Kurcalanmış ve sahte donanım cüzdanları: Güvenle nasıl satın alınır

Sahte donanım cüzdanı, kriptonuzu çalmak için tasarlanmış taklit veya kurcalanmış bir cihazdır; genellikle önceden ayarlanmış bir kurtarma ifadesiyle gelir ya da oluşturduğunuz ifadeyi gizlice sızdırır. En güvenli savunma basittir: yalnızca üreticiden veya yetkili bir satıcıdan alın, kurulum sırasında cihazı doğrulayın ve kurtarma ifadesi önceden yazılmış olarak gelen bir cüzdanı asla kullanmayın.

Donanım cüzdanları, özel anahtarlarınızı çevrim dışı tuttukları için kriptoyu korumanın en iyi yollarından biridir. Dolandırıcıların onları taklit etmesinin nedeni de tam olarak bu itibardır. Ele geçirilmiş bir cihaz, başka biri anahtarlarınızın bir kopyasını elinde tutarken size sahte bir güvenlik hissi verir.

Kurcalanmış ve sahte cüzdan saldırıları nasıl işler

Birkaç varyasyonu vardır, ancak çoğu şu akışı izler:

1. 1Cihaz temin edilir veya üretilir. Dolandırıcılar orijinal cihazlar satın alıp değiştirir ya da popüler bir markaya benzeyen sahte donanım üretir.
2. 2Resmî olmayan kanallardan yeniden satılır. Pazar yerleri, açık artırma siteleri, sosyal medya mağazaları ve “indirim” mağazaları yaygın yollardır.
3. 3Bir tuzak kurulur. Pakette bir “kurtarma ifadesi” içeren kazı kazan kart ve onu kullanma talimatı bulunabilir ya da değiştirilmiş yazılım (firmware) sizin oluşturduğunuz ifadeyi kaydedebilir.
4. 4Fon yatırırsınız. Cihaz normal göründüğü için ona kripto gönderirsiniz.
5. 5Saldırgan cüzdanı boşaltır. Kurtarma ifadesi elinde olduğundan cüzdanınızı kendi cihazında geri yükleyip her şeyi taşıyabilir; çoğu zaman bakiye büyüyene kadar bekler.

İlişkili bir taktik de postayla gönderilen “yedek cihaz” dolandırıcılığıdır: insanlara, eski cüzdanlarının güvensiz olduğunu ve değiştirilmesi gerektiğini söyleyen bir mektupla birlikte talep etmedikleri bir cihaz gelir. Cihaz, “taşıma” sırasında girdiğiniz kurtarma ifadesini çalacak şekilde değiştirilmiştir. Tedarik zinciri saldırıları makalemiz bu konuyu daha ayrıntılı ele alıyor.

Varsayımsal bir örnek

Bu senaryo, örüntüyü göstermek için kurgulanmıştır.

Priya’nın tanınmış bir donanım cüzdanı modelini bir pazar yeri ilanında resmî mağazadakinden belirgin şekilde düşük bir fiyata bulduğunu düşünün. Kutu sağlam görünen bir ambalajla ve “Kurtarma ifadeniz — güvende tutun” yazan, ardından 24 kelime bulunan basılı bir kartla gelir. Talimatlar, bu kelimeleri kurulum sırasında “daha hızlı etkinleştirme için” girmesini söyler. Ayrıca bkz.: Parola yöneticileri ve kripto.

Priya talimatları izler, birikimlerini cüzdana gönderir ve haftalarca her şey normal görünür. Sonra bakiyesi kaybolur. Satıcı o 24 kelimenin bir kopyasını saklamıştı. Blokzincirde ya da markanın gerçek cihazlarında hiçbir sorun yoktu; tuzak cihazın ve talimatların kendisiydi. Daha fazlasını öğrenmek isterseniz Cüzdan doğrulama ve senkronizasyon dolandırıcılıkları yazısını okuyun.

Uyarı işaretleri kontrol listesi

• Kutuda, bir kartta veya talimatlarda bir kurtarma ifadesi bulunuyor.
• Cihaz zaten kurulmuş, PIN oluşturmanızı istemiyor ya da mevcut hesaplar gösteriyor.
• Fiyat, üreticinin fiyatının çok altında.
• Satıcı, resmî web sitesinde yetkili satıcı olarak listelenmemiş.
• Ambalajda yeniden kapatılma izleri, hasarlı güvenlik mühürleri, yapıştırıcı kalıntısı veya eksik parçalar var.
• Talimatlar sizi üreticinin resmî sitesi ya da uygulaması dışında bir yere yönlendiriyor.
• Talep etmediğiniz bir cihaz, fonlarınızı “taşımanızı” isteyen bir mektupla geliyor.
• Yardımcı uygulamanın orijinallik kontrolü başarısız oluyor veya cihaz hakkında uyarı veriyor.

Donanım cüzdanı güvenle nasıl satın alınır ve kurulur

Satın almadan önce

1. 1Üreticinin web sitesine adresi kendiniz yazarak gidin; arama reklamları üzerinden oltalama konusunda dikkatli olun.
2. 2Doğrudan oradan ya da o resmî sitede listelenen bir satıcıdan alın.
3. 3Tanıdığınız kişilerden bile olsa ikinci el cihazlardan kaçının.

Cihaz geldiğinde

Kurulum sırasında

• Cihazın yeni bir kurtarma ifadesi üretmesine izin verin ve bunu çevrim dışı olarak kendiniz yazın.
• Kurtarma ifadenizi asla bir bilgisayara, telefona veya web sitesine yazmayın.
• Yazılımı (firmware) yalnızca resmî uygulama üzerinden güncelleyin.
• Önce küçük bir test tutarı gönderin, ardından alıcı adresi cihaz ekranında onaylayın.

Donanım cüzdanı adım adım nasıl kurulur rehberimiz tüm süreci ele alıyor; donanım cüzdanı nasıl seçilir yazımız ise satın almadan önce nelere bakmanız gerektiğini açıklıyor.

Satın aldıktan sonra kendinizi korumak

• Kurtarma ifadenizi çevrim dışı ve güvenli bir yerde saklayın; yangın ve suya dayanıklılık için çelik seed ifadesi yedeklerini değerlendirin.
• Kurtarma ifadenizi isteyen her mesajı, e-postayı veya mektubu dolandırıcılık olarak kabul edin. Üreticiler bunu asla istemez.
• Satın alma bilgilerinizi gizli tutun; sızdırılan müşteri verileri hedefli oltalamaya ve postayla yapılan dolandırıcılıklara yol açabilir.
• Bir işlemi onaylamadan önce her adresi cihaz ekranında doğrulayın.

Cihazın ele geçirildiğinden şüphelenirseniz ne yapmalısınız

1. 1Şüpheli cüzdana para yatırmayı bırakın.
2. 2Resmî bir kaynaktan orijinal bir cihaz edinin ya da geçici olarak başka bir güvenilir cüzdan kullanın.
3. 3Güvenilir cihazda tamamen yeni bir kurtarma ifadesi oluşturun.
4. 4Şüpheli cüzdandaki tüm fonları mümkün olan en kısa sürede yenisine taşıyın.
5. 5Satıcı ve cihaz bilgileriyle üreticiyle iletişime geçin.
6. 6Satıcıyı pazar yerine ve gerektiğinde polise ya da tüketici koruma kurumunuza bildirin. Ayrıca bildirim formumuz aracılığıyla bize de haber verebilirsiniz.

Fonlar zaten alındıysa cüzdanınız ele geçirildiğinde hemen yapmanız gerekenler rehberini izleyin.

Sonuç

Bir donanım cüzdanı, ancak tedarik zinciri kadar güvenlidir. Üreticiden veya yetkili bir satıcıdan alın, kurtarma ifadesiyle gelen ya da talep etmeden gönderilen her cihazı reddedin, resmî orijinallik kontrolünü çalıştırın ve kendi ifadenizi çevrim dışı oluşturun. Bu birkaç alışkanlık, sahte ve kurcalanmış cihazlardan kaynaklanan riskin neredeyse tamamını ortadan kaldırır.