Kripto geliştiricilerine yönelik büyük ‘TrapDoor’ saldırısı: Açık kaynak paketler cüzdan anahtarlarını hedef alıyor

Kaynak: 이더리움 연구 커뮤니티, 22 Mayıs 2026 (yerel saatle) yapılan teknik analizlere göre

Kripto ve blokzincir geliştiricilerinin yoğun kullandığı açık kaynak ekosistemi, yeni bir kötü amaçlı yazılım kampanyası ‘TrapDoor’ ile sarsıldı. Kampanya, *cüzdan anahtarları*, *bulut hesabı kimlik bilgileri* ve *kaynak kod depolarına erişim belirteçlerini* hedefleyen gelişmiş bir ‘tedarik zinciri saldırısı’ olarak tanımlanıyor. Özellikle kripto odaklı geliştirme ortamlarında güvenlik alarmını yükselttiği belirtiliyor.

Araştırmacıların bulgularına göre saldırganlar, npm, PyPI ve Crates.io gibi yaygın paket depolarını aynı anda hedef aldı. Kısa bir süre içinde 30’dan fazla ‘kötü amaçlı paket’ ve 300’ün üzerinde enfekte sürüm yayıldı. Kampanyanın 22 Mayıs 2026 civarında yoğunlaştığı değerlendirilirken, GitHub 20 Mayıs’ta (yerel saatle) dahili depolarına yönelik yetkisiz erişim girişimlerini rapor etmişti. ‘yorum: olay zamanlaması saldırının uzun süreli ve planlı olabileceğini gösteriyor’

Saldırının en kritik yönü, tek bir hesap ya da tek bir yükleme üzerinden değil, çok sayıda geliştirici hesabını kullanarak paketleri ‘dalga’ halinde yayması oldu. Böylece ilk aşamada ‘otomatik tehdit tespit sistemlerinden’ kolayca kaçabildi ve güncel bir bağımlılık güncellemesi gibi görünerek ortama sızdı. Uzmanlar, bu paketlerin ortak davranış kalıpları taşıdığını ve saldırganların paylaştığı ortak bir ‘zararlı çerçeve’ye bağlı olduklarını düşünüyor.

‘TrapDoor’ paketleri, kurulum anında otomatik devreye girecek şekilde tasarlandı. JavaScript tarafında post-install komut dosyaları, Python tarafında import aşaması, Rust tarafında ise build betikleri kullanılarak kötü amaçlı süreç başlatılıyor. Ardından SSH anahtarları, API token’ları, ortam değişkenleri, tarayıcıya kayıtlı kimlik bilgileri gibi hassas veriler toplu şekilde taranıyor. Toplanan veriler, saldırganların kontrolündeki sunuculara şifreli kanallar üzerinden gönderiliyor. Bazı vakalarda ise geliştirici araçlarının başlangıç süreçlerine yerleşerek ‘kalıcılık’ sağlamaya çalıştığı da tespit edildi.

Kampanyanın odağında özellikle kripto ekosistemi var. Binance, MetaMask, Coinbase ve Solana(SOL) tabanlı araçlarla ilişkili *cüzdan dosyaları* ve *yapılandırma ayarları* özel olarak aranıyor. Bunun yanında AWS kimlik bilgileri, GitHub erişim token’ları ve uzaktan erişimde kullanılan SSH anahtarları da hedefleniyor. Böylece hem kişisel geliştirici makineleri hem de kurumsal altyapılar için geniş kapsamlı bir tehdit alanı oluşuyor.

Dikkat çeken bir diğer unsur ise *yapay zeka destekli geliştirme araçlarının* da saldırı zincirine dahil edilmesi. Bazı zararlı paketler, .cursorrules ve CLAUDE.md gibi yapılandırma dosyalarını değiştirerek, AI tabanlı kod asistanlarının çalışma şeklini manipüle edecek şekilde tasarlandı. Bu yaklaşım, sadece kodu değil, geliştiricinin ‘AI ile çalışma akışını’ da istismar etmeye dönük yeni bir tehdit modeli olarak öne çıkıyor. ‘yorum: AI destekli geliştirme yaygınlaştıkça bu tür saldırıların artması bekleniyor’

‘TrapDoor’ vakası, açık kaynak bağımlılıkları üzerine kurulu kripto sektörünün *yapısal zafiyetini* yeniden gözler önüne seriyor. Geliştirici ortamlarında kullanılan paketlerin imza ve bütünlük kontrolleri, en az cüzdan anahtarları ve bulut erişimlerinin korunması kadar kritik hale gelmiş durumda. Uzmanlar, *sıkı paket doğrulaması*, *asgari yetki prensibine göre erişim kontrolü* ve *geliştirici makinelerinde sürekli güvenlik izleme* adımlarının, bu tür tedarik zinciri saldırılarına karşı artık temel savunma hattı olarak görülmesi gerektiğini vurguluyor.