Saldırganlar için eskiden bankalar siber saldırılar için en iyi hedeflerdi. Fakat bunlar zor hedefler olarak kaldı. Geçen sene Lazarus’un efsanevi banka hack olayından bahsetmiştik. Sosyal mühendislik saldırıları, sistem sızıntısı ve daha birçok saldırı sadece milyonlarca dolarlık ganimete ulaşmalarını sağladı. Fakat kriptoda işler daha kolay.
Milyonlarca Dolarlık Hack
20 Haziran tarihinde Slingshot’ın resmi Twitter hesabı hacklendi ve kullanıcılar sahte token adresine yönlendirildi. Şimdiye kadar en az 216 kullanıcı adresi çalındı. Uzmanlara göre, saldırgan, daha önce birkaç tanınmış web3 projesinin sosyal platform hesaplarına saldırmak için aynı yöntemi kullanan tanınmış siber suç grubu Pink-Drainer’den başkası değildi.
Slingshot adresini ele geçiren saldırganlar son derece profesyonel. Merkezi olmayan borsanın birebir kopyasını oluşturan hackerlar kurbanları farklı domainle bu sahte siteye gönderdi. Sadece domain uzantısı farklıydı ve platformu kullananlar bile onun sahte olup olmadığından emin olamazdı. Birçok projenin, internet sitesinin aynı isim farklı domain uzantısı var ve bunlar genelde ana domaine yönlendiriliyor.
Yukarıdaki paylaşımı yaptılar ve yatırımcıları buraya yönlendirdiler. Platformun kendi sözde tokeni “SLING” için bir pazarlama süsü verilmiş saldırı yöntemiydi. Cüzdanını sahte internet sitesine bağlayanlar hackerlara cüzdanları için yönetim izni de verdi. Sonrasında 3 milyon doların üzerinde ganimeti ceplerine doldurdular.
Pink Drainer hacker grubu, OpenAI CTO, Orbiter Finance, Evomos, Pika Protocol gibi birçok popüler hesabı da ele geçirip benzer yöntemlerle yatırımcıların cüzdanlarını boşaltmıştı.
Kripto Para Hackerlarının Motivasyonu
Bugün merkezi kripto borsalarını hacklemek eskiden bankaları hacklemekle benzer bir şeydi. Saldırganlar paraları küçük parçalar halinde taşıyor ve anlaşılması ihtimalini göze alıyorlardı. Üstelik güvenlik üst düzeydi. Fakat kripto para protokollerinde veya merkezi olmayan cüzdan hacklerinde durum çok daha farklı. Sadece birkaç tıklamayla kurbanı kandırabilenler cüzdanı üzerinde yetki sahibi oluyor. Yazıkları akıllı sözleşmeyle kurbanlarının bakiyesini sonsuza kadar (yeni bakiye eklendikçe) kendilerine taşıyabiliyorlar.
Bu konuyla alakalı çok derinlemesine uyarlar yaptığım, tavsiyelerde bulunduğum için tekrara düşmeyeceğim. Fakat merkezi olmayan cüzdan kullanıyorsanız “hackerların” yakalanma riskinin daha az olduğunu ve sizi daha kolay hackleyebildiklerini bilin. Bunun bilincinde olarak tarayıcıda eklenti veya mobil uygulama şeklinde cüzdanınızı kullanmaya devam edebilirsiniz. Fakat bunu yaparken “tıkladığınız” şeylere dikkat etmelisiniz. Özellikle imzalama işlemlerinde 40 kere düşünüp adresi, sözleşme adresini veasir kontrol ederek o mouse’a tıklamalısınız. Ya da kolayı var, merkezi olmayan cüzdanınızı güvenli, aktif kullanmadığınız bir bilgisayara kurar onu sadece kafanız dinçken (dolandırılma riskini azken) kullanırsınız. Risk almak istediğiniz işlemleri de (testnet vs) aktif kullandığınız diğer bilgisayarda, diğer cüzdanla yaparsınız.
