Kripto dolandırıcılığında AI, artık cüzdanı değil onayı hedefliyor

AI destekli kripto dolandırıcılığı, cüzdan kodunu doğrudan kırmak yerine kullanıcıdan onay ve imza almaya yöneliyor. Saldırı noktaları da blok zincirinin kendisinden çok kimlik doğrulama, cüzdan onayı, kurtarma talebi ve ödeme talimatı aşamalarına kaydı.

TRM Labs, 17'sinde (yerel saatle) yayımladığı '2026 AI Suç Benimseme Endeksi'nde kripto suçlarının genelinde AI kullanım seviyesini 100 üzerinden 54 puan olarak açıkladı. Bu rakam 2024'teki 28 puandan yükseldi.

Raporda dolandırıcılık, tek başına 'olgun' seviyeye yerleştirilen kategori oldu. Hackleme ve fidye yazılımı ise 'erken yayılma' aşamasında kaldı. Bu da AI'nın suçun her alanına aynı hızla yayılmadığını, önce insanları kandırarak harekete geçirmeyi hedefleyen dolandırıcılık alanında yerleştiğini gösteriyor.

Buradaki temel değişim 'hackleme' değil 'izin'. Kullanıcı sahte destek hattı, deepfake video, ses klonlama veya AI sohbet botu tarafından kandırılıp cüzdana erişim yetkisi onayladığında işlem normal bir imza gibi işleniyor. Akıllı kontrat kusursuz çalışsa, donanım cüzdan doğru anahtarla imzalasa bile, onayı veren kişi kandırılmışsa fonlar yine de taşınabiliyor.

TRM Labs, dolandırıcılık bildirimlerinde AI'nın gerçek saldırılarda kullanılma oranının 2022'den bu yana yaklaşık 13 kat arttığını belirtti. 2026'da şimdiye dek bildirilen deepfake dolandırıcılık kayıpları, 2025'in tamamından yüzde 263 daha fazla oldu. Şirket, bu rakamın bildirime dayalı bir gösterge olduğunu ve AI dolandırıcılığının toplam kaybını yansıtmadığını vurguladı.

Chainalysis, 2026 Kripto Suç Raporu'nun dolandırıcılık bölümünde 2025'teki kripto dolandırıcılık zararını 17 milyar dolardan fazla olarak tahmin etti. Aynı raporda, kimlik taklidi dolandırıcılığının bir önceki yıla göre yüzde 1400 arttığı ve AI bağlantısı tespit edilen dolandırıcılık gruplarının kârlılığının geleneksel dolandırıcılığa kıyasla ortalama 4,5 kat daha yüksek olduğu belirtildi.

Rakamların paydası birbirinden farklı. TRM Labs'ın verdiği 13 kat ve yüzde 263'lük artış, bildirilen dolandırıcılık vakalarını ve deepfake kayıp akışını gösteriyor; Chainalysis'in yüzde 1400 ve 4,5 kat rakamları ise zincir üstünde tespit edilen dolandırıcılık kategorisindeki artışı ve kârlılık karşılaştırmasını yansıtıyor. Bu iki veri seti tek bir 'toplam AI dolandırıcılığı' rakamı gibi toplanamaz.

ABD Federal Soruşturma Bürosu (FBI) istatistikleri de aynı yönde. FBI, 2025 İnternet Suçları Raporu'na ilişkin açıklamasında AI ile bağlantılı 22.364 şikayet ve yaklaşık 893 milyon dolar zarar kaydettiğini bildirdi. Kripto ile ilgili şikayet sayısı 181.565'e, zarar ise 11 milyar doları aştı.

Mali Suçları Kovuşturma Ağı (FinCEN), 13 Kasım 2024'te (yerel saatle) yayımladığı uyarıda, üretken AI ile oluşturulan deepfake içeriklerin ve sahte kimlik belgelerinin kimlik doğrulama ve onay süreçlerini atlatmak için kullanıldığını belirtti. Bu durum yalnızca kripto cüzdanlarına özgü bir sorun değil, finans kuruluşlarının genel kimlik doğrulama sistemleriyle de bağlantılı.

Coinbase(COIN), 9 Nisan'da (yerel saatle) yayımladığı blog yazısında onay kimlik avının, kullanıcıları kandırarak cüzdan erişim yetkisini devretmelerini sağlayan bir dolandırıcılık türü olduğunu açıkladı. Şirket, uluslararası soruşturma birimleriyle iş birliği yaparak 20 bin mağduru tespit ettiğini ve çalınan fonlardan 12 milyon doların üzerini dondurduğunu bildirdi.

Cüzdan onay talebi, merkeziyetsiz uygulamaların veya akıllı kontratların kullanıcının tokenlarını yönetebilmesi için verilen yetkilendirme sürecidir. Normal hizmetlerde de gerekli bir işlev olsa da, saldırganların sahte siteler veya bildirimlerle cüzdan bağlantısı ve onay imzası almaya çalışması da bu akışla örtüşüyor.

Bu tabloda esas mesele cüzdanın kendisindeki teknik bir açık değil, kullanıcının yetkiyi kendi eliyle onaylamaya yönlendirilmesi. Güvenlik kontrolü veya destek süreci gibi görünen ekranlarda bile imza talebinin ve verilen yetki kapsamının ayrıca kontrol edilmesi gerekiyor.

Kendi saklama standardının özel anahtardan kurtarma bilgisi yönetimine doğru genişlediğine dair TokenPost'un önceki değerlendirmesi de bu tabloyla örtüşüyor. Yalnızca özel anahtara sahip olmak artık yeterli değil. Kurtarma süreci, onay yetkisi, yeni para çekme adresi kaydı ve çoklu doğrulama kanalları da yönetilmesi gereken unsurlar arasına girdi.

Türkiye'deki kullanıcılar için de çıkarım açık. Borsa hesabı ile kişisel cüzdanın birlikte kullanıldığı ortamlarda cüzdan imzası, kurtarma ifadesi girişi, para çekme adresi değişikliği ve uzaktan destek talebi risk taşıyan aşamalar haline gelebiliyor. Bu tür işlemlerin ayrı bir cihaz veya ayrı bir kanaldan yeniden doğrulanması, olası zararı azaltabiliyor.

AI destekli dolandırıcılık, var olan yöntemleri sıfırdan yaratmıyor; onları daha hızlı ve daha inandırıcı hale getiriyor. Cüzdan güvenliğinin odağı da kod açığından, kullanıcının karar anının manipüle edildiği ana kayıyor.