Bir siber saldırı her zaman ekranda belirgin bir uyarı oluşturmaz. Kullanıcı, iş görüşmesi için gönderildiğini düşündüğü bir dosyayı açabilir veya tanıdığı bir projenin sitesine benzeyen sayfayı ziyaret edebilir.

Ancak saldırının sessiz olması, nasıl gerçekleştiğinin önemsiz olduğu anlamına gelmez. Özel anahtarların çalınmasıyla, kullanıcının zararlı bir izni onaylaması farklı olaylardır.

Kripto güvenliğini anlamak için yalnızca “cüzdan boşaldı” sonucuna değil, saldırganın hangi yetkiyi nasıl elde ettiğine bakmak gerekir.

“1,2 Milyar Dolar ve Sahte PDF” Hikâyesi Doğrulandı mı?

Anlatıda mağdurun adı, olay tarihi, ilgili işlemler veya soruşturma kaydı bulunmuyor. Bu nedenle kayıp tutarı ve kişinin olay sırasında uyuduğu ayrıntısı doğrulanamıyor.

Sahte iş teklifleriyle kripto sektörünün hedef alınması ise belgelenmiş bir tehdit.

FBI’ın Eylül 2024 tarihli uyarısı, Kuzey Kore bağlantılı aktörlerin kripto şirketi çalışanlarına yönelik kişiselleştirilmiş sosyal mühendislik faaliyetlerini anlatıyor. Microsoft’un araştırmaları da sahte geliştirici görüşmeleri üzerinden zararlı yazılım dağıtıldığını gösteriyor.

Ancak bu kayıtlar, başlıktaki belirli hikâyeyi doğrulamaz.

PDF Dosyası Nasıl Risk Oluşturabilir?

Birbirinden farklı durumlar söz konusu olabilir. Gerçek bir PDF, kullanıcıyı zararlı bir bağlantıya yönlendirebilir veya belgeyi açan yazılımdaki bir güvenlik açığını hedefleyebilir.

Başka bir dosya ise görünümü veya adıyla PDF izlenimi verebilir. Kullanıcı belge açtığını düşünürken farklı bir dosya türünü çalıştırabilir.

Bu nedenle “PDF açınca otomatik olarak cüzdan çalınır” sonucu doğru değildir. Dosyanın gerçek türü, içerdiği bağlantılar ve kullanılan yazılım önemlidir.

Belge görüntülemekle, belgenin yönlendirdiği programı kurmak da aynı işlem değildir.

Sahte İş Teklifleri Neden Kullanılıyor?

İş görüşmesi sürecinde adaylardan dosya incelemeleri, uygulama kurmaları veya teknik görev yapmaları istenebilir. Saldırganlar bu beklentiyi kullanabilir.

Microsoft’un Contagious Interview araştırması, işe alım görevlisi gibi davranan aktörlerin sahte görüşmeler üzerinden zararlı yazılım dağıttığını açıklıyor.

Buradaki amaç, yalnızca kullanıcının parasını hedeflemek olmayabilir. Şirket hesapları, erişim bilgileri ve imzalama anahtarları da risk altında olabilir.

Dolayısıyla kişisel cihazdaki bir sorun, kurumsal sistemlere uzanan sonuçlar oluşturabilir.

Wallet Drainer Nedir?

Wallet drainer, cüzdandaki varlıkları saldırganın kontrolüne aktarmayı amaçlayan kötü niyetli araçlar ve düzenekler için kullanılan genel bir terimdir.

Bunların hepsi bilgisayara kurulan yazılımlar değildir. Bazıları sahte siteler ve yanıltıcı imza talepleri üzerinden çalışır.

Kullanıcı, güvenli bir işlem yaptığını düşünürken varlık transferini veya belirli tokenlara erişim yetkisini onaylayabilir.

Bu yüzden zararlı yazılım bulaşmasıyla, kandırılarak yetki verilmesi aynı saldırı mekanizması olarak anlatılmamalıdır.

Clipboard Malware Ne Yapar?

Clipboard malware, kopyalama panosundaki bilgileri izleyen veya değiştiren zararlı yazılımdır.

Kripto adresi kopyalandığında, yapıştırılan adres saldırganın adresiyle değiştirilebilir. Kullanıcı transferi bu değiştirilmiş hedefe onaylarsa para yanlış yere gider.

Bu yöntem, tek başına özel anahtarı ele geçirmek veya bütün cüzdanı otomatik boşaltmak anlamına gelmez. Microsoft’un araştırmaları, pano manipülasyonunu cüzdan verisi hırsızlığından ayrı bir tehdit olarak ele alıyor.

Sonuç aynı görünebilir; ancak saldırganın elde ettiği yetki farklıdır.

Cüzdanı Siteye Bağlamak Harcama İzni Vermek mi?

Cüzdan bağlantısı, token harcama izni ve işlem imzası farklı aşamalardır.

Bir siteye bağlanmak, tek başına bütün varlıkların aktarılmasına izin verildiği anlamına gelmez. Ancak sonrasında sunulan işlem veya imza talebi ayrıca incelenmelidir.

MetaMask belgelerine göre token onayı, belirli bir tokenın belirli bir adres veya sözleşme tarafından taşınabilmesine yönelik yetki sağlayabilir.

Bu izin, kapsamına göre risk oluşturur. Her onay, bütün kripto varlıklara erişim sağlamaz.

Varlıklar Kullanıcı Uyurken Aktarılabilir mi?

Saldırgan gerekli anahtarları ele geçirmişse, kullanıcı o anda aktif olmasa da işlem gerçekleştirebilir.

Bazı token izinlerinde de daha önce verilmiş yetki, kullanıcıdan yeni bir onay alınmadan kullanılabilir. Bu durumda aktarım için kullanıcının bilgisayarının açık olması gerekmeyebilir.

Ancak yalnızca bir sitenin cüzdana bağlı olması, böyle bir yetkinin bulunduğunu göstermez.

“Uyurken çalındı” ifadesi saldırının zamanını anlatabilir; hangi güvenlik mekanizmasının aşıldığını açıklamaz.

Siteyle Bağlantıyı Kesmek Yeterli mi?

MetaMask’ın açıklamalarına göre cüzdanı bir uygulamadan ayırmak, daha önce verilmiş token izinlerini kaldırmaz.

Bağlantıyı kesmekle, blockchain üzerindeki harcama yetkisini iptal etmek farklı işlemlerdir.

Ayrıca özel anahtar veya kurtarma kelimeleri ele geçirilmişse, yalnızca token izinlerini kaldırmak da sorunu çözmez. Saldırgan anahtar üzerinden doğrudan işlem yapabilir.

Bu nedenle doğru müdahale, saldırının kaynağının anlaşılmasına bağlıdır.

Donanım Cüzdanı Bütün Saldırıları Engeller mi?

Donanım cüzdanı, özel anahtarların korunmasına yardımcı olabilir. Ancak kullanıcı cihaz üzerinden zararlı bir işlemi veya geniş kapsamlı izni onaylarsa, anahtarların çalınmasına gerek kalmadan kayıp yaşanabilir.

Cihazın sağladığı korumayla, imzalanan işlemin güvenilirliği ayrı konulardır.

Kurtarma kelimelerinin sahte bir siteye yazılması da cihazın korumasını aşan bir erişim riski oluşturabilir.

Güvenli cihaz kullanmak, her imza talebinin güvenli olduğu anlamına gelmez.

Her Saldırı Lazarus Group’a Bağlanabilir mi?

Hayır. Kuzey Kore bağlantılı aktörlerin kripto sektörünü hedeflediğine ilişkin resmî uyarılar bulunması, her sahte dosya veya cüzdan hırsızlığının aynı gruba ait olduğunu göstermez.

Belirli bir saldırıyı bir aktöre bağlamak için o olaya ilişkin teknik ve soruşturma bulguları gerekir.

Benzer yöntemler farklı kişiler tarafından kullanılabilir. Saldırının büyük tutarlı olması da tek başına failin kimliğini açıklamaz.

Bu nedenle belgelenmeyen grup bağlantıları, hikâyeyi güçlendirmek için eklenmemelidir.

Şüpheli Bir İşlemde Hangi Ayrım Önemlidir?

Sorunun cihazdaki zararlı yazılımdan mı, çalınmış erişim bilgilerinden mi yoksa verilen token izninden mi kaynaklandığı belirlenmelidir.

İşlem kimlikleri, şüpheli mesajlar ve imza talepleri olayın anlaşılmasına yardımcı olabilir. Kurtarma kelimeleri ise yardım sunduğunu söyleyen kişilere verilmemelidir.

Güvenlik sorunu çözülmeden aynı cihaz üzerinden yapılan işlemler de yeni risk oluşturabilir.

Amaç, yalnızca görünen bağlantıyı kapatmak değil, saldırganın elindeki yetkiyi doğru tespit etmektir.

Hikâyenin Temel Dersi Nedir?

Başlıktaki kişi, tutar ve uyku ayrıntısı doğrulanamıyor. Buna rağmen sahte iş teklifleri, zararlı dosyalar ve yanıltıcı cüzdan talepleri belgelenmiş risklerdir.

Bu yöntemleri tek bir “sahte PDF saldırısı” altında toplamak, nasıl korunulacağını anlamayı zorlaştırır.

Konunun güçlü dersi burada: Bir cüzdan kaybını anlamak için dosyanın açılmasından çok, saldırganın hangi erişimi veya izni elde ettiğine bakmak gerekir.

Anahtar güvenliği, cihaz güvenliği ve işlem onayları birlikte değerlendirilmelidir.

Kaynaklar: FBI’ın 3 Eylül 2024 tarihli kripto sektörüne yönelik sosyal mühendislik uyarısı; Microsoft’un Contagious Interview ve Cryware araştırmaları; MetaMask’ın token izinleri, cüzdan bağlantısı ve izin iptali açıklamaları. ic3.gov

Editör Notu

Bu içerik bilgilendirme amacıyla hazırlanmıştır ve yatırım tavsiyesi içermez. Sahte PDF nedeniyle bir kişinin uykusunda 1,2 milyar dolar kaybettiği anlatısı doğrulanmış bir vaka olarak kullanılmamıştır. Zararlı yazılım, pano manipülasyonu, anahtar hırsızlığı ve token izni saldırıları farklı mekanizmalardır.