Kripto Güvenlik İhlalleri 2025: Cüzdanları Korumak İçin En İyi Uygulamalar
Kripto piyasasında 2025, fiyat hareketleri kadar güvenlik başlıklarının da gündemin merkezinde olduğu bir yıl. Saldırı yüzeyi büyüyor: çok-zincirli ekosistem, köprüler, akıllı sözleşme izinleri, mobil cüzdanlar, sosyal mühendislik, “approval drain” ve kimlik avı otomasyonları aynı anda ilerliyor. Bu rehberde, kriptomagic.com okurları için 2025’te öne çıkan saldırı vektörlerini, cüzdan mimarisi tercihlerini ve bireysel/kurumsal en iyi uygulamaları tek bir yerde topluyoruz. Amaç, tek bir “gümüş kurşun” önermek değil; katmanlı savunma (defense-in-depth) mantığıyla davranış, araç ve politika üçlüsünü bir standarda oturtmak.
1) Saldırı Yüzeyi 2025: Ne Değişti, Neden Zorlaştı?
- Çok zincir + çok cüzdan: Aynı kullanıcı hem L1 (Bitcoin, Ethereum), hem L2 (Arbitrum, Base, Optimism, zkSync), hem de alternatif L1 (Solana, Sui, Aptos) üzerinde varlık tutuyor. Cüzdan-dApp izinleri, köprü ve DEX’ler toplam riski bileşik şekilde artırıyor.
- İzin bazlı drenaj (token approvals): Tek bir imza ile sınırsız harcama yetkisi vermek, kötü niyetli kontratlara “sonsuz çekim” fırsatı doğuruyor.
- Sosyal mühendislik ve deepfake: Giderek gerçekçi ses ve video klonlarıyla “acil onay” baskısı kuruluyor; Telegram/Discord sahte admin’leri ve sahte airdrop sayfaları yayılıyor.
- MPC/AA yayılımı: İyi haber: MPC (multi-party computation) ve Account Abstraction (AA) ile kurtarma/izin yönetimi gelişiyor. Kötü haber: Yeni özellikler, yanlış yapılandırılırsa yeni saldırı kapıları açabiliyor (yanlış guardian seçimi, zayıf cihaz güvenliği, vb.).
Sonuç: Kullanıcı hataları istismarların çoğunda ana tetikleyici. Bu nedenle en iyi uygulamalar yalnızca teknoloji değil, alışkanlık ve politika seti olarak ele alınmalı.
2) Cüzdan Seçimi: Donanım, MPC ve Akıllı Hesap (AA) Dengesi
- Donanım cüzdan (HW) “soğuk imza”: Ana kasa gibi düşünün. “Seed phrase” çevrimdışı üretim, fiziksel butonla imza ve ekran doğrulaması hâlâ en güçlü temel.
- MPC cüzdan: Seed’i tek noktada tutmak yerine imza anahtarını parçalara bölüp (shard) taraflara dağıtır. Kurumsallar için “iki-fazlı onay, politikaya bağlı imza” gibi artılar sağlar. Risk: Shard’ların güvenli yönetimi ve saklanması.
- Akıllı hesaplar (AA / ERC-4337 ekosistemi): Harcama limitleri, whitelist, “session key”, sosyal kurtarma ve paymaster üzerinden gas sponsorluğu gibi özellikler sunar. Risk: Guardian seçimi ve kurtarma kurallarının hatalı kurgulanması.
- Karma mimari önerisi (bireysel):
- Günlük kullanım için AA veya iyi bilinen mobil cüzdan + düşük limit.
- Birikim için HW cüzdan; transferlerde “donanım onayı zorunlu”.
- Karma mimari önerisi (kurumsal):
- MPC tabanlı kasaya çoklu onay; harcama politikalarında limit, saat/döngü kısıtı ve adres beyaz liste.
- Operasyon cüzdanı ayrı; kasadan doğrudan dApp etkileşimi yok.
3) Seed, Guardian ve Kurtarma: Kaybetmeden Önce Planlayın
- Seed phrase saklama:
- Kâğıt yerine metal yedek; su/yangın dayanımı.
- Coğrafi ayrışma: Aynı ev/oda yerine farklı güvenli alanlar.
- Fotoğrafını çekmeyin, bulut/mesajlaşma uygulamasında tutmayın.
- Shamir Secret Sharing (SSS): Seed’i 3-5 parçaya bölerek 2-3’üyle kurtarılacak şema. Aile, avukat kasası, banka kasası gibi dağıtım noktaları ile fiziksel-mantıksal ayrışma.
- Sosyal kurtarma / guardian:
- Guardian sayısı 3-5; minimum 2-3 çoğunluk kuralı.
- Guardian’lar birbirini tanımasın; zincir üstü itibar veya kurumsal kimlikli sağlayıcılar tercih edilsin.
- Kurtarma bekleme süresi (time-lock) tanımlayın; acil gas sponsorluğu için ayrı politika oluşturun.
4) İmza Hijyeni: Ne İmzaladığınıza Dikkat
- İmzayı ekrandan okuyun: Donanım cüzdan ekranında görünen adres/kontrat ve tutar metni esas alın. Tarayıcı eklentisi görüntüsüne güvenmeyin.
- Blind/permit/permit2/typed data: İnsan okunabilir imza (EIP-712) tercih edin; “sınırsız harcama” yerine limitli izin verin.
- Session key & süre/limit: AA cüzdanlarda belirli dApp için isteğe bağlı “oturum anahtarı” oluşturup süre/limit koyun.
- Onay kaldırma rutini: Düzenli aralıklarla onayları (approvals) tarayıp gereksiz olanları kaldırın; özellikle testnet/airdrop dönemlerinden kalan izinleri temizleyin.
5) dApp ve Köprü (Bridge) Güvenliği: Çok Zincir = Çok Sorumluluk
- Resmi domain/doğrulama: Bookmark kullanın; “sponsorlu reklam” üzerinden dApp açmayın.
- Köprü çeşitleri: Yerleşik L2 köprüleri ile harici genel amaçlı köprülerin tehdit modeli farklıdır. Küçük tutarlarla probing yapın; tek seferde yüksek meblağ taşımayın.
- Likidite ve bekleme: Bazı zincirler gecikmeli çekim (challenge period) uygular; acil likidite için merkezi sağlayıcı kullanmak ek risk doğurur.
- Alt cüzdanla keşif: Yeni protokolleri ilk kez denerken ayrı, düşük bakiyeli “keşif cüzdanı” kullanın.
6) Kimlik Avı (Phishing) ve Sosyal Mühendislik: 2025’in Otomasyonu
- Sahte airdrop/claim sayfaları: Cüzdana bağlanır bağlanmaz “permit/approval” imzası dayatan sayfalara şüpheyle yaklaşın.
- Sahte destek/admine dikkat: “Cüzdanın kilitlendi, acil şu linke tıkla” söylemi klasik tuzaktır. Resmi kanal hiyerarşisi belirleyin; “biz sizden seed istemeyiz” standardını içselleştirin.
- Deepfake çağrılar: Özellikle kurumsal onay süreçlerinde tek kanallı talebe asla uymayın. İki kanallı doğrulama (ör. Slack + telefon) kuralı koyun.
- Tarayıcı hijyeni: Eklenti sayısını minimumda tutun; şüpheli eklentiler klipboard/DOM üzerinden adresleri değiştirebilir. Tarayıcı profilini kripto işlemleri için ayrılayın.
7) Cihaz ve Operasyonel Hijyen: Küçük Ayrıntılar, Büyük Etki
- Ayrı cihaz / ayrı profil: Yüksek bakiyeler için mümkünse ayrı bir fiziksel cihaz; en kötü ihtimalle ayrı kullanıcı profili.
- Güncellemeler: Mobil/masaüstü OS ve cüzdan yazılımı güncel olsun; güncellemeleri resmî mağazalardan.
- PIN/Biometrik + ekran kilidi: Basit ama etkili; cüzdan uygulamasında ayrıca parola/pattern kullanın.
- Açık Wi-Fi’dan kaçın: Halka açık ağlarda işlem yapmayın; mecbursanız kendi hotspot’unuzu tercih edin.
- USB hijyeni: Bilinmeyen USB aygıtlarını takmayın; donanım cüzdanlarını yalnızca güvenli bilgisayara bağlayın.
8) AA (Account Abstraction) ile Politika Tabanlı Güvenlik
- Harcama limitleri: Günlük/işlem başı limit; limit üstü için ek guardian onayı.
- Whitelist/Blacklist: Yalnızca beyaz listedeki adres/kontratlara otomatik onay.
- Zaman bazlı kurallar: Gece saatlerinde yüksek tutarlı transferleri engelle; mesai saatlerinde ek göz kontrolü.
- Session key: Oyun/DeFi dApp’leri için kısa süreli ve küçük limitli anahtarlar.
- Paymaster hijyeni: Gas sponsorluğu sunan paymaster’ların kimliğini doğrulayın; kötü niyetli sponsorlar imza akışını manipüle edebilir.
9) Çoklu İmza (Multisig) ve MPC Politikaları: Kurumsal Altın Standart
- 2/3 veya 3/5 onay kuralı: Tek kişinin hatası veya cihaz kaybıyla fonlar hareket edemesin.
- Görev ayrımı: “Haznedar”, “risk”, “operasyon” rollerini ayırın; aynı kişinin hem talep hem onay vermesini engelleyin.
- Limit ve süre: Belirli eşikleri aşan işlemlerde bekleme süresi; risk rolü bu sürede işlemi veto etsin.
- İzleme & kayıt: Tüm imza olaylarını zincir üstü ve zincir dışı olarak kayda alın; SIEM/uyarı entegrasyonları kurun.
10) İzin Yönetimi ve “Onay Kaldırma” Rutini
- Aylık kontrol listesi:
- Tüm zincirlerde token approvals denetimi.
- Kullanmadığınız dApp oturumlarını sonlandırma.
- Köprü/DEX geçmişine göz atma, anormal izinleri kaldırma.
- “Infinite allowance” yerine miktar bazlı izinlere dönme.
- Alarm kuralları: Belirli adreslere ilk defa izin verildiğinde bildirim; AA/guardian değişimlerinde ayrı uyarı.
11) Yedek, Miras ve Acil Durum Planı
- Acil iletişim kartı: Kripto terimlerini bilmeyen aile bireyleri için net talimatlar: kim aransın, hangi kasada ne var, hangi sırayla ne yapılacak.
- Miras planı: Hukuki çerçevede vekâlet veya vasiyet belgesi; SSS/guardian senaryoları ile uyumlu hale getirin.
- Duress cüzdanı: Fiziksel tehdit senaryosunda küçük bakiyeli “yem” cüzdan; asıl kasayı korumaya yönelik kurgular.
12) Portföy Segmentasyonu: “Hepsi Aynı Sepette” Riski
- Sıcak-ılık-soğuk ayrımı:
- Sıcak: Günlük işlem, küçük bakiyeler (mobil/AA).
- Ilık: Haftalık-aylık, orta bakiyeler (HW + AA limit).
- Soğuk: Uzun vadeli, büyük bakiyeler (HW/multisig/MPC).
- Zincirlere göre dağılım: Tek zincir kesintisi/şokunda tüm varlıklar etkilenmesin.
13) Eğitim ve Simülasyon: Test Etmeden Canlıya Çıkmayın
- Oyunlaştırılmış eğitim: Ekip içi kimlik avı tatbikatları, sahte airdrop denemeleri, “acil onay” testleri.
- Post-mortem kültürü: Yaşanan her olaydan öğrenilen dersleri standart operasyona yazın; kriptomagic.com içeriğindeki kontrol listelerini düzenli güncelleyin.
- Runbook’lar: Cüzdan kaybı, yanlış adrese transfer, şüpheli onay, guardian değişimi için adım adım prosedür dosyaları.
14) Hızlı Kontrol Listesi (Bireysel)
- Donanım cüzdan + metal seed yedek.
- Mobil cüzdanı düşük limit ve AA session key ile kullan.
- Onayları ayda bir kaldır; “sonsuz izin” verme.
- Köprüde küçük deneme + adres beyaz liste.
- Tarayıcı profili ayrı, eklenti sayısı minimum.
- Phishing’e karşı iki kanallı doğrulama kuralı.
- Guardian sayısı 3-5, coğrafi ve kişiler arası ayrım.
15) Hızlı Kontrol Listesi (Kurumsal)
- MPC/multisig kasa; 2/3 veya 3/5 imza.
- Rol ayrımı (hazne-risk-operasyon) + işlem limitleri.
- Varlık segmentasyonu: operasyon/kasa ayrımı.
- Onay ve guardian değişimlerinde SIEM uyarıları.
- Runbook + düzenli tatbikat + post-mortem paylaşımları.
- Üçüncü taraf dApp etkileşimlerine beyaz liste.
16) Davranışsal Güvenlik: Teknolojiyi Alışkanlığa Çevirin
Teknoloji katmanını ne kadar güçlendirirseniz güçlendirin, son imza sizde. “Okumadan imzalamam”, “acil olan şeylerin çoğu aslında sahte” ve “tek kanallı talep kabul edilmez” şeklindeki üç basit ilke, 2025’te sizi çoğu saldırıdan korur. Cihaz hijyeni, ayrık profiller, düzenli onay kaldırma ve limit kurgusu ise hatayı maliyete dönüştürmeden yakalar.
kriptomagic.com olarak bu rehberi, bireysel yatırımcılar ve kriptoyla çalışan ekipler için sürekli güncellenen bir güvenlik standardı olarak düşünün: cüzdan mimarinizi katmanlandırın, yetkileri sınırlayın, onayları izleyin ve “insan faktörü”nü her zaman modelin merkezinde tutun.
