Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Eylül 2025'te, görünürde küçük saldırıların katlanarak büyüyen bir etki yaratarak çok daha geniş bir ölçeği nasıl etkileyebildiğini bir kez daha gördük. Tek bir phishing kurbanı olan geliştirici, haftada 2 milyar kez indirilen 18 npm paketini zehirlemeye yetti. Dolandırıcılar, kripto yöneticilerini telefonda deepfake yöntemiyle taklit etmek için profesyonel seslendirme sanatçıları kiraladı. Üstelik gizli bir yeni malware türü, tarayıcı cüzdanlarını boşaltırken neredeyse bir ay boyunca antivirüs yazılımlarından kaçmayı başardı. Bazı iyi haberler de vardı. LavaMoat'ın sandboxing özelliği sayesinde npm saldırısı, MetaMask kullanıcıları için sessiz sedasız etkisiz hale getirildi. Ethereum Vakfı ise trilyon dolarlık ölçekte ağı güvence altına alma çalışmalarını sürdürdü. Aşağıdaki ayrıntılara dalın, ama önce...
Öne çıkan STEM öncüsü: İlk Latina astronot ve Johnson Uzay Merkezi direktörü Ellen Ochoa
Ellen Ochoa, uzaya seyahat eden ilk Latina olarak Space Shuttle Discovery'de görev yaptı ve daha sonra NASA'nın Johnson Uzay Merkezi'nin ilk Latina direktörü oldu. Küçük bir hatanın büyük sonuçlar doğurabildiği karmaşık, yüksek riskli sistemleri yönetmek, kripto güvenliğinin de çok iyi bildiği bir disiplindir.
MetaMask sosyal giriş, Apple ve Google kimlik bilgileriyle cüzdan kurtarmayı kolaylaştırıyor
Gizli Kurtarma İfadelerini (SRP) yönetmek ve güvende tutmak, öz-saklama sorumluluğunun en zorlu yönlerinden biri olmaya devam etmiştir. Anahtarlarınızı kaybederseniz kriptonuzu da kaybedersiniz. MetaMask artık her zamankinden daha kolay bir şekilde Apple veya Google hesap kimlik bilgileri ile güvenli bir parola kombinasyonu kullanarak cüzdan oluşturmanıza, yedeklemenize veya geri yüklemenize olanak tanıyor.
Gelişmiş güvenlik için SRP'ler şifrelenerek parçalara bölünmekte ve şifreleme anahtarı farklı konumlara dağıtılmaktadır. SRP'yi düz metin olarak yalnızca cüzdan sahibi yeniden oluşturabilir; bu nedenle parolayı bir SRP kadar özenle korumaları zorunludur. Bu yeni özellik hakkında daha fazla bilgi edinmek için MetaMask Destek sayfamızı ziyaret edin.
NPM tedarik zinciri saldırısı, haftada 2 milyar indirmeye sahip 18 JavaScript paketini tehlikeye attı
Eylül ayının başında, Qix adıyla bilinen bir geliştiricinin phishing saldırısına kurban gitmesinin ardından en az 18 popüler JavaScript NPM paketinin ele geçirildiği bugüne kadarki en büyük tedarik zinciri saldırılarından birini yaşadık. Bir veya birden fazla tehdit aktörü, haftada 2 milyar kereden fazla indirilen bu paketlere kötü amaçlı kod enjekte ederek zararlı sürümler yayınlamayı başardı; bu sayede saldırı etkisiz hale getirilmeden önce birkaç saat boyunca kripto cüzdan etkileşimlerini manipüle edebildiler ve fonları yönlendirebildiler.
Daha sonra, enjekte edilen malware'in bir solucan gibi davrandığı ve Qix tarafından yönetilen diğer projelere otomatik olarak yayılabildiği keşfedildi. Kayıplar felaket boyutlarına ulaşabilecekken, zararlı sürümler kaldırılmadan önce yalnızca birkaç yüz dolarlık fon çalındı. Bu olay, açık kaynak ekosisteminde tek bir başarısızlık noktasının ne denli yıkıcı olabileceğini gözler önüne serdi.
LavaMoat sandboxing, MetaMask kullanıcılarını tedarik zinciri malware'inden koruyor
Neyse ki MetaMask'ın LavaMoat'ı, bağımlılıklar üzerinde çalışma zamanı kontrolleri uygulayarak bu yaygın tedarik zinciri saldırılarına karşı koruma sağlıyor; bu kontroller, bağımlılıkların ortamlarıyla nasıl etkileşime girebileceğini kısıtlıyor ve sandboxing olarak bilinen bu süreç sayesinde kötü amaçlı bir paket yüklense bile LavaMoat, gizli bilgilerin sızdırılmasını, cüzdan API'larıyla oynanmasını veya yetkisiz ağ etkinliği gerçekleştirilmesini engelliyor. MetaMask'tan Zbyszek Tenerowicz'in dediği gibi: "NPM'den malware de çalıştırabilirsiniz... Yani sonuçsuz bir şekilde."
Vitalik Buterin merkezi yapay zeka yönetimine karşı uyardı, açık denetim önerdi
Yazılım mühendisi Eito Miyamura, OpenAI'ın en son ChatGPT güncellemesinin ardından kişisel kullanıcı verileriyle ilgili risklere dikkat çekti ve Vitalik Buterin de konuya dahil oldu. Buterin, merkezi yapay zekaya güvenilmesini geçerli bir yönetim çözümü olarak reddederek, yapay zekaya fon dağıtımı gibi hassas roller verilmesi durumunda saldırganların "ellerinden geldiğince çok yere bir jailbreak ve 'tüm parayı ver' kodu yerleştireceğini" vurguladı.
Bunun yerine Buterin, yapay zeka sistemlerinin üçüncü taraf denetimlerine ve insan jürilerinin rastgele spot kontrollerine açık olduğu bir "bilgi finansmanı" modeli önerdi. Bu yaklaşım, şeffaflığı ve topluluğu daha güvenli bir ilerleme yolu olarak değerlendiren merkeziyetsizlik anlayışıyla örtüşmektedir. Ethereum'un kurucu ortağının bu perspektifi, yapay zekada inovasyon, güvenlik ve hesap verebilirlik arasındaki dengenin nasıl kurulacağına dair büyüyen tartışmanın altını çizmektedir.
Kişiselleştirilmiş sesli phishing saldırıları, deepfake taklitçiler kullanarak ABD'li kripto yöneticilerini hedef alıyor
ABD'li kripto sektörü yöneticilerini hedef alma çabalarının son halkasında dolandırıcılar, ayrıntılı sesli phishing, yani vishing saldırılarında profesyonel ses taklitçileri kullanmak için aylık 20.000 dolara kadar ödeme yapıyor. GK8'deki araştırmacılar, taklitçi ekiplerinin yeraltı forumları aracılığıyla işe alındığını ve güvenlik kontrollerini aşmak için tasarlanmış özenle hazırlanmış veri setleri, deepfake teknolojisi ve kapsamlı altyapıyla desteklendiğini ortaya koydu.
Telefon tabanlı bu saldırılar son derece kişisel nitelik taşıyor ve ayrıcalıklı erişime sahip bireyleri hedef alıyor; bu durum, toplu phishing'den hassas sosyal mühendisliğe doğru bir kayışı yansıtıyor. GK8 araştırmacısı Tanya Bekker, yöneticilerin "kişisel bilgilerinin zaten ifşa edildiğini varsaymaları" gerektiği konusunda uyarıyor ve "yüksek değerli işlemlerin tek bir kişi tarafından onaylanmaması gerektiğini" vurguluyor.
Kiln, SwissBorg'un API ihlalinde 40 milyon dolar kaybetmesinin ardından Ethereum doğrulayıcılarından çıkıyor
Staking platformu Kiln, iş ortağı SwissBorg'un bir API güvenlik ihlalinden etkilenmesinin ardından ihtiyat amacıyla tüm Ethereum doğrulayıcılarından çıkacağını duyurdu. Blok zinciri araştırmacısı ZachXBT, SwissBorg'un yaklaşık 40 milyon dolar değerinde SOL kaybettiğini bildirdi. Kiln, kullanıcıların fonlarının güvende olduğunu ve başka hiçbir Ethereum varlığının etkilenmediğini vurgulayarak bu adımın önleyici bir tedbir olduğunu açıkladı.
Kararın duyurulduğu sırada Kiln, sürecin her doğrulayıcı için 10-42 gün süreceğini ve para çekme işlemlerinin ek 9 gün gerektireceğini tahmin etti. Bu arada, 2,5 milyonun üzerinde ETH ağın doğrulayıcı çıkış kuyruğunda birikmeye başlayarak aşırı bekleme sürelerine yol açtı.
Ethereum Vakfı Trilyon Dolarlık Güvenlik girişimini başlattı
Kaçırdıysanız belirtelim: Ağustos ayının sonlarında Ethereum Vakfı, "Trilyon Dolarlık Güvenlik" adını verdiği girişim aracılığıyla ağın güvenliğini güçlendirmeye yönelik bir çalışmayı kamuoyuyla paylaştı. Programın açıklanan hedefi, milyarlarca kullanıcının zincir üzerinde en az 1.000 dolar tutmaktan çekinmediği ve kurumların ile hükümetlerin Ethereum uygulamaları içinde trilyon dolarlık ölçekteki varlıkları rahatlıkla yönetebildiği bir gerçekliği hayata geçirmektir. Plan; ekosistem genelindeki güvenlik açıklarının haritalanması, iş ortaklarıyla birlikte düzeltme ve iyileştirmelerin uygulanması ve net güvenlik standartlarının oluşturulması olmak üzere üç aşamada ele alınmaktadır.
Programa Security Alliance kurucusu samczsun, Sigma Prime kurucu ortağı ve direktörü Mehdi Zerouali ile Etherealize kurucu ortağı Zach Obront destek verecek. Ayrıca EF, Ethereum güvenliğinin hangi alanlarda iyileştirilmesi gerektiği konusunda ekosistemden görüş talep ediyor.
Birkaç hafta sonra EF, araştırmacıların yaklaşan Fusaka yükseltmesini denetlemek için davet edildiği 2 milyon dolarlık bir yarışma düzenleneceğini duyurdu. Yarışma, 15 Eylül - 13 Ekim tarihleri arasında Sherlock testnet üzerinde yürütülmekte olup sırasıyla 100.000 ve 25.000 dolar katkı sağlayan Gnosis ve Lido tarafından ortak sponsorluğu üstlenilmektedir. Bu yaklaşım, merkeziyetsiz ekosistemin ağın geleceğine olan kolektif bağlılığını gözler önüne sermektedir.
ModStealer malware, kripto tarayıcı cüzdanlarını boşaltırken bir ay boyunca antivirüslerden kaçtı
Ne oldu
Güvenlik araştırmacıları, ModStealer adlı yeni bir malware türü keşfetti; bu yazılım, Windows, Linux ve Mac kullanıcılarından kripto cüzdan verilerini çalarken neredeyse bir ay boyunca antivirüs yazılımlarını atlatmayı başardı. Saldırganlar, geliştiricileri hedef alan sahte iş ilanları aracılığıyla malware'i yayıyor. Sisteme sızdıktan sonra tarayıcı cüzdan uzantılarını ve kimlik bilgilerini arıyor, ardından her şeyi sessizce kendi sunucularına gönderiyor. Mac'lerde ise kendisini bir sistem yardımcısı gibi göstererek başlangıçta otomatik çalışacak şekilde ayarlıyor. Güvenlik uzmanları, çalınan özel anahtarlar ve seed phrase'lerin insanların fonlarına doğrudan erişim sağladığını ve tespit araçlarını atlayabilmesinin tüm kripto ekosistemi için ciddi bir tehdit oluşturduğunu belirtiyor.
Kullanıcılar nasıl güvende kalabilir
En iyi uygulamalar arasında ziyaret ettiğiniz sitelere karşı sürekli tetikte olmak yer alıyor; özellikle iş ilanları veya kripto ile ilgili içerikler ararken bu dikkat daha da önem kazanıyor. Özgünlüğü doğrulamak için her zaman güvenilir kaynaklara başvurun. Her türlü istenmeyen teklife son derece temkinli yaklaşılmalı ve büyük olasılıkla tamamen görmezden gelinmelidir. Ayrıca en büyük kripto varlıklarınız için donanım cüzdanı gibi soğuk depolama seçeneklerini kullanmak, fonlarınızı güvende tutmanın en etkili yollarından biridir.
TOR tabanlı cryptojacking kampanyası, XMRig madencisi yüklemek için yanlış yapılandırılmış Docker API'larını hedef alıyor
Ne oldu
Bir cryptojacking kampanyası, XMRig kripto para madencisi yüklemek amacıyla yanlış yapılandırılmış Docker API'larını hedef alıyor; saldırganlar izlerini gizlemek için TOR ağını kullanıyor. Malware, açıkta kalan diğer Docker örneklerini tarayarak yayılıyor ve Telnet ile Chrome uzaktan hata ayıklama bağlantı noktalarına saldırmak için tasarlanmış uyku modundaki kodlar içeriyor; bu durum, saldırganların daha büyük bir botnet operasyonu kurmaya yönelik hazırlık yapıyor olabileceğine işaret ediyor.
Kullanıcılar nasıl güvende kalabilir
Araştırmacılar, kuruluşların bu tür saldırılara karşı korunmak için API erişimini kısıtlamaları, ağlarını düzgün biçimde segmentlere ayırmaları ve varsayılan kimlik bilgilerini değiştirmeleri gerektiğini vurguluyor.
Ağustos ayında kripto saldırıları %13 artarak 173 milyon dolar çalındı; phishing 101 milyon dolara ulaştı
Ne oldu
CertiK'e göre kripto saldırıları Temmuz'dan Ağustos'a %13'ün üzerinde artış gösterdi ve hırsızlar yaklaşık 173 milyon dolar ile sıvıştı. Yalnızca phishing dolandırıcılıkları bu toplamın 101 milyon dolarını oluşturdu. Ayın en ağır darbeleri arasında 91 milyon dolarlık büyük bir phishing saldırısı ve BTC Turk'e yönelik 53 milyon dolarlık bir hack yer aldı.
Bu durum, Haziran'dan bu yana gözlemlediğimiz bir eğilimin parçası ve uzmanlar kayıpların her ay artmaya devam edeceğini öngörüyor. Savunma mekanizmaları gelişse de bu temel phishing dolandırıcılıkları hâlâ inanılmaz derecede etkili. Bir CEO, organize suç gruplarının özünde "hizmet olarak dolandırıcılık" alanında faaliyet gösteren "teknoloji girişimlerine" dönüştüğünü gözlemledi.
Kullanıcılar nasıl güvende kalabilir
Sosyal mühendislik saldırıları özellikle etkilidir; zira insan unsuru, savunulması en güç saldırı yüzeyine sahiptir. Kiminle konuştuğunuzu her zaman bilin ve her türlü istenmeyen iletişime karşı temkinli olun. Bir e-postadaki veya kısa mesajdaki rastgele bir bağlantıya asla tıklamayın. Konuştuğunuz kişinin gerçekten o kişi olup olmadığından en ufak bir şüphe duyduğunuzda, iş yerine telefon açmak veya kimliğini başka güvenli bir yöntemle doğrulamak gibi farklı bir yoldan doğrudan o kişiye ulaşın.
MetaMask'ın Eylül 2025 Kripto Güvenlik Raporu; 18 paketi tehlikeye atan büyük bir npm tedarik zinciri saldırısını, kripto yöneticilerini hedef alan kişiselleştirilmiş sesli phishing saldırılarını, Ağustos 2025'teki kripto saldırılarındaki artışı (173 milyon dolar çalındı, 101 milyon dolar phishing yoluyla elde edildi) ve Ethereum Vakfı'nın Trilyon Dolarlık Güvenlik girişimini ele aldı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask kripto güvenlik raporunun önceki sayılarına göz atın.
