Güvenlik satan dolandırıcılık
Sahte "AML kontrolü" siteleri, cüzdanınızın temiz olup olmadığını söylemeyi vaat ediyor. Kontrol ücretsiz. Sizden istenen imza değil.
Anlatı şöyle işliyor. Bir site — ya da bir bot, ya da bir Telegram grubunda size yardım etmek isteyen biri — cüzdanınızın işaretlenmiş olabileceğini söylüyor. Kirli coin, diyor. Size ulaşmadan önce bir hack'ten ya da yaptırımlı bir borsadan geçmiş para. Adresinizi yapıştırın, ücretsiz "AML kontrolü" yapın, bir borsanın hesabınızı dondurma riskiyle karşı karşıya olup olmadığınızı öğrenin.
Decrypt bu hafta, dolandırıcıların kripto uyum (compliance) servislerinin kimliğine bürünerek kullanıcılara, paralarına erişim veren işlemleri onaylattığını yazdı. Kontrolün kendisi tiyatro. Asıl ürün, sonunda bastığınız düğme — cüzdanınızdan bir şey imzalamanızı isteyen düğme. İmzaladığınızda hiçbir şeyi doğrulamış olmuyorsunuz. Bir yabancıya, canı ne zaman isterse tokenlarınızı taşıma izni vermiş oluyorsunuz.
Kripto dolandırıcılıklarının çoğu size açgözlülük satar. Bu, korku satıyor — ve korku daha iyi bir ürün. Borsada çekim işlemi askıya alınmış ya da bir tanıdığının hesabının, kendi seçmediği coinler yüzünden donduğunu duymuş herkes bu duyguyu zaten biliyor. Dolandırıcının kaygıyı icat etmesine gerek yok. Sadece çare sunması yeterli.
Mekanik eski ve sıkıcı, tam da bu yüzden işe yarıyor. Kripto cüzdanında bir işlemi imzalamak, şifre girmeye benzemez — daha çok boş bir çeki imzalayıp masada bırakmaya benzer. Onayların çoğu parayı hemen oynatmaz. Sonradan, istenen miktarda, istenen zamanda oynatma izni verir. Biri salı günü onaylar, cuma günü boşaltılır, hafta sonunu da neye tıkladığını çözmeye çalışarak geçirir.
Gerçek bir uyum kontrolü hiçbir zaman imzanızı istemez. Bir adrese bakmak salt okuma işlemidir — herkes bunu herkese açık bir blok gezgininden yapabilir, cüzdan bağlamaya gerek yoktur.
Bütün mesele bu ve tek satıra sığıyor. Bir "güvenlik" aracı cüzdan bağlamanızı ve bir şeyi onaylamanızı istiyorsa, tehdit o aracın kendisidir. Size vereceğini iddia ettiği bilgi zaten herkese açık, ücretsiz ve sizden adresten başka hiçbir şey istemiyor.
Bir yabancıdan, bir airdrop'tan ya da Telegram'daki rastgele birinden token alıp "acaba bu para temiz miydi" diye içinden geçirmiş herkes — o şüphe, bu dolandırıcılığın ham maddesi. En sert vurduğu yer, bu işe yeni girenler: cüzdanında ilk birkaç bin lirası olan yirmili yaşlardakiler, hangi uyarının gerçek olduğunu henüz bilmeyenler ve tam da paniğe kapılıp düğmeye basma ihtimali en yüksek olanlar. Bir de iş üzerinden bu dünyaya girenlere ulaşıyor: stablecoin ile ödeme alan serbest çalışanlar ve uzaktan çalışanlar — kriptoyla uğraşıyorlar çünkü müşteri öyle gönderdi, blokzincir adli incelemesi hobileri olsun diye değil. Ve kriptonun tehlikeli olduğu söylenmiş anne babalara, yaşlı akrabalara ulaşıyor: bunu doğrulayan bir ekrana inanırlar.
Bu sahte kontrolcülerin bundan sonra nereye taşındığına bakın. Şu an taklit web sitelerinde ve Telegram botlarında yaşıyorlar. Asıl beklenmesi gereken sürüm, e-posta kutunuza gerçek borsanız gibi görünerek düşen sürüm — aynı logo, aynı üslup, konu satırında hesabınızla ilgili bir uyum incelemesi. Cüzdan güvenliği şirketleri bir sonraki drainer raporlarında bu deseni bildirmeye başlarsa, bu iş dar bir numara olmaktan çıkıp kitlesel bir e-posta kampanyasına dönüşür. İkinci bakılacak şey kendi onaylarınız: iptal (revoke) araçları, cüzdanınızın bugüne kadar verdiği her izni görmenizi sağlıyor ve ilk kez bakan çoğu kişi listenin uzunluğuna şaşırıyor.
En kurnaz kısmı kod değil. Dolandırıcılığın, sizi korumakla görevli olanların dilini ödünç alması — uyum, tarama, risk skoru — ve bunu kostüm gibi kullanması. Güvenliğin kendisi herkesin giyebileceği bir markaya dönüştüğünde, geriye tek bir savunma kalıyor: gerçek bir kontrolün asla neyi istemeyeceğini bilmek.
Kaynaklar: Decrypt, "Fake Crypto AML Checkers Are Trying to Drain Users' Wallets" (uyum servislerinin kimliğine bürünen dolandırıcılar hakkında haber)