Yönetici Özeti
Yeni bir kimlik avı kampanyası, X (eski adıyla Twitter) üzerindeki kripto para kullanıcılarını hedef alıyor, iki faktörlü kimlik doğrulamayı kılık değiştirmiş uygulama yetkilendirme istekleri aracılığıyla atlayarak, hileli planları tanıtmak için kullanılan tam hesap ele geçirmelerine yol açıyor.
Olay Detayları
25 Eylül 2025 tarihinde bildirildiği üzere, gelişmiş bir kimlik avı kampanyası, platformun uygulama yetkilendirme sistemindeki bir güvenlik açığını istismar ederek kripto topluluğundaki X hesaplarını aktif olarak ele geçiriyor. Saldırı, calendar.google.com gibi meşru alan adları gibi görsel olarak görünmek için meta veri sahtekarlığı kullanan bağlantılar içeren doğrudan mesajlarla başlar. Ancak bu bağlantılar, x(.)ca-lendar(.)com örneğinde olduğu gibi kötü amaçlı sitelere yönlendirir. Etkileşim üzerine, kullanıcılar gizlice kötü amaçlı kod yürüten bir sayfaya yönlendirilir ve ardından bir uygulama yetkilendirme istemiyle karşılaşırlar. Genellikle Kiril karakterleriyle bir "Google Takvim" uygulaması gibi kılık değiştirmiş bir kimlik avı programı, kullanıcının X hesabına erişmek için kapsamlı izinler talep eder; buna takip etme/takibi bırakma, profilleri güncelleme ve gönderi oluşturma/silme gibi yetenekler dahildir. Bu izinler verilirse, saldırganlar tam kontrol elde eder, geleneksel şifreleri ve 2FA'yı doğrudan atlayarak, ilk tespit olmaksızın anında hesap ele geçirmesi sağlarlar. Ele geçirilen hesaplar daha sonra hileli kripto para birimi planlarını yaymak için kullanılır ve potansiyel olarak takipçiler için finansal kayıplara neden olur. Kullanıcılara riski azaltmak için X bağlantılı uygulamalar sayfalarını ziyaret etmeleri, şüpheli "Takvim" uygulaması yetkilendirmelerini incelemeleri ve iptal etmeleri önerilir.
Piyasa Etkileri
Bu sofistike kimlik avı tekniği, Web3 ekosistemi içindeki güvenlik ve güven için önemli bir tehdit oluşturmaktadır. Dijital güvenliğin temel taşı olan 2FA'nın doğrudan atlatılması, siber tehditlerde basit kimlik bilgisi hırsızlığının ötesinde bir tırmanışı ifade etmektedir. Bu gelişme, X'in uygulama yetkilendirme güvenlik protokollerini geliştirmesini gerektirebilir ve daha geniş kripto para birimi topluluğunu daha sıkı, çok platformlu güvenlik uygulamalarını benimsemeye teşvik etmektedir. Bu tür kampanyaların finansal etkisi önemli; Ağustos 2025 itibarıyla, Scam Sniffer çeşitli kimlik avı dolandırıcılıkları aracılığıyla 15.000'den fazla mağdurdan 12 milyon dolardan fazla çalındığını bildirdi. Etkili hesapların hedeflenmesi, aldatıcı planların erişimini artırır, potansiyel olarak piyasa duyarlılığını etkiler ve şüphelenmeyen yatırımcılar için daha geniş finansal kayıplara yol açar. Bu saldırıların devam eden doğası, sürekli uyanıklık ve uyarlanabilir güvenlik önlemlerinin kritik ihtiyacını vurgulamaktadır.
Uzman Yorumları
Kripto geliştiricisi Zak Cole, durumun ciddiyetini vurgulayarak, saldırının gizliliğini ve etkinliğini vurgulayarak bunu "sıfır tespit ile tam hesap ele geçirme" olarak nitelendirdi. MetaMask güvenlik araştırmacısı Ohm Shah, kampanyanın aktif varlığını doğrulayarak "sahada" gözlemlendiğini belirtti. Shah, bu saldırının sahte oturum açma sayfaları veya parola hırsızlığını içermediği, bunun yerine hesap erişimi elde etmek için doğrudan X'in uygulama desteğini istismar ettiği için geleneksel kimlik avından saptığını açıkladı. Cole ayrıca operasyonel bir tutarsızlık tespit etti: sahte Google Takvim önizlemesi, izin verildiğinde calendly.com'a yönlendiriyor; bu, dikkatli kullanıcılar için bir uyarı işareti olabilecek bir anormalliktir.
Daha Geniş Bağlam
Bu kampanya, sosyal medya platformları aracılığıyla kripto para endüstrisini hedef alan artan siber saldırıların daha geniş bir modeline entegre olmaktadır. Yüksek profilli hesap ele geçirmeleri, saldırganlar için yaygın bir strateji haline gelmiştir; ele geçirilmiş hesapları kullanarak dolandırıcılık bağlantılarını yaymak ve büyük, genellikle güvenen bir kitleye aldatıcı token hediyeleri tanıtmak. 2024 ve 2025 boyunca yaşanan olaylar arasında bir WIRED gazetecisi, NBA, NASCAR, Linus Tech Tips ve Ethereum kurucu ortağı Vitalik Buterin'e ait hesapların ele geçirilmesi yer almaktadır; bunların hepsi kripto ile ilgili dolandırıcılıkları yaymak için istismar edilmiştir. 2025 ortasına gelindiğinde, toplam kripto ile ilgili kimlik avı ve dolandırıcılık kayıpları dünya çapında 2.1 milyar doları aşmıştır. Yalnızca teknik güvenlik açıkları yerine sosyal mühendislik ve insan unsuruna artan odaklanma, bu tehditlerin gelişen doğasını vurgulamaktadır. Bu eğilim, bireyler ve platformlar için sofistike ve uyarlanabilir siber suç taktiklerine karşı dijital varlıkları güvence altına alma konusundaki sürekli zorluğu vurgulamaktadır.
Edgen Crypto·Sep 26 2025, 03:29