Kripto cüzdanına erişimini kaybetmek, kullanıcıları internette hızlı bir çözüm aramaya yöneltebiliyor. Bu arayış sırasında karşılaşılan cüzdan bulma programları, özel anahtar kurtarma araçları ve kayıp Bitcoin tespit yazılımları ise her zaman göründükleri kadar masum değil.
HP Wolf Security’nin Haziran 2026’da yayımladığı güvenlik raporu, bu endişeden yararlanan bir saldırının ayrıntılarını ortaya koydu. Araştırmacılar, kayıp kripto cüzdanlarını tespit ettiği iddiasıyla dağıtılan bir Python dosyasının kullanıcıya yardımcı olmak yerine bilgisayardaki hassas bilgileri topladığını belirledi.
Saldırı yalnızca Bitcoin sahiplerini hedeflemiyor. Zararlı yazılım; farklı kripto cüzdanlarına, borsa hesaplarına, tarayıcı oturumlarına ve cihazda saklanan kişisel dosyalara ulaşabilecek şekilde tasarlanmış durumda.
Cüzdan Bulma Aracı Gibi Görünen Bilgi Hırsızı
HP tarafından incelenen saldırıda kullanıcı, dosya paylaşım hizmetlerinden biri üzerinden “Crypto Wallet Finder App.py” adlı bir dosya indirdi. Dosyanın adı, bilgisayarda unutulmuş veya kaybolmuş kripto cüzdanlarını bulabileceği izlenimi yaratıyordu.
Program çalıştırıldığında herhangi bir cüzdan kurtarma işlemi gerçekleştirmedi. Bunun yerine cihazı tarayan bir bilgi hırsızı devreye girdi. Siber güvenlik alanında “infostealer” olarak adlandırılan bu tür zararlı yazılımlar, cihazdaki değerli bilgileri fark edilmeden toplamaya odaklanıyor.
Araştırmacılar benzer isimlerle hazırlanmış farklı kod depoları da tespit etti. “Crypto Wallet Recovery” ve “Lost Crypto Wallets Finder” gibi ifadelerle yayımlanan araçlar, teknik görünüşleri sayesinde güvenilir bir yazılım izlenimi oluşturabiliyor.
Bir dosyanın GitHub veya benzeri bir kod platformunda bulunması ise güvenli olduğu anlamına gelmiyor. Saldırganlar, açık kaynak kültürüne duyulan güvenden yararlanarak zararlı dosyaları meşru projeler gibi sunabiliyor.
Şifrelerden Cüzdan Dosyalarına Kadar Geniş Veri Toplanıyor
Sahte kripto cüzdan kurtarma yazılımının hedefi yalnızca cüzdan uygulamaları değil. HP’nin incelemesi, zararlı kodun bilgisayarın farklı bölümlerinden bilgi toplamaya çalıştığını gösteriyor.
Hedef alınan veriler arasında tarayıcıda kayıtlı şifreler, oturum çerezleri, internet geçmişi, Wi-Fi bilgileri ve ekran görüntüleri bulunuyor. Program ayrıca belgeleri, görselleri ve belirli uygulamalara ait yerel dosyaları da tarıyor.
Kod içinde MetaMask, Trust Wallet ve Exodus gibi cüzdanlarla ilişkili klasörlerin arandığı görüldü. Binance ve Coinbase gibi kripto platformlarına ait yerel veriler de hedef listesinin içinde yer aldı.
Bu durum saldırının yalnızca kayıp bir Bitcoin cüzdanını ele geçirmek amacıyla hazırlanmadığını gösteriyor. Zararlı yazılım, cihazdaki farklı kripto hesaplarına ve bağlantılı hizmetlere ulaşabilecek her türlü bilgiyi toplamaya çalışıyor.
Toplanan veriler geçici bir klasörde bir araya getiriliyor ve daha sonra ZIP dosyasına dönüştürülüyor. Kullanıcı ekranda normal bir program çalıştığını düşünürken cihazdaki hassas bilgiler arka planda dışarı aktarılabiliyor.
Discord Veri Aktarma Kanalına Dönüşüyor
Zararlı yazılımın topladığı dosyalar, bir Discord webhook’u aracılığıyla saldırganlara gönderiliyor. Webhook özelliği normalde uygulamaların bir Discord kanalına otomatik bildirim veya veri göndermesi için kullanılıyor.
Saldırganlar bu meşru özelliği veri sızdırma mekanizmasına dönüştürüyor. Böylece ayrı bir sunucu altyapısı kurmadan, çalınan bilgileri doğrudan kontrol ettikleri kanala aktarabiliyorlar.
Programın çalışması için gerekli bazı Python bileşenleri bilgisayarda bulunmadığında, zararlı yazılım bunları otomatik biçimde yüklemeye de çalışıyor. Bu yöntem, teknik kurulumu kullanıcı adına tamamlayarak saldırının başarı ihtimalini artırıyor.
HP raporu, kaç kişinin dosyayı indirdiğini veya saldırı sonucunda ne kadar kripto varlık çalındığını açıklamıyor. Bu nedenle olayın geniş çaplı bir Bitcoin hırsızlığı olarak değil, tespit edilen ve farklı biçimlerde yeniden kullanılabilecek bir saldırı modeli olarak değerlendirilmesi gerekiyor.
Yapay Zekâ Zararlı Yazılım Geliştirmeyi Kolaylaştırıyor
Araştırmacılar, incelenen kodun bazı bölümlerinin yapay zekâ desteğiyle hazırlanmış olabileceğini düşünüyor. Değişken adları, kodun düzeni ve yoğun emoji kullanımı bu ihtimali destekleyen işaretler arasında gösteriliyor.
Ancak zararlı yazılımın belirli bir yapay zekâ modeli tarafından üretildiğine dair kesin bir kanıt bulunmuyor. Bulgular, yalnızca kodun doğal dil komutlarıyla çalışan üretken yapay zekâ araçları kullanılarak geliştirilmiş veya değiştirilmiş olabileceğine işaret ediyor.
Buradaki önemli risk, yapay zekânın kendi başına saldırı gerçekleştirmesi değil. Kod üretme araçları, sınırlı yazılım bilgisine sahip kişilerin mevcut zararlı yazılımları değiştirmesini ve farklı kandırma yöntemleriyle yeniden dağıtmasını kolaylaştırıyor.
Aynı bilgi hırsızı; bir gün cüzdan kurtarma aracı, başka bir gün medya indirme programı veya sistem temizleme uygulaması görünümünde kullanıcıların karşısına çıkabiliyor.
Kripto Mağdurları İkinci Kez Dolandırılıyor
Sahte cüzdan kurtarma yazılımları, kripto varlıklarını kaybeden kişilere yönelik tehditlerin yalnızca bir bölümünü oluşturuyor. MetaMask ve FBI tarafından yayımlanan uyarılar, mağdurların sahte kurtarma şirketleri tarafından ikinci kez hedef alınabildiğini gösteriyor.
Bu dolandırıcılık modelinde saldırganlar kendilerini blockchain uzmanı, hukuk firması, özel araştırma şirketi veya devlet kurumlarıyla çalışan bir yetkili olarak tanıtıyor. Çalınan paranın yerini belirlediklerini ve kısa süre içinde geri alabileceklerini iddia ediyorlar.
Kullanıcıdan dosya masrafı, vergi, işlem ücreti veya depozito adı altında ödeme talep edilebiliyor. Bazı saldırganlar ise doğrudan para istemek yerine seed phrase, özel anahtar veya cüzdan yedeği gibi erişim bilgilerini ele geçirmeye çalışıyor.
FBI verilerine göre sahte hukuk firmaları tarafından yeniden dolandırılan kripto mağdurları, Şubat 2023 ile Şubat 2024 arasındaki dönemde 9,9 milyon dolardan fazla kayıp bildirdi.
Bu tutar HP’nin incelediği yazılım saldırısına ait değil. Rakam, kripto kurtarma dolandırıcılıklarının daha geniş çapta oluşturduğu mali zararı ortaya koyuyor.
Kayıp Bir Bitcoin Cüzdanı Her Zaman Kurtarılamıyor
Bir kripto cüzdanının geri getirilebilmesi, kullanıcının elinde kalan bilgilere bağlı. Cihaz kaybolsa bile kurtarma ifadesi veya özel anahtar mevcutsa cüzdan uyumlu bir uygulama üzerinden yeniden oluşturulabiliyor.
Eski cihazda cüzdana erişim devam ediyorsa varlıkların yeni oluşturulan güvenli bir adrese aktarılması da mümkün. Bazı cüzdan uygulamaları, kullanıcının mevcut cihazındaki şifrelenmiş kasa verileri üzerinden sınırlı kurtarma seçenekleri sunabiliyor.
Buna karşılık seed phrase, özel anahtar, cüzdan yedeği ve eski cihaza erişim aynı anda kaybedilmişse kişisel saklama cüzdanının geri getirilmesi çoğu durumda mümkün olmuyor.
Blockchain üzerinde bir adresin ve bakiyenin görünmesi, o adresteki varlıkların kontrol edilebileceği anlamına gelmiyor. İşlem yapabilmek için gerekli özel anahtarın matematiksel olarak yeniden oluşturulması, mevcut güvenlik standartları altında uygulanabilir bir yöntem değil.
Bu nedenle blockchain’i tarayarak kayıp Bitcoin cüzdanlarını bulduğunu veya herhangi bir cüzdanın anahtarını çıkarabildiğini iddia eden yazılımlar güçlü bir dolandırıcılık işareti taşıyor.
Sahte Kurtarma Araçlarının Ortak İşaretleri
Kripto kurtarma dolandırıcılıkları farklı yöntemler kullansa da bazı işaretler tekrar ediyor. Kesin sonuç sözü verilmesi, ilk önemli uyarılardan biri.
Gerçek bir blockchain analiz şirketi çalınan varlıkların hareketini takip edebilir. Ancak fonların mutlaka geri alınacağını garanti edemez. Varlıkların iadesi; paranın taşındığı platformlara, ülkelerin hukuk sistemlerine ve kolluk birimlerinin müdahalesine bağlıdır.
Kullanıcıdan kurtarma ifadesi, özel anahtar veya cüzdan dosyası istenmesi de doğrudan güvenlik riski oluşturuyor. Bu bilgilere sahip olan kişi cüzdanı başka bir cihazda açabilir ve içindeki varlıkları transfer edebilir.
Bilinmeyen ZIP, EXE veya Python dosyalarının çalıştırılması, antivirüs yazılımının kapatılması ve terminale verilen komutların girilmesi de sık kullanılan yöntemler arasında bulunuyor.
Saldırganların kendiliğinden iletişime geçmesi, yalnızca Telegram veya WhatsApp üzerinden çalışması ve işlem başlamadan önce kripto para talep etmesi de sahte kurtarma hizmetlerinde görülen ortak özellikler arasında yer alıyor.
Kurtarma Arayışı Yeni Bir Güvenlik Riskine Dönüşebiliyor
Kripto cüzdanlarının kişisel saklama yapısı, kullanıcılara varlıkları üzerinde doğrudan kontrol sağlıyor. Aynı yapı, kurtarma bilgilerinin korunmasını da tamamen kullanıcının sorumluluğuna bırakıyor.
Seed phrase veya özel anahtar kaybolduğunda ortaya çıkan çaresizlik, saldırganların en fazla yararlandığı noktalardan biri hâline geliyor. Kullanıcı yalnızca kaybettiği cüzdanı geri almaya çalışırken bilgisayarındaki diğer hesapları, şifreleri ve kripto varlıklarını da tehlikeye atabiliyor.
HP’nin tespit ettiği sahte cüzdan bulma aracı, cüzdan kurtarma vaadinin doğrudan zararlı yazılım dağıtmak için kullanılabildiğini gösteriyor. MetaMask ve FBI’ın uyarıları ise aynı mağdurların daha sonra sahte uzmanlar ve kurtarma şirketleri tarafından yeniden hedef alınabildiğini ortaya koyuyor.
Kayıp kripto varlıkları kesin olarak geri getirdiğini söyleyen çözümler, çoğu zaman bir kurtarma hizmetinden çok yeni bir veri ve para kaybının başlangıcını oluşturuyor.
