Araştırma, önde gelen bir bilgisayar bilimleri konferansı olan SIGMETRICS 2025'te kabul edildi ve veri setimizi https://github.com/blocksecteam/phishing_contract_sigmetrics25 adresinde açık kaynak olarak yayınladık.
Merkeziyetsiz Finans'ın (DeFi) yükselişiyle birlikte, blok zinciri alanı önemli miktarda sermaye ve kullanıcı yatırımı çekmiştir. Ancak bu büyüme, önemli kullanıcı kayıplarına yol açan kimlik avı saldırılarındaki artışla birlikte gelmiştir. Tespiten kaçınmak için dolandırıcılar artık yalnızca Harici Sahipli Hesaplara (EOA) güvenmemektedir. Bunun yerine akıllı sözleşme dağıtımına yönelmişlerdir. Bu makalede, kimlik avı sözleşmeleri üzerine yürüttüğümüz en son araştırmayı sunuyor ve zamanında, kapsamlı ve doğru kimlik avı istihbaratımızın kripto projelerinin kullanıcı fonlarını korumasına ve uyumluluğu sürdürmesine nasıl yardımcı olduğunu, genel blok zinciri güvenliğini nasıl güçlendirdiğini gösteriyoruz.
Kimlik Avının Evrimi: EOA'lardan Kötü Amaçlı Akıllı Sözleşmelere
Geleneksel olarak dolandırıcılar, kullanıcıları ETH veya token'ları doğrudan kendi EOA'larına gönderen işlemleri imzalamaya yönlendiriyordu. Ancak bu taktik artık kolayca fark edilebilir hale geldi: MetaMask ve Coinbase gibi cüzdanlar artık kullanıcıları bilinen kötü amaçlı EOA'lara fon göndermelerine karşı uyarıyor. Bu artan farkındalık, saldırganları yenilik yapmaya zorlayarak kimlik avı sözleşmelerinin yaygınlaşmasına yol açtı.
Buna karşılık dolandırıcılar artık meşru proje davranışlarını taklit etmek ve niyetlerini gizlemek için kimlik avı sözleşmeleri kullanmaktadır. Varlıkları doğrudan bir saldırganın EOA'sına aktarmak yerine, kurbanlar kötü amaçlı sözleşmelerle etkileşime giren işlemleri imzalamaları için kandırılmakta; bu da farkında olmadan token'ları üzerindeki kontrolü devretmeleri anlamına gelmektedir. Bu yeni vektör, DeFi güvenliği için ciddi bir zorluk oluşturmaktadır.
Bu kimlik avı sözleşmeleri genellikle şunları içerir:
- Aldatıcı ödenebilir fonksiyonlar:
ClaimveyaSecurityUpdategibi adlandırılan bu fonksiyonlar, kullanıcıları ETH'yi doğrudan saldırganın sözleşmesine göndermeleri için kandırır. - Çoklu çağrı fonksiyonları: Bir kullanıcının farkında olmadan onay vermesinin ardından ERC20 token'larını veya NFT'leri boşaltmak için ideal olan birden fazla token transferini tek bir işlemde toplu hale getirmek üzere tasarlanmıştır. Bu, kripto dolandırıcılıklarında yaygın bir taktiktir.
BlockSec'in Araştırması: Kimlik Avı Sözleşmelerinin Tespiti ve Analizi
Bu çalışma, Ethereum üzerindeki kimlik avı sözleşmelerine odaklanmaktadır. Büyük ölçekli kimlik avı sözleşmesi tespitini mümkün kılmak için, sözleşme bayt kodundan şüpheli fonksiyon seçicilerini çıkaran, işlemleri simüle eden ve sonuçları analiz eden bir sistem tasarladık. Bu yaklaşımı kullanarak, 29 Aralık 2022 ile 1 Ocak 2025 tarihleri arasında dağıtılan 37.654 kimlik avı sözleşmesini tespit ettik. Bu kapsamlı veri seti, akıllı sözleşme güvenlik tehditlerinin yapısını anlamak için kritik öneme sahiptir.
Finansal Etki: Kullanıcı Kayıplarının Dağılımı
Kimlik avı sözleşmeleri önemli kullanıcı kayıplarına yol açmıştır. 29 Aralık 2022'den 8 Ocak 2025'e kadar, 171.984 kurbanı etkileyen 211.319 kimlik avı işlemi tespit ettik ve toplam kayıplar 190,7 milyon dolara ulaştı. Dikkat çekici biçimde, kurbanların %89,9'u 1.000 dolardan az kaybetti. Pek çok kullanıcı, genellikle iptal edilmemiş token onayları veya tekrar tekrar kötü amaçlı işlemler imzalamaları nedeniyle birden fazla kez kimlik avı planlarına düştü. Bunlar arasında, daha az deneyimli Web3 kullanıcıları bu kripto dolandırıcılıklarına karşı özellikle savunmasızdır.
Saldırganları Anlamak: Kimlik Avı Sözleşmeleri ve Dağıtıcıların Dağılımı
Kimlik avı sözleşmelerinin büyük çoğunluğu (%86,5), çeşitli token türlerini hedef almak için hem "boş" ödenebilir fonksiyonlara hem de çoklu çağrı fonksiyonlarına sahiptir. Bunların %70,9'u 1.000 dolardan az kazandı ve %96,2'si bir günden kısa süre aktif kaldı. Dolandırıcılar, hesap etiketleme mekanizmalarını atlatmak için hızla yeni sözleşmeler dağıtmakta; bu durum gerçek zamanlı tehdit istihbaratına duyulan ihtiyacı ön plana çıkarmaktadır.
Araştırmamız, saldırganların kendileri hakkında da kritik bilgiler ortaya koydu. Dokuz hesap, tüm kimlik avı sözleşmelerinin %91,1'ini dağıtmaktadır. Dolandırıcılar genellikle kurbanlardan çaldıkları token'ları yeni kimlik avı sözleşmelerinin dağıtımını finanse etmek için kullanmaktadır. Dikkat çekici biçimde, bu dokuz büyük dağıtıcının sekizi fon akışı bağlantıları göstermekte; bu da koordineli bir kimlik avı grubu olarak faaliyet gösterdiklerini düşündürmektedir. Birlikte tüm kimlik avı sözleşmelerinin %85,7'sini dağıtmışlardır; bu da pek çok blok zinciri güvenlik olayının arkasında son derece organize bir suç örgütünün bulunduğuna işaret etmektedir.
Azaltma Stratejileri: Kimlik Avı Sözleşmelerine Karşı Savunma
Çalışmamız, Ethereum'da kimlik avı sözleşmelerinin yaygınlığını ve kullanıcılara verdikleri önemli zararları ortaya koymaktadır. Bu nedenle, kullanıcıları bu tehditlerden korumak ve genel blok zinciri güvenliğini artırmak için pratik ve etkili stratejiler öneriyoruz.
Kullanıcıların Kendilerini Korumak İçin Yapabilecekleri
Kullanıcı perspektifinden bakıldığında, kripto dolandırıcılıklarını önlemede uyanıklık kritik öneme sahiptir. Merkeziyetsiz bir uygulamaya erişirken ve hizmet talep ederken, kullanıcılar URL, ana sayfa, alt bağlantılar, Twitter ve Discord bağlantıları dahil olmak üzere web sitesini dikkatlice incelemelidir. Bir işlemi imzalamadan önce, kullanıcılar hesap ve fonksiyon çağrısı parametreleri dahil olmak üzere işlem ayrıntılarını dikkatle gözden geçirmelidir. Ayrıca, bunun resmi bir hesap olup olmadığını belirlemek için Etherscan üzerindeki adres etiketini doğrulayabilirler. İstenmeyen tekliflere veya onay taleplerine her zaman şüpheyle yaklaşın.
Hizmet Sağlayıcıların Yapabilecekleri: Gelişmiş Tehdit İstihbaratından Yararlanma
CEX'ler, DEX'ler, cüzdanlar, PayFi platformları, sabit coinler ve köprüler dahil olmak üzere hizmet sağlayıcılar, kullanıcıları olası tehditlerden korumak için kimlik avı web sitelerinin ve hesaplarının listelerini aktif olarak sürdürmeli ve güncellemelidir. Belirli hesapların kendi platformlarında kimlik avı sözleşmeleri dağıttığının tespit edilmesi durumunda, bu sağlayıcılar hizmetlerine erişimi kısıtlamalı veya reddetmelidir. Ancak blok zincirlerinin doğasındaki anonimlik ve özellikle zincirler arası faaliyetlerde zincir üstü etkileşimlerin karmaşıklığı, kurumların etkin risk değerlendirmesi yapması ve DeFi güvenliğini sağlaması için ciddi zorluklar oluşturmaktadır.
Bu zorlukları gidermek için BlockSec, bu araştırma bulgularını Phalcon Compliance Uygulaması'na entegre etmiştir. Bu platform, 400 milyonun üzerinde adres etiketine sahip devasa ve gerçek zamanlı bir veritabanından, sınırsız işlem adımı izleme özelliğinden ve yapay zeka destekli davranış analizi motorundan yararlanmaktadır. Bu yetenekler sayesinde uygulama, kurumların kimlik avı adreslerini ve bunlarla etkileşimde bulunan şüpheli varlıkları hızla tespit etmesini sağlayarak kritik zincir üstü adli bilişim imkânı sunmaktadır.
Kimlik avı adreslerinin ötesinde, Phalcon Compliance Uygulaması saldırganlar, yaptırım uygulanan varlıklar, karıştırıcılar, kara para aklayanlar ve dark web gibi diğer riskli varlıkları; yüksek frekanslı transferler, büyük transferler ve transit adresler gibi şüpheli davranışları da tespit eder. Yasadışı faaliyetler tespit edildiğinde, uygulama kurumları yedi farklı kanal aracılığıyla derhal bilgilendirerek anında müdahale edebilmelerini sağlar. Bunun yanı sıra uygulama; görev devretme, yorum ekleme, kara listeye alma ve tek tıklamayla Şüpheli İşlem Raporu (STR) oluşturma gibi çeşitli özellikler sunmaktadır. Tüm bu araçlar bir arada, uyumluluk iş akışlarını basitleştirirken ve Web3 güvenliğini güçlendirirken riskleri tespit etmek ve azaltmak için kapsamlı bir çözüm sunmaktadır.
