SIM Swap Saldırısı Nedir? Kripto Sahipleri Nasıl Ele Geçirilir?

SIM swap saldırısı, bir suçlunun telefon numaranızı kendi kontrolündeki bir SIM karta taşıtmasıdır. İnsanlar 2024 yılında FBI’ın İnternet Suçu Şikayet Merkezi’ne (IC3) 982 SIM swap şikayeti bildirdi. Numara taşındığında aramalarınız ve mesajlarınız saldırgana gider; tüm SMS giriş kodları ve parola sıfırlama bağlantıları da aynı şekilde saldırganın eline geçer.

FCC, Kasım 2023’te ABD’li kablosuz operatörlerin bir numarayı yeni bir SIM karta veya operatöre taşımadan önce müşterinin kimliğini doğrulamasını gerektiren kurallar benimsedi. Ekim 2026 ortasında, yani 1.065 gün sonra, operatörler hâlâ bu kurallara uymak zorunda değildi. Federal Register’da bir uyum tarihi yayımlanmamıştı ve her iki kuralın eCFR metni de uyumun böyle bir tarihi bekleyeceğini belirtiyordu.

SIM Swap Saldırısı Nasıl Çalışır?

SIM swap saldırısı, operatörünüzdeki bir kişiyi kandırarak veya rüşvet vererek çalışır. FBI’ın Şubat 2022 tarihli kamuoyu duyurusu kullanılan yolları açıklar. Suçlular, numaranın değiştirilmesi için mağduru taklit eder, bunu yapması için bir operasyon çalışanına rüşvet verir ya da operasyon personelini swap işlemlerini gerçekleştiren zararlı yazılımı yüklemeye yöneltmek için oltalama (phishing) yöntemini kullanır.

Swap tamamlandığında mağdurun aramaları ve mesajları suçlunun telefonuna düşer. Suçlu ardından e-posta ve finansal hesaplarda “Parolamı Unuttum” sıfırlama talepleri gönderir; tek kullanımlık kodlar artık mağdurun kontrolünde olmayan numaraya SMS olarak ulaşır.

Port-out dolandırıcılığı da aynı sonuca farklı bir kapıdan ulaşır. Saldırgan, mağdur adına başka bir operatörde hesap açar ve numaranın oraya taşınmasını sağlar; böylece mağdurun kendi operatöründe hiçbir SIM değişikliği gerçekleşmez.

SIM swap dolandırıcılığı, operatörü aramadan çok önce, saldırganın siz gibi geçebilmesi için gereken kişisel bilgilerin toplanmasıyla başlar. FINRA’nın örneği, sağlayıcınızı arayan kişinin siz olduğuna ikna etmek için sosyal medyada paylaştığınız bilgilerdir.

Yatırımcılar da operasyon personeline yöneltilen oltalamanın aynısıyla, sahte e-postalar ve kopyalanmış giriş siteleri aracılığıyla karşılaşır. Phemex Academy, kriptoda oltalamanın ne olduğunu ve nasıl önlenebileceğini ele alır.

SIM Swapperlar Neden Kripto Sahiplerini Hedef Alır?

FBI’ın uyarısı, SIM swapping’i “fiat ve sanal para hesaplarından” hırsızlık yapmanın bir yolu olarak tanımladı. FINRA, telefon numarasının neden giriş noktası olduğunu açıklar; çünkü mobil numaralar finansal girişlerde “müşteri kimliğini doğrulamanın anahtarı haline gelmiştir”. Bir SMS kodu hesabı açabilir, SMS ile gelen sıfırlama bağlantısı ise diğer tüm sıfırlama isteklerinin düştüğü e-posta gelen kutusunu açabilir.

Ayrıca blockchain transferlerinde ters ibraz (chargeback) yoktur; bu nedenle saldırganın çektiği coin’ler işlem onaylandıktan sonra geri alınamaz.

Bir SIM swap, self-custody cüzdandaki özel anahtara erişemez; çünkü anahtar cüzdanda bulunur ve asla SIM kartta yer almaz. Bitcoin genel ve özel anahtarları, coin’leri hareket ettiren şeyin neden bu anahtar olduğunu açıklar. Asıl tehlike, e-posta veya bulut notlarında saklanan bir anahtar ya da seed phrase kopyasıdır; ele geçirilen numara, parola sıfırlama yoluyla bu bilgilere ulaşabilir.

SIM Swapping Ne Kadar Yaygın?

IC3, 2022’den itibaren SIM swap olaylarını ayrı bir suç türü olarak saymaya başladı ve yıllık raporları bu seriyi gösteriyor.

2024 IC3 yıllık raporu’ndaki üç yıllık tabloda, şikayetler 2022’deki 2.026 baz seviyesinden %51,53 oranında geriledi; bildirilen kayıplar ise 72,65 milyon dolar seviyesinden %64,24 oranında azaldı.

Bu rakamlar yalnızca şikayette bulunmayı seçen kişilere aittir ve bu yüzden bir alt sınırı temsil eder. IC3’e hiç ulaşmayan bir saldırı sayıma dahil olmaz.

FBI’ın 2022 tarihli uyarısı, kategori oluşturulmadan önceki daha eski rakamları veriyordu. 2018–2020 arasında yaklaşık 12 milyon dolar düzeltilmiş kayıpla 320 şikayet, ardından 2021’de 68 milyon doların üzerinde kayıpla 1.611 şikayet sayılmıştı. Bu veriler ayrı bir sayımdan geliyor ve yıllık seriye eklenmiyor.

2024’teki 982 şikayetin 205’ini 60 yaş ve üzerindeki kişiler bildirdi ve bu grup 6,342 milyon dolar kayıp raporladı; bu tutar, yılın toplam 25,98 milyon dolarlık kaybının %24,41’ini oluşturuyor.

ABD Operatörleri SIM Swap’leri Durdurmak Zorunda mı?

Hayır, en azından Ekim 2026 ortası itibarıyla değil; ancak FCC, 15 Kasım 2023’te ABD’li kablosuz operatörler için SIM swap ve port-out kurallarını benimsemişti. Kağıt üzerinde, Federal Register kuralı operatörlerin SIM değişimi veya port-out işleminden önce müşteri kimliğini güvenli yöntemlerle doğrulamasını ve bu işlemlerden biri talep edildiğinde müşterileri derhal bilgilendirmesini gerektiriyor.

Muafiyet kararı bu boşluğu açıklıyor. 5 Temmuz 2024’te FCC’nin Wireline Competition Dairesi, OMB incelemesini tamamlayıp “Komisyon Federal Register’da uyum tarihini ilan eden bir bildirim yayımlayana kadar” kuralların “tamamıyla” uyumunu muaf tuttu. OMB, SIM değişimi bilgi toplama sürecini ve port-out karşılığını 15 Ocak 2025’te onayladı; böylece eksik kalan adım bildirim oldu.

Ekim 2026 ortası itibarıyla, bu onayın üzerinden 638 gün, yani yaklaşık 21 ay geçmişti. SIM değişimi kuralının eCFR metni hâlâ uyumun “bu paragraf kaldırılana veya içinde bir uyum tarihi yer alana kadar gerekli olmayacağını” söylüyordu; port-out kuralı da aynı ifadeyi taşıyor. Altı SIM değişimi koruması ve dört port-out koruması hâlâ “[Reserved]” yer tutucusu olarak duruyor.

2024’ten itibaren Federal Register’da yayımlanan hiçbir FCC belgesi bu tarihi belirlemiyor ve muafiyet kararı, tarihin Federal Register’da yer alması gerektiğini açıkça belirtiyor. FCC’nin hükümetin Birleşik Gündemi’ndeki (Unified Agenda) Ağustos 2026’da yayımlanan kaydı, bir sonraki eylemi “belirsiz” olarak listeliyor.

Bir uyum tarihi yayımlanana kadar işe yarayan koruma, sizin kendiniz kurduğunuz korumadır.

SIM Swapping Yasadışı mı?

Evet ve 2025 tarihli federal bir dava, savcıların bu suçu nasıl nitelendirdiğini gösteriyor. 9 Ocak 2024’te biri SEC’in X hesabını ele geçirdi ve kurumun spot bitcoin ETF’lerini onayladığını söyleyen bir paylaşım yaptı; oysa kurum bunu onaylamamıştı.

SEC, 22 Ocak 2024’te yetkisiz tarafın “hesapla ilişkili SEC cep telefonu numarasının kontrolünü görünüşte bir ‘SIM swap’ saldırısıyla elde ettiğini” belirtti. Çok faktörlü kimlik doğrulama, “personelin talebi üzerine Temmuz 2023’te” kapatılmıştı; bu nedenle numaranın kontrolü, saldırganın hesabın parolasını sıfırlamasına olanak verdi.

Adalet Bakanlığı Mayıs 2025’te, Alabama’daki bir kişinin üstlendiği rol nedeniyle 14 ay hapis cezasına çarptırıldığını açıkladı. Kişi, ağırlaştırılmış kimlik hırsızlığı ve erişim cihazı dolandırıcılığına teşebbüs amacıyla komplo kurma suçunu kabul etti.

Numarayı ele geçirmek için bir kimlik kartı yazıcısıyla mağdurun adına sahte kimlik üretti ve kendini o kişi gibi gösterdi. Bakanlığa göre, sahte gönderinin hemen ardından bitcoin 1.000 dolardan fazla yükseldi; düzeltme sonrasında ise 2.000 dolardan fazla düştü.

SIM Swap’a Uğradığınızı Nasıl Anlarsınız?

Telefonunuzun hizmet dışı kalması genellikle ilk ipucudur. FCC’nin 2023 kararı, telefonun “kararmasının veya yalnızca 911 aramalarına izin vermesinin” tipik olarak SIM swap ya da port-out dolandırıcılığının ilk işareti olduğunu belirtir.

FINRA daha fazla kırmızı bayrak sıralar; bunların ilki, siz eklemediğiniz halde hesabınızda yeni bir cihaz veya numara etkinleştirildiğine dair uyarı gelmesidir. Aniden başarısız olan girişler ile beklenmedik arama ve mesaj yoğunluğu da aynı listede yer alır.

Sizden bir kodu veya seed phrase’i yüksek sesle okumanızı isteyen bir mesaj başlı başına bir uyarı işaretidir. Phemex Güvenlik Merkezi’nin dört hesap kontrolüne ilişkin aylık özeti, Phemex personelinin sizden asla 2FA kodunuzu veya seed phrase’inizi istemeyeceğini belirtir.

SIM Swap Saldırısını Nasıl Önlersiniz?

Dört adım, SIM swapping’in çalınan bir numarayı boşaltılmış bir hesaba dönüştürmesini önler.

1. Girişlerinizde SMS’i devre dışı bırakın: İki faktörlü kimlik doğrulamayı, hesabın izin verdiği her yerde bir kimlik doğrulayıcı uygulamaya veya donanım güvenlik anahtarına taşıyın. FBI’ın uyarısı “biyometrik yöntemler, fiziksel güvenlik token’ları veya bağımsız kimlik doğrulama uygulamalarını” önerir. NIST’in Temmuz 2025 dijital kimlik rehberi, telefon şebekesi üzerinden gönderilen kodları “tek kısıtlı doğrulayıcı” olarak listeler ve bunların ancak kuruluş ek riski kabul ettiğinde kullanılabileceğini belirtir.

2. Numaranızı operatörde kilitleyin: FINRA’nın tavsiye ettiği üzere kablosuz hesabınıza bir PIN veya şifre koyun ve operatörünüz sunuyorsa SIM değişimi ya da port-out kilidi isteyin. FCC kuralları operatörlere bu kilidi sunma zorunluluğu getirecekti; ancak bir uyum tarihi gelene kadar yapabileceğiniz tek şey talep etmektir.

3. Varlıklarınızı sosyal medyada paylaşmayın: FBI uyarısındaki ilk ipucu budur; çünkü herkese açık bir övünme, saldırgana hangi numarayı hedef alacağını söyler.

4. Seed phrase’i çevrimdışı saklayın: Kâğıt veya metal üzerinde, ele geçirilen bir numaranın sıfırlayabileceği e-posta ve bulut notlarının uzağında tutun. Akademi sayfası, seed phrase’leri ve bir cüzdanın nasıl yedekleneceğini güvenli saklama yöntemleriyle ele alır.

Phemex, kritik hesap işlemleri için 2FA zorunlu tutar ve kod, cihazınızdaki bir kimlik doğrulayıcı uygulamadan gelir; bu durum, Phemex’in gelişmiş hesap korumasını nasıl uyguladığını anlatan gönderisinde açıklanır. Aynı giriş doğrulaması Phemex vadeli işlemlerini de kapsar; burada BTCUSDT sürekli sözleşme 150 kata kadar kaldıraç sunar. Vadeli işlemler kaldıraç kullanır ve kaldıraçlı pozisyonda kayıplar marj seviyesine ulaşırsa pozisyon otomatik olarak kapatılır.

SIM Swap Sonrasında Ne Yapmalısınız?

Hızlı hareket edin; çünkü numara onlarınken saldırgan parola sıfırlamalarınızı teker teker denemektedir. FBI’ın uyarısı ve FINRA’nın rehberi aynı adımlara işaret eder.

5. Başka bir telefondan operatörünüzü arayın ve numarayı geri alın.

6. Parolalarınızı değiştirin; önce e-posta, ardından numaraya bağlı borsa ve banka hesaplarıyla başlayın.

7. Bankalarınızdan ve borsalarınızdan hesaplarınızı şüpheli girişler ve çekimler için işaretlemelerini isteyin.

8. Saldırıyı IC3’e ve yerel kolluk kuvvetlerine bildirin; FINRA’nın önerdiği şekilde FTC’ye de başvurun.

Seed phrase’i e-postanızda veya bulut depolamanızda bulunan bir cüzdan, ifşa olmuş gibi değerlendirilmelidir; bu nedenle coin’leri yeni bir phrase ile yeni bir cüzdana taşıyın. IC3’e yaptığınız her bildirim, sorunu izleyen yıllık sayıma da dahil olur.

Sıkça Sorulan Sorular

Sim swapping nedir?

SIM swapping, SIM swap saldırısının diğer adıdır. Bir suçlu, operatörü kandırarak veya ödeme yaparak telefon numaranızı kendi elindeki bir SIM karta taşıtır; ardından gelen mesajlarınızı parola sıfırlamak ve SMS giriş kontrollerini geçmek için kullanır.

Sim swapping hâlâ var mı?

Evet. IC3, 2024’te 25,98 milyon dolar bildirilen kayıpla 982 SIM swap şikayeti aldı. Bu rakamlar yalnızca şikayette bulunan mağdurları kapsadığı için saldırı sayısının alt sınırını oluşturur.

Sim swapping yasadışı mı?

Evet. Ocak 2024’te SEC’in ele geçirilen X hesabının arkasındaki SIM swap’ı gerçekleştiren kişi, ağırlaştırılmış kimlik hırsızlığı ve erişim cihazı dolandırıcılığına teşebbüs amacıyla komplo kurma suçunu kabul ettikten sonra Mayıs 2025’te 14 ay federal hapisle cezalandırıldı.

Sim swapping eSIM ile de olabilir mi?

Evet. FCC kuralları SIM’i “fiziksel veya sanal kart” olarak tanımlar ve FINRA, sağlayıcınızı kendisiymişsiniz gibi ikna eden bir saldırganın eSIM’inizi kendi cihazına taşıtabileceği konusunda uyarır.

Sonuç

Bir SIM swap saldırısına karşı her savunma ya swap’ı zorlaştırır ya da onu değersiz hale getirir. Zorlaştırmak operatörlerin işidir ve yukarıdaki takvim bu işin ne kadar uzun süre beklediğini gösterir. Değersiz hale getirmek ise size aittir. Girişleri kısa mesajlardan çıkarmak bir öğleden sonra sürer. Bundan sonra çalınan bir numara, saldırgana yalnızca bir telefon hattı kazandırır; başka pek bir şey değil.

Yasal uyarı: Bu makale yalnızca bilgilendirme amaçlıdır ve yatırım tavsiyesi değildir. Kripto para ticareti önemli riskler içerir. Yatırım kararları vermeden önce her zaman kendi araştırmanızı yapın.