Kripto Dolandırıcılığında Üç Klasik: İz Sürme ve Korunma
Pump-and-dump, rug pull ve phishing yöntemlerinin farklarını, ortak alarm işaretlerini ve cüzdanınızı koruyacak pratik kontrol listesini sakin bir dille ele alıyoruz.
Kripto dolandırıcılıklarını anlamanın ilk adımı, üç sık karşılaşılan yöntemi birbirine karıştırmamaktır: Pump-and-dump fiyatı yapay biçimde şişirip satışla çökertir, rug pull projenin içinden değeri veya likiditeyi çeker, phishing ise kullanıcının sırlarını ya da işlem onayını kandırarak alır. Üçü de acele duygusundan beslenir. Bu yazıda, her projenin suçlu her yükselişin de sahte olmadığını akılda tutarak, şüpheli işaretleri nasıl okuyacağınızı ve hangi güvenlik alışkanlıklarının işe yarayacağını ele alacağız.
Önce Ayrımı Yapalım: Üç Yöntem, Üç Farklı Zayıf Nokta
Dolandırıcıların kullandığı dil çoğu zaman aynıdır: “Son fırsat”, “yalnızca bugün”, “herkes kazanıyor”. Oysa teknik olarak hedefledikleri yer farklıdır. Pump-and-dump, kalabalığın kararını; rug pull, projeye verilen güveni; phishing, kişinin cihazını ve dikkatini hedefler.
Pump-and-dump, Türkçede kabaca “şişir ve boşalt” demektir. Organizatörler düşük işlem hacimli bir varlıkta önceden konum alır, ardından sosyal medya ve kapalı gruplar üzerinden yoğun ilgi yaratır. Yeni alımlar fiyatı yükseltirken ilk gruptakiler satış yapar. Sonradan gelenler ise likiditenin azaldığı, satışın zorlaştığı bir ortamla karşılaşabilir.
Rug pull, “halıyı ayakların altından çekmek” deyiminden gelir. Geliştirici veya kontrol yetkisini elinde tutan kişiler likiditeyi çeker, token basımını kötüye kullanır, satışı engelleyen bir sözleşme çalıştırır ya da projeyi terk eder. Her rug pull aynı teknikle gerçekleşmez; bazıları önceden kurulmuş bir tuzak, bazıları ise sonradan kötüye kullanılan yetkidir.
Phishing, sahte site, uygulama, mesaj veya destek görevlisi üzerinden kurtarma ifadesini (seed phrase), özel anahtarı, parolayı ya da zararlı bir işlem onayını ele geçirme girişimidir. Burada çoğu zaman blok zinciri kırılmaz; kullanıcı, kötü niyetli tarafa kapıyı kendisi açar. Çay demlenirken kapıyı çalan herkes komşu olmayabilir; önce kim olduğuna bakmak gerekir.
Pump-and-Dump Nasıl Anlaşılır?
Tek bir yükselişten dolandırıcılık sonucu çıkarılamaz. Piyasalarda haber, likidite değişimi veya gerçek bir gelişme de hızlı hareket yaratabilir. Şüpheyi artıran şey, birkaç işaretin aynı anda görülmesidir.
- Koordinasyon dili: Belirli bir saatte toplu alım çağrısı yapılması, ekran görüntüleriyle “hedef” ilan edilmesi ve satış yapanların gruptan dışlanması.
- Hacim ile anlatının uyuşmaması: Proje hakkında doğrulanabilir yeni bilgi yokken ani ilgi artışı ve aynı metinlerin çok sayıda hesaptan paylaşılması.
- Dar likidite: Küçük sayılabilecek emirlerin fiyatı belirgin biçimde oynatması; alım ile satım fiyatı arasındaki makasın açılması.
- Yoğunlaşmış sahiplik: Arzın önemli bölümünün az sayıda cüzdanda veya birbirine bağlı görünen adreslerde toplanması.
- Gerçek dışı kazanç vaadi: Belli bir fiyatın garanti edilmesi, “balinalar satmayacak” gibi doğrulanamaz sözler verilmesi.
Zincir üstü gezginlerde (blok zincirindeki işlemleri gösteren araçlar) ilk alıcıların dağılımına, büyük cüzdanların borsalara transferlerine ve işlem hacminin ne kadar sürdüğüne bakılabilir. Ancak cüzdan sayısı tek başına bağımsız kişi sayısını göstermez. Bir kişi çok sayıda adres kullanabilir. Bu yüzden grafik, topluluk söylemi ve sahiplik dağılımı birlikte değerlendirilmelidir.
Rug Pull İçin Sözleşmeyi ve Yetkileri Okumak
Rug pull riskini anlamak için yalnızca internet sitesine veya tanıtım videosuna bakmak yetmez. Asıl soru şudur: Kim, hangi varlık ya da sözleşme üzerinde ne yetkiye sahip?
Merkeziyetsiz borsa havuzuna eklenen likiditenin çekilebilir olması, token sözleşmesinde yönetici yetkilerinin bulunması veya ekibin büyük bir arzı tek cüzdanda tutması önemli risk alanlarıdır. Likidite kilidi ve zaman kilidi (bir işlemi belirli süre boyunca erteleyen mekanizma) koruma sağlayabilir; fakat sonsuz güvence değildir. Kilidin süresi, kapsadığı varlıklar ve kontrol eden adres ayrıca incelenmelidir.
Denetim raporu da sihirli bir mühür değildir. Raporun hangi sözleşme sürümünü incelediği, bulguların giderilip giderilmediği ve sonradan değiştirilebilir yetkilerin kapsamı önemlidir. Bilinmeyen bir ekip otomatik olarak dolandırıcı değildir; açık kimlik de otomatik güvence sağlamaz. İkisi yerine, doğrulanabilir geçmişe ve sınırlı teknik yetkilere bakmak daha sağlıklıdır.
| Yöntem | Temel mekanizma | Belirgin alarm işaretleri | Kullanıcının yapabileceği kontrol |
|---|---|---|---|
| Pump-and-dump | Yapay ilgiyle fiyatı yükseltip erken satış | Saatli alım çağrıları, garanti hedef, zayıf likidite | Hacim, sahiplik dağılımı ve büyük transferleri karşılaştırmak |
| Rug pull | Likiditeyi çekmek veya proje yetkilerini kötüye kullanmak | Sınırsız yönetici yetkisi, belirsiz kilitler, satış engelleri | Sözleşme izinlerini, kilitleri ve token dağılımını incelemek |
| Phishing | Kullanıcıya sahte arayüz veya mesajla sır/onay verdirmek | Alan adı farkı, acele baskısı, beklenmedik imza isteği | Resmî adresi bağımsız doğrulamak ve imza içeriğini okumak |
Bu tablo bir teşhis cihazı değil, kontrol sırasıdır. İşaretlerden biri tek başına suç kanıtı olmayabilir; birkaçının birleşmesi ise uzak durmak için yeterli bir neden olabilir. Bir şeyi kaçırmak, onu kurtarmaya çalışırken daha büyük risk almaktan iyidir.
Phishing: Tehlike Bazen Token Değil, İmzadır
Phishing saldırıları yalnızca sahte e-postalardan ibaret değildir. Arama motoru reklamları, benzer harflerle kurulmuş alan adları, ele geçirilmiş sosyal medya hesapları, sahte müşteri destek hesapları ve istenmeyen cüzdan mesajları da kullanılabilir. Saldırgan, tanıdık bir markanın görünümünü kopyalayarak kullanıcıyı aceleyle hareket ettirmeye çalışır.
En kritik kural basittir: Kurtarma ifadenizi ve özel anahtarınızı hiçbir siteye, forma veya destek görevlisine vermeyin. Bunları isteyen bir “doğrulama” süreci meşru görünse bile durun. Donanım cüzdanı kullanıyorsanız da kurtarma ifadesi yalnızca cihazın kendi kurtarma sürecinde kullanılmalıdır; rastgele bir web sayfasında değil.
İmza istemleri de aynı dikkati hak eder. Görünüşte masum bir bağlantı, bir tokenin harcanmasına izin veren approval (harcama yetkisi) işlemi veya varlıkları topluca devredebilen bir sözleşme çağrısı içerebilir. Cüzdan arayüzü işlemi açık göstermiyorsa imzalamayın. Etkileşim kurmadığınız bir proje için sınırsız harcama izni istenmesi özellikle şüphelidir.
Günlük korunma için şu alışkanlıklar yararlıdır:
- Siteleri mesajdaki bağlantı yerine doğrulanmış yer imlerinden açın.
- Güncellemeleri yalnızca resmî uygulama mağazasından veya üreticinin doğrulanmış sitesinden yapın.
- Yeni uygulamaları küçük bakiyeli ayrı bir cüzdanla deneyin; ana birikiminizi günlük deneylerden ayırın.
- Artık kullanmadığınız harcama izinlerini güvenilir araçlarla gözden geçirip kaldırın.
- Destek için gelen özel mesajlara değil, kendi başlattığınız resmî destek kanallarına güvenin.
Şüpheli Bir Projeyi Beş Dakikalık Ön Kontrolden Geçirin
Beş dakika eksiksiz inceleme sağlamaz, ama acele kararın önüne makul bir eşik koyar. Önce varlığın hangi ağda ve hangi sözleşme adresinde olduğunu doğrulayın. Aynı isimli tokenler bulunabilir; logo ve isim tek başına kimlik değildir.
Ardından sahiplik dağılımına, büyük cüzdanların birbirleriyle ilişkisine ve likiditenin nerede tutulduğuna bakın. Sözleşmede satış vergisi, kara liste, işlem durdurma veya sınırsız token basma gibi yetkiler varsa bunların kim tarafından değiştirilebildiğini araştırın. Proje belgelerindeki iddialarla zincirdeki durum uyuşmuyorsa, pazarlama metnini değil doğrulanabilir veriyi esas alın.
Son olarak sosyal baskıyı ölçün. Eleştirel sorular siliniyor mu? Yalnızca kazanç ekran görüntüleri mi öne çıkarılıyor? Karar için sürekli geri sayım mı yapılıyor? Sağlıklı bir proje de heyecanlı topluluğa sahip olabilir; fakat soru sormanın cezalandırılması, finansal riskten bağımsız olarak ciddi bir yönetişim işaretidir.
Şüpheli İşlem Sonrasında Ne Yapılmalı?
Yanlış bir imza attığınızı düşünüyorsanız önce yeni bağlantılara tıklamayı bırakın. Saldırgan olduğunu düşündüğünüz kişiye “hesabı düzeltmek” için tekrar para veya bilgi göndermeyin. Kurtarma ifadesi açığa çıkmışsa yalnızca izinleri iptal etmek yeterli olmayabilir; güvenli ve temiz bir ortamda yeni cüzdan oluşturup kalan varlıkları taşımak gerekebilir. İşlem ücretleri ve varlıkların bulunduğu ağlar nedeniyle bu süreci sakin biçimde planlayın.
Sadece harcama izni verilmişse güvenilir bir izin yönetimi aracıyla ilgili yetkileri kaldırmayı değerlendirin. Sahte siteye parola girdiyseniz ilgili hesabın parolasını ve kullanıldıysa aynı parolayı paylaşan diğer hesapları değiştirin; iki aşamalı doğrulamayı gözden geçirin. Ekran görüntüleri, işlem kimlikleri, alan adları ve yazışmaları saklayın. Bunlar platforma, borsaya veya kolluk birimlerine başvururken yararlı olabilir.
Kayıp sonrası sizinle iletişime geçip “varlıklarınızı kesin geri alırız” diyen kişilere karşı da dikkatli olun. Önden ücret, vergi veya depozito talep eden kurtarma vaatleri ikinci bir dolandırıcılığa dönüşebilir. Zincir üstü işlemlerin çoğu geri alınamaz; hiçbir hizmetin sonucu garanti etmesi gerçekçi değildir.
Sonuç: Hız Değil, Doğrulama Kazandırır
Bu üç yöntemin ortak çözümü her yenilikten kaçınmak değil, aceleyi karar sürecinden çıkarmaktır. Fiyat hareketini proje kalitesiyle, denetim raporunu güvenceyle, tanıdık arayüzü de güvenli bağlantıyla karıştırmayın. En kullanışlı kişisel kural şudur: Kurtarma ifadesini asla paylaşmayın, anlamadığınız imzayı atmayın ve yalnızca kaybetmeyi göze alabileceğiniz tutarla risk değerlendirin. Bardağı taşırmamak, çoğu zaman yeni bir fırsat kovalamaktan daha değerlidir.
Kripto varlıklar yüksek fiyat oynaklığı, teknik arıza, likidite kaybı ve dolandırıcılık riski taşır. Bu içerik genel bilgilendirme amaçlıdır; yatırım, hukuki veya vergi tavsiyesi değildir. Şüpheli bir durumda bağımsız uzman görüşü alın ve hiçbir kontrol listesini kesin güvenlik garantisi olarak görmeyin.