David Schwartz, XRP Sahiplerini 12 veya 24 Kelimelik İfade Talep Eden Dolandırıcılık Bağlantısına Karşı Uyardı

Schwartz, Bildirim Geçmişinde Tuzağı Yakaladı

Ripple'ın kıdemli baş kriptografı ve XRP Ledger çevresinde en çok takip edilen güvenlik isimlerinden biri olan David Schwartz, Android telefonuna SecuX donanım cüzdanı uygulaması gibi görünen sahte bir bildirim geldiğini ve bu bildirimin 12 ya da 24 kelimelik kurtarma ifadesi (recovery phrase) isteyen bir sayfaya bağlantı taşıdığını açıkladı. Bildirim SecuX'tan gelen normal bir mesaj izlenimi verdi. Schwartz meraktan tıklamış, uygulama olağan biçimde açılmış ve bildirim geçmişini kontrol edene kadar hiçbir şey ters görünmemiş. Geçmişte tam mesaj ortaya çıkmış: fonların risk altında olduğu, SecuX cüzdanında kritik bir güvenlik açığı tespit edildiği ve acil doğrulama gerektiği yazıyordu. İçindeki bağlantı, kullanıcıdan 12 ya da 24 kelime girmesini isteyen bir oltalama (phishing) sayfasına çıkıyordu. Schwartz'a göre bu kelimeler kurtarma ifadesini oluşturuyor ve bir kripto cüzdanı sahibinin elindeki en hassas veri niteliğinde; ifadeyi ele geçiren herkes cüzdanı başka bir cihazda geri yükleyip fonların kontrolünü ele alabiliyor. Olaya ilişkin paylaşımında Schwartz üç kelimelik bir kurala da yer verdi: “Asla yapmayın.” Takipçilerden biri böyle bildirimlere hiç tıklamaması gerektiğini dile getirirken Schwartz, bu kez merakın kendisini yendiğini ve tehlikenin ancak bildirim kaydını inceleyince netleştiğini yanıtladı. Bu tür anlık bildirimler geldikleri görünen uygulamanın güvenini devraldığı için kılık değiştirmesi etkili oluyor; sanayinin tecrübeli bir ismine kadar ulaşabilmesi de bunun kanıtı. Uyarı, XRP yatırımcıları arasında güçlü yankı buluyor; zira bu tür cihazlar XRP için yaygın bir saklama tercihi ve girişim doğrudan kimlik bilgilerini hedeflemiş, XRP fiyatıyla bağlantılı hiçbir şeye dokunmamış.

SecuX, 16 Ekim'de Acil Bakım Açıkladı

Uyarı, ilgili uygulamanın geliştiricisi SecuX'un acil bakım duyurusunun saatler sonra gündeme düştü. Şirket 16 Ekim'de, cüzdan uygulamasında güvenliği ve istikrarı güçlendirmek için kapsamlı bir sistem yükseltmesi ile acil bakım yaptığını açıkladı; müdahaleyi zorlayan sorunu ise anlatmadı. Sonradan gelen bir hizmet güncellemesi uygulamanın normal çalışmaya döndüğünü teyit etti. Bu teyitle birlikte şirket yerleşik kuralını yineledi: SecuX asla 24 kelimelik kurtarma ifadesini istemez, kullanıcılar şüpheli ya da doğrulanmamış bağlantılardan uzak durmalı ve SecuX Destek kılığındaki mesajlara kuşkuyla yaklaşmalı. Schwartz'ın paylaşımı da 16 Ekim tarihini taşıyor. Belirsiz kalan nokta, bildirimin kaynağı. Mesajın uygulamadan mı, üçüncü taraf bir bildirim servisinden mi yoksa bambaşka bir kanaldan mı geldiğini Schwartz tespit edemedi; şu ana kadar yayımlanan hiçbir veri SecuX'un yazılımının ya da altyapısının ele geçirildiğini bağımsız olarak göstermiyor. Şirketin bakım duyurusu da neyin ters gittiğini açıklamaktan uzak. Başka bir deyişle eldeki kayıt, dolandırıcılık girişimini ve bakımı doğruluyor; herhangi bir ihlali henüz doğrulamıyor. Bu boşluk, uzun vadeli pozisyonlarını soğuk cüzdan ile saklayan XRP sahipleri için önemli: bir cüzdan uygulamasında açıklamasız bir bakım aralığının ardından aynı uygulamayı taklit eden sahte bir bildirim gelmesi, oltalama çetelerinin aradığı tam kalıp. Mobil bildirimler, kilit ekğranında gerçek uyarıların yanında göründükleri için kripto dolandırıcılıklarının kalıcı bir dağıtım kanalı hâline geldi; sahte sayfaya ulaşmak çoğu zaman tek bir dokunuş. İkisini ayıran şey sezgi değil doğrulama: bir şey girmeden önce göndereni, bağlantıyı ve talebi kontrol etmek.

Kurtarma İfadesi Değiştirilemez

İki açıklamayı birlikte okuduğumuzda en ucuz savunmanın aynı zamanda en güçlüsü olduğu sonucu çıkıyor. Schwartz'ın olaya ilişkin kaydı, dolandırıcılığın tüm yükünün kelime talebinden ibaret olduğunu gösteriyor: ne imza istemi, ne işlem, ne de özel anahtar ifşası. Kurtarma ifadesi, bir saldırgan onu gördükten sonra değiştirilemez; bu yüzden ifadeyi yazan kullanıcının tüm varlıklarını yeni oluşturulmuş bir cüzdana taşıması gerekir, süreci kripto cüzdanı kurtarma rehberimizde adım adım anlattık. SecuX, 16 Ekim bakımını tetikleyeni açıklamadığı sürece XRP haberlerini takip eden herkes için çalışma varsayımı şu olmalı: hangi uygulamadan geldiğini iddia ederse etsin, kurtarma kelimesi isteyen bir bildirim, duyuru ya da e-posta düşmanca davranıştır.