Cüzdan Boşaltıcılar ve Token Onayları: Cüzdanlar Nasıl Boşaltılır?

Çalınan kriptonun çoğu kriptografi kırılarak çalınmaz; sahibi tarafından imzalanarak verilir. İmzanın ne yaptığı ve onu vermekten nasıl kaçınacağınız.

Son inceleme: 2026-09-14

Mekanizma

Merkeziyetsiz bir borsanın token’larınızla işlem yapabilmesi için ona bir onay (approval) verirsiniz: o sözleşmeye belirli bir token’ı adresinizden taşıma izni. Çoğu arayüzde onay varsayılan olarak sınırsızdır ve süresi dolmaz.

Saldırının tamamı bundan ibarettir. Kötü niyetli bir site sıradan görünen bir onay ister, siz imzalarsınız ve sözleşme o token’ı istediği zaman boşaltır. Kurtarma ifadeniz hiç devreye girmedi. Kriptografi hiç kırılmadı. Buna siz yetki verdiniz.

Tehlikeli imzalar neye benzer?

Sınırsız tutarla approve. Meşru DEX’lerde standart uygulamadır; tam da bu yüzden alarm verici görünmez. Yalnızca gerçekten işlem yapmayı düşündüğünüz sözleşmelere verin.

increaseAllowance. Farklı bir isim altında aynı şey.

Permit / Permit2 imzaları. Bunlar hiç işlem olarak görünmez; zincir dışı (off-chain) imzalardır, dolayısıyla sizi duraksatacak bir gas ücreti yoktur. Gas maliyeti olmayan bir imza isteği otomatik olarak güvenli değildir; çoğu zaman daha tehlikeli olan türdür.

setApprovalForAll. NFT’ler için. Tek bir imza bütün bir koleksiyonu devreder.

Körlemesine imzalanan bir hex verisi. Cüzdanınız neyi imzaladığınızı çözümleyemiyorsa ve nedenini tam olarak bilmiyorsanız, cevap hayırdır.

İstekler nereden gelir?

• Sahte airdrop talep sayfaları; genellikle ele geçirilmiş sosyal medya hesapları üzerinden tanıtılır.
• Gerçek protokoller için arama reklamları; benzer görünen alan adlarına yönlendirir. Gerçeklerini yer imlerine ekleyin.
• Discord ve Telegram’da ilk mesajı atan destek personeli. Gerçek destek bunu asla yapmaz.
• Cüzdanınıza airdrop edilen dolandırıcılık token’ları. Cazip bir değer ve bir web sitesi adıyla görünürler. Onlarla etkileşime girmek tuzağın kendisidir.

Pratik savunmalar

Eski onayları iptal edin. Yıllar önce verdiğiniz her onay hâlâ geçerlidir. Bunları revoke.cash üzerinde ya da Etherscan’in token onayı denetleyicisinde düzenli aralıklarla gözden geçirin. Gas ücretine mal olur ve buna değer.

Harcama limiti belirleyin. MetaMask bir onaydaki tutarı düzenlemenize izin verir. Bunu kabaca işlem yapacağınız tutara ayarlamak, zararı o tutarla sınırlar.

İki cüzdan kullanın. Yalnızca aktif olarak kullandığınız tutarı tutan bir “sıcak” cüzdan ve hiçbir web sitesinde hiçbir şey imzalamayan ayrı bir cüzdan. Kayıpların çoğu yalnızca bu ayrımla atlatılabilir olurdu.

Kaybetmeyi göze alamayacağınız bakiye için donanım cüzdanı. Kötü bir onayı engellemez (donanım cüzdanında da onay imzalayabilirsiniz), ancak ele geçirilmiş bir bilgisayarın sizin haberiniz olmadan imza atmasını engeller.

Alan adını her seferinde okuyun. Boşaltıcı siteler, yazım olarak gerçeğiyle neredeyse birebir aynıdır.

Hiçbir meşru taraf kurtarma ifadenizi istemez

Destek istemez. Bir cüzdan “taşıma” işlemi istemez. Bir doğrulayıcı istemez. Bir yazılım güncellemesi istemez. Bir kişinin ya da bir web sitesinin o on iki ya da yirmi dört kelimeye ihtiyaç duyduğu hiçbir durum yoktur. İsteyen herkes, istisnasız, sizden çalıyordur.