Coinbase Hırsızlıkları: Bu Bir Akıllı Sözleşme Açığı Değil, Sosyal Mühendislik Saldırısı

Kısa cevap: Şüphe akıllı sözleşmede değil, insan faktöründe

Kamuya açık en güçlü bulgular, doğrulanmış bir Coinbase akıllı sözleşme açığından ziyade, finansal motivasyonla hareket eden ve kimliği belirlenememiş bir kimlik avı ya da sosyal mühendislik aktörüne—veya birden fazla aktörden oluşan bir kümeye—işaret ediyor. Son faaliyetlerin ardından yayımlanan raporlara göre yaklaşık 500 bin dolarlık kripto para 16 Ağustos’ta Ether’e çevrilerek Tornado Cash üzerinden aktarıldı. Yaklaşık üç hafta önce de benzer bir transferle 2 milyon doların taşındığı bildirildi. İlişkili cüzdanlarda hâlâ on milyonlarca dolarlık varlık bulunduğu belirtiliyor.

Ancak bu ilişkilendirme kesinleşmiş değil. Blok zinciri analiz platformlarının kullandığı “Coinbase hacker” (Coinbase korsanı) etiketi, hukuki bir tespit değil, analitik bir varsayımı ifade ediyor. 300 milyon doların üzerindeki toplam kayıp da bir soruşturmacı veya medya tahmini; Coinbase kullanıcılarına yönelik bildirilen her hırsızlığın aynı kişi ya da grup tarafından gerçekleştirildiğini kanıtlamıyor.

Coinbase kullanıcıları nasıl hedef alındı?

Saldırıların temelinde koddan çok insan davranışı vardı. Bildirilen kampanya modelinde dolandırıcılar, Coinbase müşteri destek temsilcisi gibi davranarak mağdurları aradı veya onlarla mesaj yoluyla iletişime geçti. Ardından kullanıcıları kimlik bilgilerini paylaşmaya, işlemleri onaylamaya, varlıklarını başka bir adrese göndermeye ya da hesaplarının kontrolünü başka şekilde devretmeye ikna etmeye çalıştılar. Kampanyayı anlatan raporlar, olayları açıkça bir akıllı sözleşme istismarından ayırıyor.

Bu ayrım önemli. Bir akıllı sözleşme saldırısında fail, genellikle zincir üzerinde çalışan bir uygulamanın kodundaki mantık hatasından yararlanır. Destek ekibi taklidiyle yürütülen dolandırıcılıkta ise hedef kullanıcı, transferi kendisi onaylar veya saldırganın hesabına erişebilmesini sağlayacak bilgileri verir.

Başka bir deyişle, zayıf halka bu vakalarda Coinbase’in blok zinciri altyapısı değil; kullanıcının güveni ve karar verme süreciydi. İkna edici kişisel bilgiler, sahte destek ekranları ve “hemen işlem yapmanız gerekiyor” baskısı, dolandırıcılığın inandırıcılığını artırabiliyor.

300 milyon dolarlık tahmin ne anlatıyor?

Blok zinciri araştırmacıları ZachXBT ve tanuki42, Şubat 2025’te Coinbase kullanıcılarının yalnızca Aralık 2024 ve Ocak 2025 döneminde 65 milyon dolardan fazla kayıp yaşadığını bildirdi. Benzer sosyal mühendislik dolandırıcılıklarının yıllık kaybının 300 milyon doları aşabileceğini tahmin ettiler. İnceleme, mağdur bildirimleriyle zincir üzerindeki hareketleri bir araya getiriyordu; araştırmacılar mevcut verilerin eksik olduğunu da kabul etti.

Mayıs 2025’te yayımlanan başka bir rapor, yalnızca bir hafta içinde koordineli sosyal mühendislik dolandırıcılıkları nedeniyle Coinbase kullanıcılarının yaklaşık 45 milyon dolar kaybettiğini aktardı. Bu rakamlar saldırıların süreklilik gösteren ve organize bir yapıya sahip olabileceğini destekliyor. Ancak tek başlarına, tüm olayların veya daha sonra Tornado Cash üzerinden taşınan fonların aynı cüzdan operatörünün kontrolünde olduğunu kanıtlamıyor.

Bir soruşturmada, 25’ten fazla mağdurla ilişkilendirilen bir konsolidasyon adresi de tespit edildi. Bu tür kümelenmeler, araştırmacıların işlemler arasındaki bağlantıları ve kampanya modelini görmesine yardımcı olabilir. Yine de bu, gerçek dünyadaki bir kimliğin kesin biçimde tespit edildiği anlamına gelmez.

Coinbase’deki müşteri verisi olayı bağlantıyı kanıtlıyor mu?

Coinbase, Mayıs 2025’te bazı yurt dışındaki müşteri destek personelinin rüşvet karşılığında müşteri bilgilerini suçlulara aktardığını açıkladı. Çalınan verilerin, suçluların Coinbase çalışanı gibi davranarak kullanıcıları kripto para göndermeye ikna etmesine yardımcı olması amaçlanıyordu. Şirket, düzeltme çalışmaları ve gönüllü müşteri geri ödemelerinin maliyetini 180 milyon ila 400 milyon dolar arasında tahmin etti.

Böyle bir veri sızıntısı, destek dolandırıcılıklarını daha inandırıcı hâle getirebilir. Arayan kişi müşterinin adını, iletişim bilgilerini veya hesapla ilgili ayrıntıları biliyorsa, gerçek bir Coinbase temsilcisi izlenimi yaratması kolaylaşır.

Fakat mevcut kamuya açık kanıtlar, müşteri verisi olayının arkasındaki suçlularla daha geniş hırsızlık raporlarıyla ilişkilendirilen cüzdanları kontrol eden kişilerin aynı olduğunu göstermiyor. Bu nedenle iki olay, doğrulanmış ortak bir fail olarak değil, birbiriyle ilişkili risk bağlamları olarak ele alınmalı.

Soruşturmacıya gönderilen mesaj ne gösteriyor?

Mayıs 2025’te araştırmacıların Coinbase kimlik avı kampanyalarıyla ilişkilendirdiği bir cüzdanın, THORChain üzerinden yaklaşık 42,5 milyon dolar değerindeki Bitcoin’i Ether’e çevirdiği bildirildi. Aynı cüzdan, zincir üzerindeki bir mesajla ZachXBT’ye “L bozo” ifadesini gönderdi.

İnternet argosundaki bu küçümseyici ifade, cüzdanı kontrol eden kişinin soruşturmacıyı açıkça provoke etmeye hazır olduğunu gösteriyor. Ancak mesaj; kişinin adını, bulunduğu yeri veya kampanyaya atfedilen diğer hırsızlıklarla bağlantısını ortaya koymuyor.

Tornado Cash fonların geri alınmasını neden zorlaştırıyor?

Kripto para mikserleri, bir adresten yapılan yatırımla daha sonra gerçekleştirilen çekim arasındaki doğrudan bağlantıyı karmaşıklaştırmak üzere tasarlanır. Tornado Cash, ortak havuzlar ve gizlilik sağlayan işlem mekanikleri kullanır. Böylece bir adresten yatırılan fonlar, daha sonra farklı bir adrese çekilebilir.

Bu, blok zincirindeki kayıtların ortadan kalktığı anlamına gelmez. Ancak “bu adresten yatırıldı, şu adrese çekildi” şeklindeki basit ve görünür iz büyük ölçüde bulanıklaşır.

Araştırmacılar yine de işlem zamanlarını, transfer tutarlarını, tekrarlanan cüzdan davranışlarını, zincirler arası köprüleri, merkeziyetsiz borsaları ve merkezi borsalara yapılan para yatırma işlemlerini inceleyebilir. Bu göstergeler bir ilişkilendirme kurmaya yardımcı olabilir. Ancak bir korelasyon, belirli bir çekim işleminin arkasındaki kişiyi tespit etmek veya bir borsayı ya da mahkemeyi fonları dondurmaya ikna etmek için her zaman yeterli değildir.

Varlıklar izlenebilir bir saklama hizmetinin dışında kaldıkça ve farklı adresler arasında hareket ettikçe, kurtarma ihtimali de zorlaşabilir.

Kasım 2024’teki Tornado Cash kararı neyi değiştirdi?

ABD Beşinci Bölge Temyiz Mahkemesi, 26 Kasım 2024’te Hazine Bakanlığı’na bağlı Yabancı Varlıklar Kontrol Ofisi’nin (OFAC), Tornado Cash’in değiştirilemez akıllı sözleşmelerine yaptırım uygularken yasal yetkisini aştığına hükmetti. Mahkeme, söz konusu sözleşmelerin ilgili yasa kapsamında engellenebilecek bir “mülk” niteliğinde olmadığı sonucuna vardı.

Karar, yaptırımların hukuki dayanağıyla ilgiliydi. Hırsızlığı veya kara para aklamayı yasallaştırmadı; olası cezai sorumluluğu ortadan kaldırmadı ve mikser üzerinden gönderilen fonların geri alınacağını garanti etmedi. Ayrıca şüpheli mikser faaliyetlerini otomatik olarak suçluluk ya da masumiyet kanıtına dönüştürmüyor. Mahkemenin yaptırım kararı ile mikserin suç amaçlı kullanımı ayrı hukuki meselelerdir.

Coinbase kullanıcıları için en önemli ders

Bu dosyada en kalıcı risk, Coinbase’in blok zinciri altyapısındaki gizemli bir arıza değil; telefonun, mesajın veya bağlantının diğer ucundaki ikna edici bir kişi.

Kullanıcılar şu adımları izlemeli:

• Haber vermeden gelen Coinbase destek aramalarını, mesajlarını ve doğrudan mesajlarını tehdit olarak kabul edin.
• Şifrenizi, kurtarma ifadenizi, tek kullanımlık kodunuzu veya özel anahtarınızı asla paylaşmayın.
• Sözde destek görevlisinin talebiyle cihazınıza uzaktan erişim vermeyin.
• Beklenmedik mesajlarda gönderilen destek bağlantılarına tıklamayın.
• Yardım almak için Coinbase uygulamasını açın veya şirketin internet adresini kendiniz yazarak resmi kanallara ulaşın.
• Hırsızlık yaşanırsa mesajları, telefon numaralarını, cüzdan adreslerini ve işlem hash’lerini saklayarak olayı hemen bildirin.

16 Ağustos’taki hareket, bildirilen kampanyayla ilişkilendirilen fonların hâlâ aktif olduğunu gösteriyor. Daha geniş ders ise oldukça net: Bir saldırgan meşru bir kullanıcıyı transferi onaylaması için ikna ettiğinde, güçlü teknik güvenlik önlemleri bile sosyal mühendislik karşısında yetersiz kalabilir.