonlarca dolar değerinde USDT ve ETH kaybetmesine neden oldu. Bu işlemler tamamen ERC-20 standardına uygundu ve mağdurların varlıklarını yasal yollarla geri alması zor oldu.

(2) İmza Phishing

Teknik Prensip: Blok zinciri işlemleri, kullanıcıların işlem geçerliliğini kanıtlamak için özel anahtarlarıyla imza üretmelerini gerektirir. Dolandırıcılar bu süreci kullanarak, imza taleplerini sahteleyerek varlıkları çalmaktadır.

Çalışma şekli: Kullanıcılar, resmi bildirim olarak gizlenmiş mesajlar alarak kötü niyetli bir web sitesine yönlendiriliyor ve cüzdanı bağlaması ve "işlemi doğrulaması" isteniyor. Bu işlem, kullanıcıların varlıklarını doğrudan transfer edebilir veya dolandırıcıların kullanıcıların NFT koleksiyonları üzerinde kontrol sahibi olmasına izin verebilir.

Gerçek Örnek: Bir ünlü NFT proje topluluğu imza phishing saldırısına uğradı, çok sayıda kullanıcı sahte "airdrop alma" işlemini imzalayarak milyonlarca dolarlık NFT kaybetti. Saldırganlar EIP-712 imza standartını kullanarak, güvenli görünen sahte talepler oluşturdu.

(3) Sahte tokenler ve "toz saldırısı"

Teknik Prensip: Blok zincirinin açıklığı, herkesin herhangi bir adrese token göndermesine izin verir. Dolandırıcılar bu durumu kullanarak, birden fazla cüzdan adresine az miktarda kripto para gönderir, cüzdan aktivitelerini takip eder ve bunları bireyler veya şirketlerle ilişkilendirir.

Çalışma şekli: "Toz" kullanıcı cüzdanlarına airdrop şeklinde dağıtılır, yanıltıcı adlar veya meta veriler içerebilir. Dolandırıcılar, kullanıcıların sonraki işlemlerini analiz ederek, aktif cüzdan adreslerini belirler ve daha hassas dolandırıcılık gerçekleştirir.

Gerçek vaka: Ethereum ağı üzerinde "GAS token" toz saldırıları meydana geldi, bu da binlerce cüzdanı etkiledi. Bazı kullanıcılar meraklarından etkileşimde bulunarak ETH ve ERC-20 token kaybetti.

İkincisi, bu dolandırıcılıklar neden fark edilmesi zor?

Bu dolandırıcılıkların başarılı olmasının büyük bir kısmı, Blok Zinciri'nin meşru mekanizmaları içinde gizlenmeleridir; sıradan kullanıcılar onların kötü niyetli doğasını ayırt etmekte zorlanmaktadır. Ana nedenler şunlardır:

1. Teknik karmaşıklık: Akıllı sözleşme kodları ve imza talepleri, teknik olmayan kullanıcılar için zor anlaşılır.
2. Zincir üzerindeki yasallık: Tüm işlemler blok zincirinde kaydedilir, görünüşte şeffaf görünür, ancak mağdurlar genellikle sorunları sonradan fark eder.
3. Sosyal mühendislik: Dolandırıcılar insan doğasının zayıf noktalarını, örneğin açgözlülük, korku veya güveni kullanır.
4. Kandırma Sanatı: Phishing siteleri, resmi alan adıyla benzer URL'ler kullanabilir ve hatta HTTPS sertifikaları ile güvenilirlik artırabilir.

Üç, Kripto Para Cüzdanınızı Nasıl Korursunuz?

Bu teknik ve psikolojik savaşların bir arada bulunduğu dolandırıcılıklara karşı varlıkları korumak için çok katmanlı stratejilere ihtiyaç vardır:

Yetki izinlerini kontrol et ve yönet

• Cüzdanın yetki kayıtlarını düzenli olarak kontrol etmek için profesyonel araçlar kullanın.
• Gereksiz yetkileri iptal edin, özellikle bilinmeyen adreslere sınırsız yetki vermekten kaçının.
• Her yetkilendirmeden önce, DApp kaynağının güvenilir olduğundan emin olun.

Bağlantıyı ve kaynağı doğrulayın

• Resmi URL'yi manuel olarak girin, sosyal medya veya e-postalardaki bağlantılara tıklamaktan kaçının.
• Web sitesinin doğru alan adı ve SSL sertifikası kullandığından emin olun.
• Yazım hatalarına veya fazla karakterlere dikkat edin.

Soğuk cüzdan ve çoklu imza kullanımı

• Çoğu varlığı donanım cüzdanında saklayın, yalnızca gerektiğinde ağa bağlanın.
• Büyük varlıklar için çoklu imza araçları kullanın, işlemi onaylamak için birden fazla anahtar gereklidir.

İmza taleplerini dikkatlice işleyin

• Cüzdan açılır penceresindeki işlem detaylarını dikkatlice okuyun.
• Blok Zinciri tarayıcısını kullanarak imza içeriğini çözümleyin veya teknik uzmanla danışın.
• Yüksek riskli işlemler için bağımsız bir cüzdan oluşturun, az miktarda varlık saklayın.

Toz Saldırılarına Karşı

• Bilinmeyen bir token aldığınızda, etkileşimde bulunmayın. Bunu "çöp" olarak işaretleyin veya gizleyin.
• Token kaynağını Blok Zinciri tarayıcısı ile doğrulayın, toplu gönderimlere dikkat edin.
• Cüzdan adresinizi ifşa etmekten kaçının veya hassas işlemler için yeni bir adres kullanın.

Sonuç

Yukarıda belirtilen güvenlik önlemlerinin uygulanması, yüksek düzeyde dolandırıcılık mağduru olma riskini önemli ölçüde azaltabilir. Ancak, gerçek güvenlik yalnızca teknik savunmalara dayanmaz, aynı zamanda kullanıcıların yetkilendirme mantığını anlaması ve zincir üzerindeki davranışlarına dikkat etmesi gerekir. Her imzadan önce veri analizi, her yetkilendirmeden sonra yetki incelemesi, kendi dijital egemenliğini korumanın yollarıdır.

Kodun yasalar olduğu Blok Zinciri dünyasında, her tıklama, her işlem kalıcı olarak kaydedilir ve değiştirilemez. Bu nedenle, güvenlik bilincini bir alışkanlık haline getirmek, güven ve doğrulama arasında dengeyi korumak, dijital varlıkları korumanın anahtarıdır.