Kripto güvenliği: yaygın dolandırıcılıklar, oltalama, rug pull ve borsalara yönelik gerçek saldırılar

Unicorn Private Research. 27 Ekim 2026'da yayımlandı.

Kripto dolandırıcılıklarından ve saldırılardan nasıl korunulur? Kayıpların çoğu kriptografinin kırılmasından değil, aldatmadan kaynaklanır: sahte siteler, sahte destek görevlileri, sahte yatırım platformları ve kötü niyetli onaylar. Temel savunmalar basittir: kurtarma ifadesini ya da giriş kodunu asla paylaşmamak, şirketlere yalnızca kendi yazdığınız ya da kaydettiğiniz adreslerden ulaşmak, doğrulama uygulaması ya da donanım anahtarı kullanmak, imzalamadan önce her adresi ve her onayı kontrol etmek ve sabit ya da çok yüksek getiri vaadini bir uyarı işareti saymak.

Sorunun boyutu

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3) 2025'te kripto paralarla ilgili 181.565 şikâyet aldı; bildirilen kayıplar yaklaşık 11,4 milyar dolardı ve 2024'e göre %22 arttı. Yalnızca kripto yatırım dolandırıcılığı yaklaşık 7,2 milyar dolar tuttu, kripto ATM'leri üzerinden kayıplar ise 389 milyon dolara ulaştı (Nisan 2026'da yayımlanan IC3 2025 raporu, The Block'un özetine göre). Buna platformlardan yapılan hırsızlıklar eklenir: Chainalysis, yalnızca 2025'in ilk yarısında kripto hizmetlerinden yaklaşık 2,17 milyar dolar çalındığını hesapladı (Chainalysis yıl ortası raporu, Temmuz 2025).

En yaygın dolandırıcılıklar

• Yatırım dolandırıcılığı: sosyal medyada, bir tanışma uygulamasında ya da mesajlaşma grubunda tanışılan biri, profesyonel görünümlü bir platformda kâr gösterir, giderek daha fazla para yatırmaya teşvik eder, sonra çekimleri engeller ya da açmak için ücret ve vergi ister. IC3 verilerinde en büyük kategoridir.
• Oltalama: giriş bilgilerini, kodları ya da kurtarma ifadesini çalmak için bir borsanın ya da cüzdanın sayfasını taklit eden e-postalar, SMS'ler ve sponsorlu arama sonuçları.
• Sahte destek: çoğu zaman mağdur herkese açık bir soru sorduktan sonra ortaya çıkan, destek ekibi kılığındaki sosyal medya hesapları ya da aramalar; uzaktan erişim, kod ya da sözde güvenli bir cüzdana transfer isterler.
• Kötü niyetli onaylar ve cüzdan boşaltıcılar: bir site, bir sözleşmenin tokenlarınızı taşımasına izin veren bir işlemi ya da yetkiyi imzalamanızı ister.
• Adres zehirleme: dolandırıcı, kullandığınız bir adrese benzeyen bir adresten çok küçük bir tutar gönderir ve sizin bu adresi geçmişten kopyalamanızı umar.
• Rug pull: bir tokenın ya da projenin yaratıcıları para toplar, sonra likiditeyi çeker ya da kendi paylarını satar; alıcıların elinde anlamlı bir fiyattan satılamayan tokenlar kalır.
• Sahte çekilişler ve airdrop'lar: gönderdiğinizi iki katına çıkarma vaatleri ya da almak için cüzdanınızı bağlamanızı isteyen tokenlar.
• Kurtarma dolandırıcılığı: bir kayıptan sonra biri, peşin ücret karşılığında fonları geri getirmeyi teklif eder.

Hesapları korumak

• Her borsa ve ona bağlı e-posta için uzun ve benzersiz bir parola kullanın, bir parola yöneticisinde saklayın.
• SIM değiştirme saldırısına açık SMS kodları yerine doğrulama uygulaması ya da fiziksel güvenlik anahtarı tercih edin; operatörünüzden numara taşıma kilidi isteyin.
• Borsa sunuyorsa çekim adresi beyaz listelerini ve oltalama karşıtı kodları açın.
• Borsaya yalnızca adresi yazarak ya da kayıtlı bir yer iminden girin, reklamlardan ya da gelen bağlantılardan değil.
• Cihazlarınızı güncel tutun, cüzdanları ve eklentileri yalnızca resmî mağazalardan ve bağlantılardan kurun, kullanmadığınız eklentileri kaldırın.

Kurtarma ifadesini ve kendi saklamalı cüzdanları korumak

• Kurtarma ifadesini çevrim dışı, kâğıda ya da metale yazın; asla fotoğrafını çekmeyin ve bulutta saklamayın.
• Asla bir siteye ya da forma yazmayın: bir cüzdan bunu yalnızca kendi cihazınızda geri yüklerken ister.
• Onaylamadan önce cihaz ekranında tam alıcı adresini, ağı ve tutarı kontrol edin.
• Neyi imzaladığınızı okuyun; artık ihtiyaç duymadığınız eski token onaylarını iptal edin.
• Büyük varlıkları soğuk saklamada ya da çoklu imza düzeninde tutun, günlük kullanım için ayrı bir sıcak cüzdan kullanın.

Borsalara ve cüzdanlara yönelik gerçek saldırılar

• Bybit, 21 Şubat 2025: rutin bir transfer sırasında soğuk cüzdandan yaklaşık 1,5 milyar dolarlık ether çalındı; 26 Şubat 2025'te FBI hırsızlığı TraderTraitor olarak bilinen Kuzey Koreli aktörlere bağladı (FBI IC3). Chainalysis'e göre bu, 2025'in ilk yarısında hizmetlerden çalınan fonların yaklaşık %69'uydu.
• Coinbase, Mayıs 2025: suçlular müşteri verilerini ele geçirmek için ABD dışındaki destek taşeronlarına rüşvet verdi, ardından Coinbase kılığına girerek müşterileri fon göndermeye ikna etti; şirket 20 milyon dolarlık fidye talebini reddetti ve maliyetleri 180 ile 400 milyon dolar arasında tahmin etti (SEC'e sunulan 8-K formu, Mayıs 2025). Parolalar ve özel anahtarlar ele geçirilmedi.
• Trust Wallet, Aralık 2025: sızdırılmış bir mağaza kimlik bilgisiyle yayımlanan tarayıcı eklentisinin kötü amaçlı 2.68 sürümü cüzdanlardan yaklaşık 7 milyon dolar çekti; şirket tazminat açıkladı (The Block, Aralık 2025).
• Ledger, Haziran 2020: e-ticaret veritabanına yapılan sızma yaklaşık 1 milyon e-posta adresini ve 9.500 müşterinin bilgilerini açığa çıkardı; bunlar daha sonra oltalama mektupları ve e-postalarında kullanıldı. Cihazlar ve fonlar etkilenmedi (Ledger, Temmuz 2020).
• FTX, Kasım 2022: bir hack değil, SEC'in 13 Aralık 2022 tarihli şikâyetine göre müşteri fonlarını başka amaçlara aktaran bir borsanın çöküşü. Saklama riskinin saldırıların yanı sıra suiistimali de kapsadığını hatırlatır.

Bir şeyler ters giderse

Hızlı davranın: kalan fonları yeni kurtarma ifadesine sahip yeni bir cüzdana taşıyın, parolaları değiştirin, onayları iptal edin, borsayla resmî kanallardan iletişime geçin ve polise, ABD'de ayrıca ic3.gov'a bildirin. İşlem hash'lerini ve ekran görüntülerini saklayın. Sonradan sizinle iletişime geçip ücret karşılığında parayı geri getirmeyi vaat eden herkese karşı dikkatli olun.

Güvenlik ve Unicorn Club

Aynı kurallar bir karşı tarafa yapılan her kripto ödemesi için geçerlidir: adresi doğrulanmış bir kanaldan teyit edin ve emin değilseniz önce küçük bir deneme tutarı gönderin. Unicorn Private LLC'nin düzenlediği akredite yatırımcılar kulübü Unicorn Club, halka arz öncesi kulüp yatırımlarında BTC, ETH, USDT ve USDC (ERC-20) kabul eder; kripto ile halka arz öncesi şirketlere yatırım rehberi ödemelerin nasıl onaylandığını açıklar.

Sık sorulan sorular

Çalınan kripto geri alınabilir mi?

Bazen, fonlar kolluk kuvvetlerinin talebiyle onları donduran bir borsaya ulaştığında mümkündür; ancak çoğu durumda onaylanmış bir transfer geri alınamaz. Önlem almak geri almaktan daha önemlidir.

Sahte bir yatırım platformu nasıl anlaşılır?

Uyarı işaretleri: garantiliymiş gibi görünen getiriler, daha fazla yatırma baskısı, yüz yüze hiç görmediğiniz bir muhatap, ek ücret isteyen çekimler ve hiçbir düzenleyicinin sicilinde yer almayan bir şirket.

Bir donanım cüzdanı yeterli mi?

Özel anahtarı kötü amaçlı yazılımdan korur, ama kurtarma ifadesini açığa çıkarmanızı ya da kötü niyetli bir işlemi onaylamanızı engellemez. İyi alışkanlıklarla birlikte işe yarar.

İlgili rehber

• Unicorn Club aracılığıyla kripto parayla halka arz öncesi şirketlere nasıl yatırım yapılır
• Bitcoin ve ether ETF'leri ve kriptoya dolaylı yatırımın diğer yolları
• Kripto cüzdanlar: saklamalı ve kendi saklamalı, sıcak ve soğuk, kurtarma ifadesi
• İlk kripto paranızı adım adım nasıl alırsınız
• Kulüp anlaşması nedir? Halka arz öncesi kulüp anlaşmaları nasıl işler

Kaynaklar

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022