Yazar: Av. Ahmet Karaca · İlk yayın ve kaynak kontrolü:
Cüzdanınızdaki tokenları çıkarmak için ETH gönderiyorsunuz; ETH hesaba gelir gelmez başka bir adrese gidiyor ve tokenlar yine yerinde kalıyor. Böyle bir durumda yeniden gas göndermeden önce gelen ETH’nin gerçekten ağ ücretine mi harcandığını, yoksa ayrı bir işlemle mi taşındığını kontrol edin. Yetkiniz dışında tekrarlanan çıkışlar varsa otomatik süpürme botu, yani sweeper, ihtimali araştırılmalıdır. Tek bir hızlı transfer, saldırı türünü veya failin kimliğini kesinleştirmez.
Sweeper bot nedir, cüzdanın içinde mi çalışır?
Sweeper, ele geçirilmiş bir adrese gelen varlıkları izleyip başka adrese aktaran otomasyondur. Saldırgan özel anahtarla işlem imzalayabiliyorsa cüzdan uygulamanızın açık olmasına ihtiyaç duymaz. Bu nedenle telefondaki uygulamayı kapatmak, botu durdurduğunuz anlamına gelmez. MetaMask’ın sweeper açıklaması, bu hareketin kullanıcı işlemi beklemede sanırken dahi gerçekleşebileceğini belirtir.
Yazının bölümleri
Risk yeni değildir. Avrupa Konseyi Siber Suçlar Programı Ofisinin 10 Şubat 2021 tarihli Kripto Paralara El Koyma Kılavuzu, MetaMask bölümünde varlıkları başka adrese gönderen gizli bir komut dosyasına dikkat çeker (basılı s.56, PDF s.61). Bu tarihli teknik uyarı, bugünkü olayda aynı mekanizmanın bulunduğunu kanıtlamaz; güncel işlem kayıtlarıyla sınanması gereken bir ihtimali gösterir.
ETH gas ücretine mi gitti, başka adrese mi gönderildi?
İlk ayrım tutarın küçüklüğü değil, işlemin niteliğidir. Ethereum’da ağ ücreti ETH ile ödenir. Zincire alınan ve yürütme sırasında başarısız olan bir işlem de gas harcayabilir; tokenın hareket etmemesi tek başına ücretin çalındığını göstermez. Buna karşılık gelen ETH’nin ardından başka bir adrese yapılan ayrı değer transferi ayrıca açıklanmalıdır. Ücret ve aktarılan değer farklı alanlardır. Ethereum’un gas açıklaması ile işlem alanları bu ayrımı gösterir.
| Gözlem | Önce ne kontrol edilir? | Hangi sonuca henüz varılamaz? |
|---|---|---|
| Token transferi başarısız, ETH azalmış. | İşlem durumu, tüketilen gas ve ödenen gerçek ücret. | Her azalışın sweeper olduğu söylenemez. |
| ETH girişi sonrasında kullanıcının tanımadığı veya transfer için yetkilendirmediği adrese ayrı çıkış var. | İki işlemin hash’i, blok sırası, aktarılan değer ve işlemi başlatan adres. | Alıcı adresin arkasındaki kişinin kimliği belirlenmiş olmaz. |
| Aynı davranış farklı tarihlerdeki girişlerden sonra tekrarlanıyor. | Giriş-çıkış eşleşmeleri ve tekrar eden hedefler. | Tekrarın otomasyonla uyumu, kullanılan yazılımın kesin tespiti değildir. |
| Yalnızca belirli tokenlar taşınmış. | Token sözleşmesi, çağrılan yöntem, harcama izni ve ilgili yetkiler. | Kurtarma kelimelerinin mutlaka ele geçirildiği söylenemez. |
| Uygulamada sıfır, doğru ağın gezgininde bakiye var. | Adres, ağ ve token kontratı eşleşmesi. | Varlığın çalındığı sonucu çıkmaz; görüntüleme sorunu olabilir. |
Yalnızca ekrandaki dolar karşılığını karşılaştırmak bu inceleme için yeterli değildir. Ağ, varlık adedi, token sözleşmesi, işlem ücreti ve değer transferi ayrı kaydedilmelidir. Gezgindeki blok zamanı ile kullanıcının olayı fark ettiği zaman da farklı kayıtlardır. Aynı blokta görünen işlemlerde sıralama incelenmeden “önce hangisi oldu?” sorusu cevaplanmış sayılmaz. Zincirde çıkış yoksa cüzdanda bakiye görünmemesi rehberindeki adres ve ağ kontrolüyle başlanabilir.
Token iznini iptal etmek veya şifre değiştirmek yeterli mi?
Bir uygulamaya verilen token harcama izni ile adresin özel anahtarının ele geçirilmesi farklı olaylardır. Sadece belirli bir iznin kötüye kullanıldığı durumda o iznin doğru ağda iptali anlamlı olabilir. Uygulamayla bağlantıyı kesmek mevcut harcama iznini kendiliğinden kaldırmaz; iptal de zincir üzerinde işlem ve gas gerektirir. MetaMask’ın izin iptali açıklaması bu farkı özellikle vurgular.
Özel anahtar başkasındaysa tek bir token iznini iptal etmek, o kişinin yeni işlem imzalamasını engellemez. Cüzdanın yerel giriş şifresini değiştirmek de daha önce açığa çıkmış anahtarı geri almaz. MetaMask’ın kurtarma ifadesi ve şifre açıklaması bu iki bilginin işlevini ayırır. Bu nedenle “bütün izinleri kaldır, sonra ETH yükle” önerisi olayın nedeni belirlenmeden uygulanmamalıdır. Token approval iptali ve kurtarma kelimelerinin paylaşılması için izlenecek yolları, bu teknik ayrım üzerinden değerlendirmek gerekir.
Yeni kaybı büyütmeden hangi kararlar alınabilir?
- Eski adrese deneme amacıyla yeni para göndermeyi durdurun. MetaMask, sweeper şüphesinde eklenen bakiyenin de taşınabileceğini bildirir. Botla elle hız yarışı yapmak güvenilir bir koruma yöntemi değildir.
- Yeni gelirlerin yönlendirildiği adresleri gözden geçirin. Kayıtlı borsa çekim adresi, düzenli ödeme veya ödül dağıtımı eski adrese devam ediyorsa gelecekteki girişler de riskte olabilir. Adres değişikliğini ilgili kişi veya hizmetle güvenilir kanaldan doğrulayın.
- Kalan varlıkları ve erişimleri envantere alın. Hangi ağlarda ne bulunduğunu herkese açık kayıtlarla belirleyin. Tehlikeye girmiş aynı kurtarma ifadesi altında yeni hesap açmayı güvenli bir geçiş saymayın. MetaMask’ın yeni cüzdana geçiş rehberi, güvenli ortamı, yeni anahtarı ve varlık türlerini birlikte ele alır.
- Teknik müdahaleyi delilin korunmasıyla birlikte planlayın. Uygulamayı silmeden veya cihazı sıfırlamadan önce mesajları, işlem kayıtlarını ve kurulum bilgilerini saklayın. Yeni cüzdanın kurulması ile eski adresteki varlığın güvenle taşınması ayrı işlerdir.
Yeni gas göndermemek, kalan tokenların güvende olduğu anlamına gelmez. Anahtar üzerinde erişimi bulunan saldırgan, işlem ücretini karşılayacak ETH’yi kendisi de sağlayabilir. Bu nedenle kalan bakiye görülmesi, kontrolün yalnız kullanıcıda kaldığını göstermez.
Güvenli taşıma için her ağda geçerli tek bir işlem tarifi yoktur. Tokenın devredilebilirliği, kilit veya staking durumu, mevcut yetkiler ve botun davranışı sonucu değiştirir. Flashbots’un resmî Whitehat açıklaması da müdahaleyi tehlikeye girmiş adreste kalan varlıklarla sınırlar; daha önce dışarı gönderilmiş tutarı geri getirdiğini söylemez. Bu ayrım, “botu kaldırıp bütün kaybı geri alacağız” vaadini değerlendirirken önemlidir.
Olay kaydı nasıl hazırlanır?
Destek veya hukuki başvuru için kurtarma kelimelerini ve özel anahtarı paylaşmak gerekmez. İlk dosya, herkese açık işlem verisiyle olayın nasıl fark edildiğini gösteren kayıtları birleştirmelidir. Aşağıdaki tablo gerçek tutarlarla doldurulur; bilinmeyen alanlar tahmin edilmez.
| Kayıt | İçerik | İncelemeye katkısı |
|---|---|---|
| Gas için gönderim | Ağ, gönderen adres veya borsa çekim kaydı, hash, adet ve saat dilimiyle zaman. | Kullanıcının gerçekten ne gönderdiğinin gösterilmesi. |
| Sonraki çıkış | Hash, hedef adres, değer, ücret, durum ve blok sırası. | Gas tüketimi ile ayrı transferin ayrılması. |
| Tekrarlanan olaylar | Her giriş ve ona bağlanan çıkış ayrı satırda. | Tek bir ekran görüntüsünün ötesinde davranış örüntüsünün sınanması. |
Bir alıcı adresin çok sayıda benzer çıkış alması, hesap sahibi kimliğinin kesinleşmesi değildir. Borsa etiketi de belirli bir müşterinin adını göstermez. Fon bir hizmet sağlayıcıya ulaşıyorsa zincir kaydının o kurumun hesap ve işlem kayıtlarıyla eşleştirilmesi gerekir. Genel rapora yalnız “bot parayı aldı” yazmak yerine hangi işlemin hangi gözlemi desteklediği açıklanmalıdır. Kripto cüzdan delil dosyası ve suç duyurusunda gerekli kayıtlar bu hazırlığın devamıdır.
Kaynaklar ve kapsam
- Avrupa Konseyi C-PROC, Kripto Paralara El Koyma Kılavuzu, sürüm 1.0, 10.02.2021, basılı s.56/PDF s.61: gizli transfer komut dosyası uyarısı. Kaynak, tarihli teknik rehberdir.
- MetaMask Help Center: sweeper botlar, token izinleri, yeni cüzdana geçiş, kurtarma ifadesi ve şifre.
- Ethereum: Gas and fees ve Transactions.
- Flashbots: Whitehat Hotline, kalan varlığa müdahalenin kapsamı.
Teknik kaynaklar 20.10.2026 tarihinde kontrol edildi. Tablolar olay kaydı ve ayrım için hazırlanmıştır; belirli bir cüzdanda saldırı gerçekleştiğini, failin kimliğini veya kurtarma sonucunu gösteren vaka verisi içermez.
