X, Kripto Phishing Saldırılarına Karşı ‘İlk Kripto İfadesinde Otomatik Kilitleme’ Dönemini Başlatıyor

X, ‘kripto ilk kez anan hesabı otomatik kilitleme’ özelliğini devreye alıyor. Amaç, hesabı ele geçirdikten sonra ‘sahte token’ tanıtımı yapan ‘kripto phishing’ saldırılarını kaynağında durdurmak. ‘Kripto para dolandırıcılığı’ ile mücadelede X’in en sert hamlelerinden biri olarak görülüyor.

X ürün sorumlusu Nikita Bier(Nikita Bier), yakın zamanda yaptığı açıklamada, “Bir hesap açıldıktan sonra ‘ilk kez’ kripto para(crypto) ile ilgili bir ifade kullandığında, hesap otomatik olarak kilitlenecek” dedi. Bu hesaptan yeniden paylaşım yapılabilmesi için ek kimlik doğrulama aşamalarının geçilmesi gerekecek. Bier, bu özellikle “mevcut saldırıların ‘99% tuzak’ kısmını ortadan kaldırmayı” hedeflediklerini vurguladı.

Bu karar, bir kullanıcının bizzat yaşadığı dolandırıcılık vakası sonrasında alındı. İlgili kullanıcı, ‘telif hakkı ihlali bildirimi’ gibi görünen bir phishing e-postasına kanarak giriş bilgilerini paylaştı. Saldırganlar, gerçeğine çok benzeyen sahte giriş sayfası üzerinden 2 aşamalı doğrulama kodunu bile ele geçirdi. Ardından hesabı tamamen kontrol altına alarak ‘sahte kripto para projeleri’ tanıttı ve takipçileri hedef alan bir ‘kripto phishing’ kampanyası yürüttü.

Bu tür ‘hesap ele geçirme → kripto tanıtımı’ zinciri, X üzerinde uzun süredir tekrar eden bir kalıp. Eski Twitter döneminden beri bilinen en tipik yöntemlerden biri, kullanıcılara belirli bir miktar kripto para gönderirlerse iki katını geri alacaklarını vaat eden ‘double your money’ tarzı dolandırıcılık. Son dönemde ise ‘meme coin’ furyası ve ‘sahte airdrop’ kampanyaları üzerinden daha sofistike bir hale evrildi.

Özellikle tanınmış isimleri taklit eden sahte hesaplar, bu saldırıların merkezinde yer alıyor. İnandırıcı görünen bağlantılarla kullanıcılar ‘sahte platformlara’ yönlendiriliyor ve cüzdanlarında bulunan varlıklar çekiliyor. Kripto para transferlerinin ‘geri döndürülemez’ yapısı nedeniyle, bir kez gönderilen fonları geri almak neredeyse imkansız. Bu da kripto para(crypto) piyasasındaki ‘güven riskini’ büyüten temel faktörlerden biri.

Bu alanda yaşanan en çarpıcı olaylardan biri, 2020’deki büyük Twitter hack’iydi. Saldırgan, o dönemdeki Twitter iç sistemlerine sızarak Apple(AAPL), Barack Obama, Elon Musk(Elon Musk) gibi isimlerin hesaplarını ele geçirdi. Ardından Bitcoin(BTC) üzerinden ‘sahte airdrop’ kampanyası yürütülerek yaklaşık 100 bin dolar civarında (yaklaşık 1,5 milyon TL) kripto para çalındı. Bu saldırının arkasındaki kişi daha sonra 5 yıl hapis cezasına çarptırıldı.

X, yıllardır bot hesapları temizleme, API kısıtlamaları, olağan dışı davranış tespiti gibi farklı güvenlik önlemleri uyguluyor. ‘İlk kripto ifadesinde otomatik kilitleme’ adımı ise, hesabı ele geçiren saldırganın elindeki hesabı doğrudan ‘kullanılamaz hale getirmeyi’ amaçlayan yeni bir strateji. Böylece hesap çalınsa bile ‘kripto para phishing’ için kullanılmasının önüne geçilmeye çalışılıyor.

Bier, ayrıca Google’ı da hedef alarak, ‘phishing e-postalarını zamanında engelleyemediği’ için eleştirdi. E-posta aşamasında saldırıları durduramayan sistemlerin, kullanıcıların kripto para(crypto) dolandırıcılığına maruz kalmasında önemli payı olduğu görüşünde. *yorum: X ve Google arasındaki bu sorumluluk tartışması, e-posta altyapısı ve sosyal medya platformları arasında güvenlik zincirinin hangi halkasında daha fazla yük olması gerektiği tartışmasını yeniden alevlendirebilir.*

Uzmanlara göre bu yeni özellik, kripto para piyasası genelinde süren ‘güven krizi’ni hafifletme girişimi olarak okunuyor. Ancak ‘yanlış pozitif’ durumlar yani normal kullanıcıların da zaman zaman sebepsizce hesap kilidiyle karşılaşma ihtimali, dikkatle izlenecek bir başlık. X’in bu sert güvenlik yaklaşımının, ‘kripto phishing’ saldırılarını gerçekten ne ölçüde azaltacağı ise önümüzdeki dönemde ortaya çıkacak. Kripto para(crypto) ekosistemi, bu hamlenin sonuçlarını yakından takip ediyor.