Kripto Dolandırıcılığında Kırmızı Bayraklar: Üç Tuzağın Anatomisi

Önce cevap: Tek işarete değil, izlerin birleşimine bakın

Pump-and-dump, rug pull ve phishing aynı kapıya çıkan üç farklı dolandırıcılık yöntemidir: İlki yapay heyecanla fiyatı şişirir, ikincisi projenin içindeki değeri çeker, üçüncüsü ise kullanıcının hesabına veya cüzdan yetkisine el koymaya çalışır. Bunları anlamanın en sağlıklı yolu, tek bir kırmızı bayrak aramak değil; fiyat hareketini, sözleşme yetkilerini, ekip davranışını ve sizden istenen işlemi birlikte incelemektir.

Hiçbir kontrol listesi yüzde yüz koruma sağlamaz. Profesyonel görünümlü bir site, denetim raporu ya da kilitli likidite iddiası da tek başına güvence değildir. Bardağı taşırmamak için önce şu soruyu sormak yeterlidir: Karşımdaki kişi veya proje, karar vermem için bana gerçekten zaman tanıyor mu? Acele, bu üç yöntemin de ortak malzemesidir.

Pump-and-dump: Kalabalık değil, kurgulanmış talep

Pump-and-dump, Türkçede kabaca şişir ve boşalt demektir. Düzenleyiciler, önceden ellerinde bulundurdukları varlığı yoğun tanıtım ve koordineli alımlarla yükseltir; fiyat ilgi çekince satış yaparlar. Sonra gelen sert düşüş, çoğu zaman haberi en son duyan kişilerin omuzlarında kalır.

Burada belirleyici nokta yalnızca hızlı yükseliş değildir. Bir varlık gerçek bir gelişmeyle de hızlı hareket edebilir. Şüpheyi artıran şey, yükselişin çevresindeki davranış biçimidir:

• Aynı mesajın farklı hesaplardan neredeyse eş zamanlı yayılması,
• Kaynağı belirsiz ekran görüntüleri ve doğrulanamayan ortaklık iddiaları,
• Fiyat hedefi veren, kaybetmekten korkutmaya dayalı çağrılar,
• İşlem hacminin ve sosyal medya ilgisinin aniden patlaması,
• Az sayıda cüzdanda yoğunlaşan arz ya da birbirine bağlı görünen alım-satım hareketleri,
• Soru soran üyelerin susturulduğu, yalnızca coşkunun serbest kaldığı topluluklar.

Zincir üstü işlem gezginleri, yani blok zincirindeki transferleri gösteren araçlar, büyük cüzdan hareketlerini izlemeye yardımcı olabilir. Ancak cüzdan adresi, sahibinin kimliğini kendiliğinden söylemez. Birkaç adresin aynı anda satması da tek başına suç kanıtı değildir. Dolayısıyla grafik size bir hikâye anlatır; fakat hikâyenin kim tarafından yazıldığını her zaman göstermez.

En kullanışlı ayrım şudur: Tanıtım, doğrulanabilir bilgi mi üretiyor, yoksa yalnızca geç kalma korkusu mu? İlkini inceleyebilirsiniz. İkincisi sizi düşünmeden hareket etmeye iter.

Rug pull: Projenin çekilme noktalarını okumak

Rug pull, geliştiricilerin veya kontrol yetkisini elinde tutanların yatırımcıları terk ederek değeri ortadan kaldırmasıdır. Bazen likidite havuzundaki varlıklar çekilir. Bazen sözleşmedeki özel yetkilerle yeni token üretilir, satışlar engellenir veya ücretler değiştirilir. Bazen de teknik bir numara olmaz; ekip vaatlerini bırakır, hesapları kapatır ve kaybolur.

Bu yüzden rug pull yalnızca likiditenin çekilmesi değildir. Kontrolün kimde olduğu sorusu daha geniş bir çerçeve sunar.

Sözleşmede ve projede nelere bakılır?

Token sözleşmesi açık kaynaksa, yetkili hesapların neler yapabildiği incelenebilir. Teknik bilginiz yoksa bağımsız ve nitelikli incelemelerden yararlanabilirsiniz; fakat bir denetim logosunu körü körüne onay saymamak gerekir. Raporun hangi sözleşme sürümünü kapsadığı ve bulguların giderilip giderilmediği önemlidir.

Likiditenin kilitli olması, fonların belirli koşullar altında çekilmesini zorlaştırabilir. Yine de kilidin süresi, kimin kontrolünde olduğu ve sözleşmenin başka yetkileri ayrıca değerlendirilmelidir. Yönetim hakkından vazgeçildiği iddiası da sihirli bir güvenlik mührü değildir; başka hesaplar, vekil sözleşmeler veya yükseltme yetkileri bulunabilir.

Şu işaretler birlikte görülüyorsa dikkat seviyesini yükseltmek yerinde olur:

• Tek bir hesabın sözleşmeyi istediği gibi değiştirebilmesi,
• Satışı sınırlayan veya yalnızca belirli adreslere izin veren işlevler,
• Arzın ve likiditenin küçük bir grupta toplanması,
• Kimliği, geçmişi ve sorumluluk sınırları belirsiz bir ekip,
• Üründen çok fiyat konuşan bir tanıtım dili,
• Kopya belgeler, tutarsız yol haritaları ve yanıtlanmayan teknik sorular.

Bunların her biri masum bir açıklamaya sahip olabilir. Mesele tek bir satırda hüküm vermek değil, açıklamaların birbirini tutup tutmadığına bakmaktır.

Phishing: Cüzdanı değil, dikkati hedefleyen saldırı

Phishing, yani oltalama, saldırganın güvenilir bir kişi veya hizmet gibi görünerek bilgi, imza ya da yetki almasıdır. Hedef çoğu zaman teknolojiyi kırmak değil, kullanıcıyı yanlış kapıdan içeri sokmaktır. Kilit sağlam olabilir; mesele anahtarı kime uzattığınızdır.

Sahte borsa siteleri, destek hesapları, airdrop sayfaları ve cüzdan bağlantıları sık görülen kılıklardır. Alan adındaki küçük bir harf farkı, arama motorundaki sponsorlu sonuç veya tanıdık görünen bir profil resmi yanıltıcı olabilir. Saldırgan bazen parolanızı değil, kurtarma ifadenizi ister. Bazen de zararsız görünen bir imza veya token harcama izniyle cüzdanınıza erişim sağlamaya çalışır.

Burada iki ayrım önemlidir. Kurtarma ifadesi, cüzdanın kontrolünü yeniden kurmaya yarayan gizli kelimelerdir; hiçbir meşru destek görevlisi bunu istememelidir. Token onayı ise bir uygulamaya belirli varlıklarınız üzerinde harcama yetkisi verir. Siteyi kapatmak veya cüzdan bağlantısını kesmek, zincir üstünde verilmiş bir onayı her zaman geri almaz.

Bir bağlantıya tıklamadan önce şu üç soru iyi bir mola noktasıdır:

• Bu adresi bağımsız ve güvenilir bir kaynaktan doğruladım mı?
• Cüzdanımın gösterdiği işlem ile sitenin vaat ettiği işlem aynı mı?
• Sınırsız harcama izni, beklenmedik sözleşme etkileşimi veya anlaşılmayan imza var mı?

Donanım cüzdanı kullanmak da her riski ortadan kaldırmaz. Ekranda gördüğünüz işlemi anlamadan onaylamak, kapıyı daha kaliteli bir anahtarla açmaktan ibaret kalabilir.

Üç yöntemi aynı masada karşılaştırmak

Aşağıdaki tablo kesin teşhis aracı değil, ilk bakış haritasıdır. Gerçek olaylarda yöntemler iç içe geçebilir; örneğin sahte bir site üzerinden rug pull projesine yönlendirme yapılabilir.