Sahte SafePal Mektupları İtalya'daki Kullanıcılara 39.798 Kayıtlık Sızıntıyı Kullanarak Ulaştı

Sahte SafePal Mektupları İtalya'daki Evlere Ulaştı

İtalya'daki müşterilerin evlerine, kişisel bilgileri görünür biçimde taşıyan sahte SafePal mektupları ulaşıyor. Dolandırıcılar, donanım cüzdanı üreticisinin Ağustos'taki veri olayında ele geçirdiği bilgileri yeniden kullanarak mektupları doğrudan alıcıların ev adresine gönderiyor. Her mektup, alıcının cihazında bir aygıt yazılımı (firmware) hatası bulunduğunu ileri sürüyor ve sahipten bu hatayı sayfadaki QR kod üzerinden gidermesini istiyor. Kod, Arweave adlı, dosyaları kalıcı olarak internette tutmak üzere tasarlanmış bir depolama ağı üzerinde barındırılan sahte bir SafePal sitesini açıyor; bu da sahte sayfanın sıradan bir barındırma hizmetindeki sayfadan kapatılmasını zorlaştırıyor. Hem mektupta hem sitede müşterinin gerçek adı, posta adresi ve sipariş bilgileri yer alıyor ve ikna edici olan tam da bu hassasiyet. Hedef, herhangi bir cihazda cüzdanı yeniden kurmaya yarayan yedek kelimeler, yani kurtarma ifadesi (recovery phrase). O ifadesini sahte siteye yazan bir kullanıcı, cüzdandaki tüm varlıkları teslim etmiş oluyor; çünkü kelimeler tek başına bakiyeyi saldırganın cihazında geri yüklemeye yetiyor. Bir İtalyan topluluk hesabı, kampanyayı 12 Kasım'da X'te paylaştığı bir gönderiyle gündeme getirdi ve SafePal alıcılarına doğru kişisel verilerle ve kişiselleştirilmiş bir bağlantıyla gönderilen mektupları anlattı. SafePal'ın destek ekibi aynı gün, Perşembe, bu operasyonu doğruladı ve Ağustos'taki veri sızıntısıyla ilişkilendirdi. Mektupların "SafePal'dan GELMEMEKTE" olduğunu yazan ekip, cüzdan altyapısının güvenli kaldığını, şirketin asla fiziksel posta göndermeyeceğini ve asla tohum ifadesi (seed phrase) istemeyeceğini ekledi. Alıcılardan, sahte sitenin kapatılabilmesi için QR kodu görünür biçimde tutarak mektupları şirketin dolandırıcılık koruması sayfası üzerinden bildirmeleri istendi. İnternete bağlı kalan sıcak cüzdanın (hot wallet) aksine bir donanım cüzdanı işlemleri çevrimdışı imzalar; saldırganların cihaz yerine ifadeye ihtiyaç duymasının nedeni tam olarak bu.

Ağustos'taki Veri Sızıntısı ve Ledger Örneği

Mektupların arkasındaki adres listeleri, SafePal'ın 16 Ağustos'ta yayımladığı açıklamaya dayanıyor. Şirketin güvenlik güncellemesine göre, bir sipariş takip eklentisindeki hata, Mart 2025 ile Nisan 2026 arasında sipariş veren 39.798 müşterinin bilgilerini açığa çıkardı. Eklenti şirketin çevrimiçi mağazasında bulunuyor ve kargo takibini yönetiyordu; cüzdanların iç güvenliğiyle bağlantısı yoktu. İsimler, e-posta adresleri, posta adresleri, telefon numaraları ve satın alma bilgileri sızdı. Kurtarma ifadeleri, özel anahtarlar ve kart numaraları ise sızmadı, şirket bunu vurguluyor. SafePal, kaç mektup gönderildiğini ya da İtalya dışındaki alıcıların mektup alıp almadığını açıklamadı. Posta adresleri eskimez ve bu kampanya ilk sızıntıdan aylar sonra geldi; bu da veri setinin hâlâ dolaşımda olduğunu gösteriyor. Örüntü yeni değil. Ledger'ın 2020'deki veri sızıntısı yaklaşık 272.000 kullanıcının posta adresini açığa çıkarmıştı ve sahte Ledger mektupları 2025'te, yani beş yıl sonra, evlere ulaşmaya başlamıştı. Trezor'un kargo ortağı bu yılın Ağustos ayında 13.689 müşteri kaydını sızdırdı ve listeye üçüncü bir donanım cüzdanı markası ekledi. Ne Trezor ne de SafePal, cüzdanların kendilerinde bir ihlal yaşandığını bildirmiyor; her iki durumda da cihazlar sağlam kaldı, ifşa olan ise onların çevresindeki müşteri verileri oldu. Bu cihazların borsa saklamasından nasıl farklılaştığından emin olamayan kullanıcılar için, donanım cüzdanı rehberi cihazın gerçekte neyi imzaladığını anlatıyor. Soğuk cüzdan ile internete bağlı bir hesap arasındaki pratik çizgi bu tür olaylardan sonra da aynı kalıyor: donanım, özel anahtarı (private key) çevrimdışı tutar ve bir veri sızıntısı yalnızca sahibinin nerede yaşadığını kimin bildiğini değiştirir.

Kayıt tek bir noktayı net biçimde gösteriyor: cüzdanlar ihlal edilmedi ve dolandırıcılık, yalnızca alıcılardan biri ifadeyi girerse kazanç sağlıyor. Birincil kaynak olan SafePal'ın kendi açıklaması, cüzdan altyapısının güvenli kaldığını ve şirketin asla postayla tohum ifadesi istemeyeceğini söylüyor. Böylece ifşa, Ağustos'tan bu yana yerleşik olduğu yerde, yani adres verisinde duruyor; savunma ise her zamanki yerine, kullanıcıya düşüyor. Kurtarma ifadesi isteyen her mektup, hangi logosunu taşırsa taşısın, tanım gereği dolandırıcılıktır ve onu yok sayan herkesin varlıkları yerinde kalır.