Kripto Güvenlik Raporu: Mayıs 2024

Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.

Mayıs 2024'te MetaMask, %99,9 işlem başarı oranı, MEV koruması, ön simülasyon ve daha iyi ağ ücreti ayarları sunan Smart Transactions'ı hayata geçirdi. Ayrıca Gizli Kurtarma İfadenizi korumaya yönelik yeni bir kullanıcı kılavuzu ve HAPI ile birlikte bir Snaps güvenlik tartışması paylaştık. Bu ay aynı zamanda yaklaşık 20.000 kurbanın on milyonlarca dolarını boşaltan Pink Drainer'ın kapandığına da tanıklık etti. Öte yandan, Lazarus Group'un "Contagious Interview" kampanyası, sahte iş teklifleriyle blockchain geliştiricilerini hedef aldı. Adres zehirleme saldırıları da artmaya devam etti; bir kurban 68 milyon dolar kaybetti. Tüm ayrıntılar aşağıda, ancak önce...

Öne çıkan STEM öncüsü: Video oyunu kartuşunun babası Jerry Lawson

Gerald "Jerry" Lawson (1940–2011), değiştirilebilir ROM kartuşları kullanan ilk ev video oyunu konsolu olan Fairchild Channel F'nin arkasındaki ekibe liderlik eden ve bu sayede "video oyunu kartuşunun babası" unvanını kazanan Amerikalı bir elektronik mühendisiydi. Erken dönem Silikon Vadisi'ndeki çok az sayıdaki Siyah mühendisten biri olan Lawson, kullanıcıların yeni özellikleri güvenle ekleyebildiği modüler bir sistem inşa etti; bu tasarım felsefesi, modern yazılımın bugün nasıl genişletildiğini ve izole edildiğini yansıtıyor.

Daha yüksek başarı oranı ve MEV koruması için Smart Transactions'ı tanıtıyoruz

İşlem verimsizlikleri yalnızca bir güvenlik meselesi değildir; kullanıcılara maddi kayıp da yaşatabilir. Bu ay MetaMask, %99,9 işlem başarı oranı, maksimum çıkarılabilir değer (MEV) koruması, işlem öncesi simülasyon ve daha iyi ağ ücreti ayarları sunabilen Smart Transactions'ı tanıttı. Yönetici Ürün Direktörü Gal Eldar'ın açıkladığı gibi, cüzdanlar "bu kullanıcı sorunlarını doğrudan ele almak için benzersiz bir konumda ve pek çok açıdan sorumlu." Smart Transactions, MetaMask'ın işlem göndermeyi herkes için daha güvenli, kolay, verimli ve güvenilir hale getirme taahhüdünü yansıtıyor.

Gizli Kurtarma İfadesi, şifre ve Özel Anahtarlar için kullanıcı kılavuzu

Süregelen kullanıcı eğitiminin bir parçası olarak MetaMask, yeni başlayanların yaygın ve maliyetli hatalardan kaçınmasına yardımcı olmayı amaçlayan Gizli Kurtarma İfadesi, şifre ve Özel Anahtarlar hakkında bir destek makalesi yayımladı. Bu, kripto dünyasına yeni adım atan herkesle paylaşmak için support.metamask.io adresindeki diğer materyallerle birlikte başvurulabilecek iyi bir kaynaktır.

MetaMask Snaps, güvenlik ve durum tespiti

MetaMask Snaps, cüzdan işlevselliğini genişleten özelleştirilebilir, denetlenmiş üçüncü taraf eklentilerdir. MetaMask'tan Christian Montoya, Snaps'in kullanıcıları nasıl daha güvenli kılan yeniliklere olanak tanıdığını ele aldığı HAPI ile bir X Space etkinliğine ev sahipliği yaptı. Açıkladığı üzere güvenlik çok boyutludur; bir kullanıcının web3 yolculuğunun farklı aşamalarında farklı koruma önlemlerine ihtiyaç duyulur: donanım cüzdanı değerlidir, ancak "kötü amaçlı bir merkeziyetsiz uygulama ile etkileşime girerseniz donanım cüzdanınız bile boşaltılabilir. Bu nedenle MetaMask, pek çok alanda güvenlik sağlayıcıları getirmeye odaklanıyor." Güvenlik odaklı Snaps'in kullanıma sunulması devam ediyor.

Kripto dünyasını kasıp kavuran 10 milyon dolarlık "gizemli hack"e yeniden bakış

MetaMask'tan Taylor Monahan, kripto cüzdanlarını ele geçiren ve uzun süreli kullanıcılardan yaklaşık 10 milyon dolar değerinde ether boşaltan gizemli bir hack'i araştırıyor. The Defiant'a konuşan Monahan, hack'in ilk ne zaman başladığına dair ayrıntıları paylaştı ve olayın son gelişmelerini aktararak şunları belirtti: İleri araştırmalarla temel nedene ilişkin görüşü değişmiş olsa da olgular değişmedi; söz konusu olay, önceki aylarda raporladığımız kötü şöhretiyle bilinen LastPass ihlaliyle bağlantılı bir saldırıdır. Hacker'ın organize bir grubun parçası olduğu düşünülmekte olup en az 300 kurbanın seed phrase'ini ele geçirdiği tahmin edilmektedir; bunların tamamının büyük olasılıkla LastPass aracılığıyla depolandığı değerlendirilmektedir. Unutmayın: Gizli Kurtarma İfadeniz çevrimdışı ortamda ve yalnızca sizin erişebildiğiniz güvenli bir yerde saklanmalıdır. Monahan ayrıca Eylül 2023 tarihli ilgili Krebs on Security yazısına da bağlantı verdi.

Pink Drainer, 75 milyon dolardan fazlasını boşalttıktan sonra kapandı

Kötü şöhretiyle tanınan kripto cüzdan boşaltıcısı Pink Drainer, gelişmiş kimlik avı yöntemleriyle yaklaşık 20.000 kurbanı istismar ederek 75 milyon dolardan fazla para biriktirdikten sonra kapandığını duyurdu. Açıklamada şöyle denildi: "Hedefimize ulaştık ve artık plana göre emekliye ayrılma zamanı geldi." (ZachXBT'ye atıfta bulunan Scam Sniffer, tek bir yılda yaklaşık 20.000 kurbanın 75 milyon dolardan fazlasının çalındığını açıkladı.) Pink Drainer'ın kendisinin de kabul ettiği gibi, bu emeklilik büyük bir etki yaratmayacak; zira "insanlar bize geçtikleri kadar hızlı başka boşaltıcılara geçecek." Dolandırıcılar aniden vicdan sahibi mi oldu, yoksa başka bir şey mi söz konusu? Altıncı hissimiz ikincisine işaret ediyor… Pek çok boşaltıcı hâlâ aktif olduğundan, geçerliliğini koruyan tavsiye şudur: Önemli varlıklarınızı bir donanım cüzdanında saklayın, günlük cüzdanlarda minimum varlık bulundurun ve farklı risk seviyeleri için farklı hesaplar kullanın.

Lazarus Group'un "Contagious Interview" kampanyası blockchain geliştiricilerini hedef alıyor

Ne oldu?

2007'den bu yana aktif olan ve 2014 Sony Pictures saldırısıyla nam salmış gelişmiş kalıcı tehdit (APT) grubu Lazarus Group, giderek artan biçimde finansal kurumları ve sanal para platformlarını hedef almaktadır. Güvenlik araştırmacıları, LinkedIn, Upwork ve Braintrust gibi platformlardaki iş ilanları aracılığıyla blockchain geliştiricilerini hedef alan kötü amaçlı JavaScript içeren ZIP dosyaları kullanan bir dizi saldırıyı ortaya çıkardı. Lazarus'un "Contagious Interview" kampanyasıyla örtüşen bu saldırılar, adayları kripto ile ilgili bilgileri çalan ve kötü amaçlı yazılım yerleştiren zararlı kodları çalıştırmaları için kandırıyor.

Kullanıcılar kendilerini nasıl koruyabilir?

Lazarus gibi grupların gerçekleştirdiği kimlik avı ve kötü amaçlı yazılım saldırılarına karşı korunmak için beklenmedik iş tekliflerinin meşruiyetini bağımsız araştırmayla doğrulamak ve sağlam bir dijital hijyen anlayışı benimsemek büyük önem taşımaktadır. Bu; güncel antivirüs ve kötü amaçlı yazılım önleme yazılımları kullanmayı, ek bir güvenlik katmanı için çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmeyi ve bilinmeyen kaynaklardan gelen e-posta eklerine ve bağlantılara karşı dikkatli olmayı kapsamaktadır. Bunlara ek olarak, istismar edilebilir güvenlik açıklarına karşı korunmak için tüm yazılımların güncel tutulması da zorunludur. Bu uygulamaları benimseyen bireyler, gelişmiş siber tehditlere karşı savunmalarını önemli ölçüde güçlendirebilir ve hassas bilgilerini koruma altına alabilir.

Adres zehirleme saldırıları artıyor: Bir kurban 68 milyon dolar kaybetti

Ne oldu?

Adres zehirleme, saldırganların kurbanın işlem geçmişini manipüle ederek onu yanlış bir adrese para göndermesi için kandırdığı aldatıcı bir taktiktir; yakın zamanda bir kurban bu yöntemle 68 milyon dolar kaybetti. Bu dolandırıcılık taktiği; sahte token oluşturmayı, hedefin adresine çok benzeyen "vanity" adresler kullanmayı ve ERC-20 token standardının "transferFrom()" fonksiyonunu istismar etmeyi içermektedir. Saldırganlar, sahte adreslerini meşru göstermek amacıyla sıfır değerli token transferleri ve sahte token transferleri gerçekleştirmek için bu stratejilere başvurmaktadır. Bu saldırılar, kullanıcıları işlemlerinde yanlış adresi kopyalamaları için yanıltmak ve maddi kayıplara yol açmak üzere tasarlanmıştır. Bu yöntemlerin karmaşıklığı, blockchain alanındaki siber tehditlerin nasıl evrildiğini gözler önüne sermektedir.

Kullanıcılar kendilerini nasıl koruyabilir?

Adres zehirlenmesine karşı korunmak için kullanıcılar, adresleri doğrudan işlem geçmişlerinden kopyalamaktan kaçınmalı ve bunun yerine güvenilir bir kaynaktan kopyalamalıdır. Adresler için alan adı uygulamak ayırt edilebilirliği artırabilir; ancak kullanıcıların alan adı sahteciliğine karşı dikkatli olması gerekmektedir. Cüzdan hizmetlerinin sunduğu adres defteri özelliğini kullanmak veya Etherscan gibi platformlarda güvenilir adresleri beyaz listeye almak amacıyla özel bir isim etiketi eklemek, kullanıcıların sahte adresleri kolayca tanımasına ve bunlardan kaçınmasına yardımcı olabilir.

MetaMask'ın Mayıs 2024 Kripto Güvenlik Raporu; MetaMask Smart Transactions'ın lansmanını, yaklaşık 20.000 kurbanın on milyonlarca dolarını boşalttıktan sonra Pink Drainer'ın kapanmasını ve bir kurbanın 68 milyon dolar kaybetmesine yol açan adres zehirleme saldırılarındaki artışı ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.