NFT: Madagaskar'dan cüzdanların boşaltılmasıyla ilgili olarak ABD'de altı kişi suçlandı

28 Ekim 2026 tarihinde, Amerika Birleşik Devletleri'nde altı kişi, Madagaskar'dan yürütülen ve NFT sahiplerini hedef alan geniş kapsamlı bir kripto varlık cüzdan boşaltma operasyonundaki iddia edilen rolleri nedeniyle suçlandı. Tahmini 500.000 doların üzerindeki kayıplara yol açtığı belirtilen bu dava, kullanıcıların, blokzincirlerin teknik açıklarından farklı bir risk olan sahte imza izinlerini kullanan saldırılara karşı devam eden savunmasızlığını örneklendiriyor. Bağlam NFT piyasası, 2021-2022'deki yoğun ilgi zirvesinin ardından, toplam piyasa değeri zirve noktasından bu yana üçe bölünerek belirgin bir gerileme yaşadı. Bu düşüşe rağmen, koleksiyonerleri ve yatırımcıları hedef alan saldırılar, genellikle kurbanları varlıklarına erişim sağlayan işlemleri imzalamaya teşvik eden kötü amaçlı betikler aracılığıyla gerçekleştirilen "wallet draining" (cüzdan boşaltma) teknikleriyle sıkça görülmeye devam ediyor. Bu saldırılar, protokollerin açıklarından ziyade, özellikle izin yönetimi konusundaki kullanıcı anlayışındaki eksiklikleri istismar ediyor. Mevcut dava, kripto varlıklarla ilgili dolandırıcılıklara karşı ABD'nin başlattığı bir dizi yasal takibin parçasıdır ve yetkililerin blokzincirler üzerindeki yasa dışı faaliyetleri cezalandırma konusundaki artan isteğini yansıtmaktadır. Operasyonların iddia edilen merkezi olarak Madagaskar'ın seçilmiş olması, coğrafi sınırların ortadan kalktığı merkeziyetsiz bir ekosistemde kötü niyetli aktörlerin konumlandırılmasının yarattığı zorlukları hatırlatmaktadır. Ayrıca, likidite düşüşü nedeniyle zaten zayıflamış olan NFT piyasası, bu tür vakaların çoğalması durumunda artan bir güvensizlikle karşı karşıya kalabilir. Olaylar CryptoActu tarafından aktarılan The Defiant haberine göre, FBI bu dava ile ilgili kayıpların, kurban olarak tanımlanan 74 cüzdana yayılmış şekilde 516.695 dolar olduğunu tahmin ediyor. Suçlamalar, kimlikleri ve kesin suçlamaları açıklanmayan altı kişiyi hedef alıyor. Koordinasyon mekanizmaları veya kullanılan altyapılar hakkındaki ayrıntılar belirsiz olsa da, operasyonların Madagaskar'dan yönetildiği iddia ediliyor. CryptoScore Pro 'nun 28 Ekim 2026 saat 00:19 UTC tarihindeki verileri, Bitcoin'in (BTC) 80.671 dolar (+24 saatte %0,67) ve Ether'in (ETH) 2.344 dolar (+24 saatte %0,82) olduğu, nispeten istikrarlı bir piyasa ortamına işaret etmektedir. Crypto Fear & Greed endeksi 27 Ekim'de 48/100 olarak gerçekleşmiş ve yatırımcı duyarlılığının nötr olduğunu göstermiştir. Bu göstergeler, olayın ana kripto para birimlerinin fiyatları üzerinde anlık bir etki yaratmadığını ortaya koymaktadır. Kayıplar, NFT'lerin kendisinden ziyade, özellikle USDT gibi değiştirilebilir tokenları etkilemiştir; ancak NFT'ler saldırılar için giriş noktası olarak kullanılmıştır. Mekanizma, saldırganların varlıkları kurbanın yeni bir doğrulamasına gerek kalmadan transfer etmesine olanak tanıyan sınırsız harcama izinlerine ( setApprovalForAll ) dayanmaktadır. Özellikle hedef alınan NFT koleksiyonları veya transfer sonrası fonların izlediği yol hakkında herhangi bir bilgi paylaşılmamıştır. Kaynakta alıntılanan FBI beyannamesi, saldırının ana vektörü olarak USDT'deki sınırsız izinlere değinmektedir. Akıllı sözleşmelerle etkileşimlerde sıkça kullanılan bu izin türü, alıcı adres kötü niyetli aktörler tarafından kontrol ediliyorsa suistimal edilebilir. Özel anahtar hırsızlığının aksine, bu yöntem cüzdan güvenliğini doğrudan tehlikeye atmayı gerektirmez, bunun yerine sahte bahanelerle alınan bir imzayı kullanır. Temel Kavramları Anlamak Wallet drainer Bir wallet drainer , sahibini bir işlemi veya izni imzalamaya teşvik ederek kripto varlık cüzdanını boşaltmak için tasarlanmış kötü amaçlı bir betik veya programdır. Teknik bir açığı kullanan klasik bir hackleme işleminin aksine, bu yöntem aldatmaya dayanır: Kurban, sıradan bir işlemi (bir NFT satın almak veya bir hizmete erişmek gibi) imzaladığını sanırken, aslında fonlarına geniş bir erişim izni vermektedir. Örneğin, bir kullanıcı kendisine airdrop vaat eden sahte bir bağlantıya tıklayabilir ve ardından saldırganın tüm USDT'lerini yeni bir onay gerekmeden transfer etmesine izin veren bir yetkilendirmeyi onaylayabilir. Harcama İzni ( approval veya setApprovalForAll ) Bir harcama izni (spending allowance), Ethereum gibi blok zincirlerinin bir özelliğidir ve bir kullanıcının, bir akıllı sözleşmeye veya üçüncü taraf bir adrese belirli varlıklarını taşıma hakkı vermesini sağlar. Örneğin, bir NFT sahibi OpenSea gibi bir pazar yeriyle etkileşime girdiğinde, platformun satış sırasında tokenlarını transfer edebilmesi için genellikle bir izin imzalaması gerekir. Sınırsız bir izin, iptal edilmediği sürece kalıcı erişim sağlar. Madagaskar vakasında, saldırganların USDT üzerinden izinler alarak bu mekanizmayı suistimal ettikleri ve kurbanları uyarmadan fonları boşalttıkları belirtilmektedir. Seed phrase ve cüzdan güvenliği Seed phrase (veya kurtarma ifadesi), bir kripto varlık cüzdanı oluşturulurken üretilen ve fonlara erişmek için anahtar görevi gören bir kelime dizisidir. Bu ifade ele geçirilirse, bir saldırgan cüzdanın tam kontrolünü ele geçirebilir. Ancak, wallet drainer (cüzdan boşaltıcılar) durumunda, seed phrase her zaman çalınmış olmayabilir: boşaltma işlemini gerçekleştiren şey kötü niyetli bir izindir. Bu durum, güvenlik algısındaki yaygın bir eksikliği vurgulamaktadır: tehlikeli izinler aktif kaldığı sürece seed phrase'i korumak yeterli değildir. Örneğin, bir kullanıcı güvenli bir cüzdana sahip olabilir ancak dolandırıcılık amaçlı bir sözleşme için sınırsız bir izin imzaladıktan sonra fonlarını kaybedebilir. Analiz: Riskler Madagaskar'dan NFT cüzdanlarını boşaltmakla suçlanan altı kişinin davası, güvenliğin teknik altyapılar kadar bireysel davranışlara da bağlı olduğu kripto varlıklara özgü ekonomik ve finansal mekanizmaları gün yüzüne çıkarmaktadır. CryptoActu 'ya göre, 74 cüzdanda tahmini 516.695 dolarlık kayıp, seed phrase gibi geleneksel korumaları devre dışı bırakan bir saldırı vektörü olan sahte imza izinlerinden…