Sahte token taşıma ve swap dolandırıcılıkları

Token taşıma dolandırıcılığı, suçluların elinizdeki bir token’ın yeni bir sürüme “yükseltilmesi”, “taşınması” veya “swap edilmesi” gerektiğini söyleyip sizi kötü niyetli bir onay, imza ya da kurtarma ifadesi talebiyle cüzdanınızı boşaltan sahte bir portala yönlendirdiği bir dolandırıcılıktır. Dolandırıcılık işe yarar çünkü gerçek taşımalar gerçekten yaşanır; bu yüzden hikâye inandırıcı gelir.

Projeler yükseltmeler, yeniden markalaşma veya zincir değişiklikleri için meşru şekilde kontrat değiştirir. Polygon’un MATIC’ten POL’a geçişi, gerçek bir geçişin iyi bilinen bir örneğidir. Her gerçek taşıma, sahiplerin talimat beklediği bir zaman aralığı yaratır ve dolandırıcılar bu aralığı sahte talimatlarla doldurmak için yarışır.

Gerçek taşımalar neden bir açık yaratır

Bir projenin sahiplerden token değiştirmelerini istemesinin meşru nedenleri vardır:

• Kontrat yükseltmeleri. Bir hata veya yeni bir özellik, yeni bir token kontratı gerektirir.
• Yeniden markalaşma ve token değişiklikleri. Bir proje bir token’ı yerine gelen yenisiyle değiştirir.
• Zincir değişiklikleri. Bir token bir blokzincirden diğerine geçer; örneğin bir ERC-20’den projenin kendi ana ağına.
• Yeniden değerlendirmeler. Arz bölünür veya birleştirilir; örneğin 1 eski token 100 yeni token olur.

Bunların her biri kafa karışıklığı yaratır ve kafa karışıklığı dolandırıcılar için kârlıdır. Pek çok sahip proje haberlerini yakından takip etmez; bu yüzden “eski token kullanımdan kaldırılıyor” diyen ikna edici bir mesaj acil ve yardımcı bir bilgi gibi görünebilir. İlgili okuma: Arama reklamları üzerinden oltalama.

Dolandırıcılık adım adım nasıl işler

1. 1Hedef seçmek. Dolandırıcılar duyurulan taşımaları takip eder ya da popüler bir token için bir taşıma uydurur.
2. 2Portalı kurmak. Projenin web sitesi tasarımını, “Taşı” veya “V2’yi talep et” düğmesi bulunan benzer görünümlü bir alan adına kopyalarlar.
3. 3Bağlantıyı yaymak. Bağlantıyı resmi hesaplara yanıt olarak paylaşır, arama reklamları verir, Telegram ve Discord’da doğrudan mesaj gönderir, adı bir URL olan değersiz token’ları airdrop eder veya destek personeli kılığına girerler.
4. 4Aciliyet yaratmak. Mesajlar eski token’ın birkaç saat içinde “çalışmayı durduracağını” veya “tüm değerini kaybedeceğini” iddia eder.
5. 5Fonları almak. Portal sizden cüzdanınızı bağlamanızı, ardından sınırsız harcamayı onaylamanızı, bir permit veya Permit2 mesajı imzalamanızı, bir “taşıma kontratına” token göndermenizi ya da kurtarma ifadenizi girerek cüzdanınızı “doğrulamanızı” ister.
6. 6Boşaltmak ve aklamak. İmzaladığınız anda otomatik bir drainer token’larınızı, çoğu zaman saniyeler içinde, dışarı aktarır ve birçok adrese böler.

İşin içindeki imza hileleri hakkında daha fazlası için ice phishing ve permit imzaları rehberimize göz atın.

Varsayımsal bir örnek

Aşağıdaki, gerçek bir vaka değil, açıklayıcı amaçlı birleşik bir örnektir.

Sam adında bir sahibin orta büyüklükte bir DeFi token’ına sahip olduğunu düşünün. Bir sabah Sam, projenin resmi gönderisinin altında bir yanıt görür: “Hatırlatma: V1 token’ları UTC gece yarısı kullanımdan kaldırılıyor. Buradan taşıyın.” Bağlantı, alan adında tek bir harfi değiştirilmiş, projenin sitesiyle birebir aynı görünen bir siteye gider. Bu konuyu Sahte WalletConnect ve cüzdan açılır pencere oltalaması yazımızda daha ayrıntılı ele alıyoruz.

Sam cüzdanını bağlar ve “Taşı”ya tıklar. Cüzdan, token için sınırsız tutarlı bir onay talebi gösterir. Sam bunun bir swap için normal olduğunu düşünür ve onaylar. Bir dakika içinde token bakiyesinin tamamı cüzdandan çıkar. Ardından ikinci bir talep, Sam’den “V2 token’larını almak” için bir mesaj imzalamasını ister; bu aslında cüzdandaki başka bir token için bir permit’tir. Hiçbir V2 token’ı gelmez. Gerçek proje hiçbir taşıma duyurmamıştır. Ayrıca bakınız: Sahte köprü web siteleri.

Uyarı işaretleri kontrol listesi

Gerçek bir taşıma nasıl doğrulanır

1. 1Kaynağa kendiniz gidin. Projenin resmi alan adını kendiniz yazın veya bir yer imi kullanın. Resmi dokümantasyonda ve blogda bir taşıma sayfası olup olmadığını kontrol edin. Bir web sitesinin resmi proje sitesi olduğunu nasıl doğrularsınız rehberimiz bunu nasıl yapacağınızı açıklıyor.
2. 2Duyuruyu çapraz kontrol edin. Duyurunun projenin doğrulanmış sosyal medya hesaplarında yer aldığından ve ideal olarak token’ı listeleyen borsalar tarafından da bildirildiğinden emin olun.
3. 3Borsanızı kontrol edin. Token’larınız bir borsadaysa, borsanın resmi duyurusuna bakın. Borsalar değişimi genellikle müşterileri adına yapar.
4. 4Yeni kontratı doğrulayın. Yeni token’ın adresini resmi dokümantasyonda ve bir blok gezgininde karşılaştırın; bu, bir token’ın resmi kontrat adresini doğrulama rehberimizde anlatılmıştır.
5. 5İmzalamadan önce işlemi okuyun. Onayladığınız kontratın belgelenmiş taşıma kontratıyla eşleştiğinden emin olun ve mümkün olduğunda onay tutarını sınırlayın.
6. 6Emin değilseniz bekleyin. Gerçek taşımalar, doğrulamak için bir gün ayıran sahipleri nadiren cezalandırır.

Tuzağa düştüyseniz ne yapmalısınız

Hızlı hareket edin, bu sırayla:

1. 1Onayları iptal edin. Dolandırıcı kontrata verilen tüm onayları veya permit’leri iptal etmek için güvenilir bir onay aracı kullanın. Bkz. token onaylarını iptal etme.
2. 2Cüzdanı güvenceye alın. Kurtarma ifadenizi girdiyseniz cüzdanı ele geçirilmiş sayın ve kalan varlıkları yeni bir kurtarma ifadesine sahip yepyeni bir cüzdana taşıyın. Cüzdanınız ele geçirildiyse hemen ne yapmalısınız kontrol listemizi izleyin.
3. 3Kanıtları kaydedin. URL’yi, ekran görüntülerini, işlem hash’lerini ve dolandırıcı adreslerini saklayın.
4. 4Bildirin. Gerçek projeyi, cüzdan sağlayıcınızı ve bağlantıyı gördüğünüz platformu bilgilendirin. Siteyi ve adresleri dolandırıcılık bildirim formumuz aracılığıyla bize de bildirebilirsiniz.
5. 5Kurtarma dolandırıcılıklarına dikkat edin. Ücret karşılığında fonlarınızı geri getirmeyi vaat eden kişiler neredeyse her zaman ikinci bir dolandırıcılık yürütür.

Sonuç

Token taşıma dolandırıcılıkları gerçek bir süreci istismar eder: projeler bazen gerçekten token değiştirir veya yükseltir. Savunma basit ama katıdır. Yalnızca resmi kanallarda kendiniz bulduğunuz taşıma talimatlarını izleyin, yeni kontrat adresini doğrulayın, kurtarma ifadenizi asla paylaşmayın ve aciliyeti ve özel mesajları kırmızı bayrak olarak görün. Bir taşıma gerçekse, siz kontrol ettikten sonra da orada olacaktır.