Kripto güvenliği bir zincirdir, tek bir kilit değil
Bir kripto hesabı güçlü şifreleme ile korunabilir; ancak ele geçirilmiş bir cihaz, zayıf bir seed (tohum ifadesi), güncel olmayan bir adres veya ikna edici bir mesaj hâlâ hesabı risk altına sokabilir.
Phemex Safety Hub Vol. 05–08'in ortak teması budur. Dört sayı farklı saldırı yüzeylerini ele alır:
- Vol. 05: Donanım cüzdanı tedarik zinciri müdahalesi
- Vol. 06: Cüzdan seed üretiminde zayıf rastgelelik
- Vol. 07: Kullanımdan kaldırılmış veya güncel olmayan para yatırma adresleri
- Vol. 08: Beklenmeyen doğrulama kodları ve oltalama (phishing) uyarıları
Bu konuların arkasındaki olaylar, güvenlik tavsiyelerinin neden pratik olması gerektiğini de gösterir. Kutusu mühürlü göründüğü için bir donanım cüzdanı otomatik olarak güvenli değildir. Zayıf rastgelelikle üretildiyse bir kurtarma ifadesi güvenli sayılmaz. Kaydedilmiş bir para yatırma adresinin geçerli kalacağı garanti edilmez. Gelen kutunuza ulaştı diye bir doğrulama kodu zararsız değildir.
Doğru tepki genellikle basittir: durun, kaynağı doğrulayın, tüm detayları kontrol edin ve bir şey tutmuyorsa işlemi iptal edin.
Phemex kullanıcıları için resmi Phemex hesap güvenlik rehberi ile başlayın. Rehber; iki faktörlü kimlik doğrulama, passkey'ler, oltalmaya karşı kodlar, yetkili uygulamalar, cihaz yönetimi, çekim adresi kontrolleri ve şüpheli aktivite sonrası yapılacakları kapsar.
Güvenlik notu: Bu makale yalnızca eğitim amaçlıdır. Burada referans verilen harici olaylar genel güvenlik uygulamalarını açıklamak için kullanılmıştır ve Phemex'in veya Phemex kullanıcılarının etkilendiğine dair bir işaret taşımaz.
Vol. 05–08'in Ortak Noktaları
Dört Safety Hub sayısı, güvenin başarısız olabileceği dört farklı anı anlatır:
- Kurulumdan önce: Fiziksel cihaza ve onun dağıtım yoluna güvenebilir misiniz?
- Cüzdan oluşturma sırasında: Kurtarma ifadesi yeterli rastgeellikle mi üretildi?
- Para yatırmadan önce: Adres hâlâ güncel mi ve ağ eşleşiyor mu?
- Hesap erişimi sırasında: Kodu, sıfırlamayı veya girişi siz mi talep ettiniz?
Bunlar ayrı kontrollerdir. Birini korumak diğerlerini korumaz. Temiz bir donanım cüzdanı, ele geçirilmiş bir e-posta hesabını onaramaz. Güçlü bir şifre, güncel olmayan bir para yatırma adresini geçerli kılamaz. Geçerli bir adres, yanlış ağa gönderilen fonları koruyamaz.
Bu nedenle en faydalı güvenlik alışkanlığı bir kontrol noktası zihniyetidir:
- Cihazı doğrulayın.
- Seed'i doğrulayın.
- Adresi doğrulayın.
- Mesajı doğrulayın.
Vol. 05: Mühürlü bir kutu, güvenli bir cihazın kanıtı değildir
Donanım cüzdanları, özel anahtarları internete bağlı sıradan cihazlardan uzak tutmak üzere tasarlanmıştır. Bu güvenlik modeli yalnızca güvenli bileşene veya cihaz yazılımına değil; aynı zamanda üretim, iade, yeniden satış ve dağıtım sürecine de bağlıdır.
Ekim 2026'da bir donanım cüzdanı üreticisi, orijinal cihazların açılıp kurulum sırasında kurtarma ifadelerini yakalamak üzere tasarlanmış gizli bileşenlerle donatıldığı ve bayiiler üzerinden yeniden dağıtıma döndürüldüğü yerel bir tedarik zinciri saldırısını açıklandı. Şirket, soruşturmasının temel çip, işletim sistemi veya sunucularda bir kusur bulmadığını; saldırının cihazlar şirketin kontrolünden çıktıktan sonra dağıtım kanalını hedef aldığını belirtti. Üreticinin donanım implantı saldırısına verdiği yanıta göz atın.
Başka bir donanım cüzdanı üreticisinden gelen ilgili bir rapor, aynı bayi ağı üzerinden satılan bir cihazla ilgili güvenilir bir ihbarı aktardı. Üretici, etkilenen alıcılara önlem olarak fonlarını yeni bir seed ile oluşturulmuş yeni bir cüzdana taşımalarını tavsiye ederken, bildirim tarihinde müşteri kaybına dair bir kanıt olmadığını da belirtti. Donanım implantı raporuna bakın.
Pratik ders, donanım cüzdanlarının işe yaramaz olduğu değildir. Ders şudur: donanım cüzdanı güvenliği tedarik zincirini de kapsar.
Kullanıcıların Neleri Kontrol Etmesi Gerekiyor
Güvenilir bir kanaldan satın alın. Üreticinin resmi mağazasını veya yetkili bir satıcıyı kullanın. Fişi saklayın ve satıcı adını kaydedin. Mühürlü dış ambalaj açılıp yeniden mühürlenebilir; dolayısıyla yalnızca ambalaj eksiksiz bir güvenlik testi değildir.
Kurulum sürecini inceleyin. Meşru bir cihaz, başlatma sırasında yeni bir kurtarma ifadesi üretmenize izin vermelidir. Bir karta basılmış, bir web sitesinde görüntülenen veya bir satıcı tarafından gönderilen kurtarma ifadesini asla kabul etmeyin.
Kurtarma ifadesini asla bir web sitesine girmeyin. Bir donanım cüzdanı üreticisi, borsa, destek temsilcisi veya "güvenlik kontrol aracı" seed ifadenizi istemek zorunda değildir. Onu isteyen herkes, cüzdanın kontrolünü istiyor demektir.
Şüpheli bir implantı cüzdan ihlali olarak ele alın. Teknik bir açıklama beklerken aynı seed'i kullanmaya devam etmeyin. Varlıklarınızı, güvendiğiniz bir cihazda yeni üretilmiş bir seed ile oluşturulan yeni bir cüzdana taşıyın. Eski seed'i yeni cüzdana içe aktarmayın.
Cihazı gelişigüzel açmayın. Kullanıcılar cihaza zarar verebilir veya olağan üretim farklılıklarını yanlış yorumlayabilir. Müdahaleden şüpheleniyorsanız kanıtları saklayın, üreticiyle resmi destek kanalı üzerinden iletişime geçin ve uygun olduğunda öncelikle varlıkları güvence altına alın.
Akılda Tutulması Gereken Aksiyon
Bir donanım cüzdanı, kurtarma ifadesini yalnızca cihaz, kurulum süreci ve seed güvenilir olduğunda korur. En güvenli varsayılan oldukça basittir:
Cihazın geçmişi belirsizse yeni bir cüzdan oluşturun ve yeni bir seed kullanın.
Vol. 06: Rastgelelik, cüzdan güvenliğinin bir parçasıdır
Çoğu kullanıcı kurtarma ifadesini bir kelime listesi olarak düşünür. Teknik olarak bu ifade, cüzdan anahtarlarını türetmek için kullanılan gizli entropiyi temsil eder. Entropi tahmin edilebilirse bir saldırgan, orijinal cihaza hiç dokunmadan aynı cüzdanı yeniden üretebilir.
Zayıf seed üretimini bu kadar ciddi kılan da budur. Mesele, ifadenin bir insana rastgele görünüp görünmediği değildir. Mesele, kriptografik olarak güvenli bir rastgelelik kaynağıyla üretilip üretilmediğidir.
Ekim 2026'da Qubic, bir saldırganın 1.404 cüzdandan yaklaşık 2,94 trilyon QU boşalttığını bildirdi. Proje, etkilenen bazı seed'lerin yetersiz rastgeellikle üretildiğini ve saldırganın bunları yeniden üretebilmesine olanak tanıdığını belirtti. Ayrıca protokolün ve konsensüs katmanının ele geçirilmediğini, transferlerin olağan imzalı işlemler olduğunu da açıkladı. Projenin olay raporu, etkilenen cüzdan ortamlarını, müdahale zaman çizelgesini ve kurtarma sürecini açıklıyor.
Bu, kullanıcılar için kritik bir ayrım: blok zinciri, imzalama için kullanılan gizli anahtar zayıf olsa bile bir işlemi doğru şekilde doğrulayabilir. Normal bir imza, cüzdanın güvenli şekilde oluşturulduğunu kanıtlamaz.
Neden Bir Uygulamayı Güncellemek Yeterli Olmayabilir
Bir yazılım güncellemesi, yeni seed'leri üreten kodu düzeltebilir. Ancak eski ve ifşa olmuş bir seed'i otomatik olarak yeniden gizli hale getiremez.
Bir cüzdan sağlayıcısı savunmasız bir üretim yöntemini tespit ederse kullanıcılar sağlayıcının geçiş talimatlarını takip etmelidir. Genel olarak bu şu anlama gelir:
- Potansiyel olarak etkilenmiş cüzdanı kullanmayı bırakın.
- Cüzdan yazılımını resmi bir kaynaktan güncelleyin.
- Temiz bir ortamda yeni bir cüzdan oluşturun.
- Yeni seed'in düzeltilmiş sürüm tarafından üretildiğini teyit edin.
- Varlıkları yeni cüzdana taşıyın.
- Eski seed'i kalıcı olarak emekliye ayırın.
Cüzdan fon kaybetmemiş olsa bile eski ifadeyi yeniden kullanmayın. Görünür bir hırsızlığın olmaması, bir seed'in güvenli olduğunu kanıtlamaz.
Hâlâ Önemli Olan Seed İfadesi Kuralları
- Seed'leri yalnızca güvenilir bir cüzdan uygulaması veya donanım cihazı içinde üretin.
- Seed'i çevrimdışı tutun; ekran görüntülerinden, bulut notlarından, e-postadan ve mesajlaşma uygulamalarından uzak durun.
- Seed'i "doğrulamak" için tarayıcıya girmeyin.
- Seed'i destek ekibiyle, moderatörlerle, kurtarma ajanlarıyla veya arkadaşlarınızla paylaşmayın.
- Yedek bir cüzdan oluştururken temiz bir cihaz kullanın.
- İfade ifşa olmuş olabilirse, şifre değiştirmek yerine cüzdanı taşıyın.
Akılda Tutulması Gereken Aksiyon
Bir cüzdan, arkasındaki gizli anahtarın öngörülemezliği kadar güçlüdür.
Seed üretimi zayıf veya belirsizse, bir yazılım güncellemesi geçiş değildir. Geçiş olan yeni bir seed'dir.
Vol. 07: Kaydettiğiniz Para Yatırma Adresi Güncel Olmayabilir
Kripto adresleri kalıcı görünebilir, çünkü aynı dizi zincir üstünde (zincir üstü) yıllarca görülebilir. Bu, alıcı platformun oraya gönderilen para yatırmaları işlemeye devam edeceği anlamına gelmez.
Platformlar bir olay, cüzdan geçişi, saklama değişikliği veya operasyonel yeniden tasarım sonrasında adresleri kullanımdan kaldırabilir. Bazıları eski adreslerden fon toplamayı bir süre daha sürdürebilir. Diğerleri ise desteği tamamen kesebilir. Bu nedenle kullanıcı deneyimi; varlığa, ağa, hesaba ve platforma göre farklılık gösterebilir.
Ekim 2026'da sektör haberleri, müşteri yatırmalarının kullanımdan kaldırılmış cüzdan altyapısına ulaşmaya devam etmesi ve dahili bir sürecin fonları planlandığı gibi hareket ettirememesi sonucunda büyük bir kripto platformunun yaklaşık 16 milyon dolarlık zararı üstlendiğini aktardı. Haberler ayrıca, bir platform kullanıcıları kullanmayı bırakmaları konusunda uyarsa bile eski adreslerin görünmeye ve transfer almaya devam edebildiğini vurguladı. Emekli adres olayına ilişkin sektör raporuna bakın.
Ders teknik değil, operasyoneldir: adres defterinize kaydettiğiniz bir adres geçmişin bir kaydıdır, şimdinin garantisi değildir.
Her Para Yatırma Öncesi Yapılacak Dört Kontrol
Alıcı platformu doğrudan açın. Eski bir sohbetteki, ekran görüntüsündeki, tabloda ya da tarayıcı geçmişindeki bir adresi kullanmayın. Güncel para yatırma adresini resmi uygulama veya web sitesi üzerinden üretin veya görüntüleyin.
Varlığı eşleştirin. Bir varlığı başka bir varlığın adresine göndermek kurtarma sorunlarına veya kalıcı kayba yol açabilir.
Ağı eşleştirin. Varlık ve ağ her iki tarafta da eşleşmelidir. Benzer adres formatlarının ağların birbirinin yerine geçebileceği anlamına geldiğini varsaymayın.
Memo veya etiketi kontrol edin. Bazı varlıklar hedef etiketi, memo veya ödeme kimliği gerektirir. Alıcı platform bunlardan birini gösteriyorsa birebir ekleyin.
Büyük bir transfer için küçük bir test işlemi operasyonel riski azaltabilir. Gönderimden sonra işlem hash'ini kaydedin ve gereken onayları bekleyin. Zincir üzerinde tamamlanmış görünen bir işlem, bakiye görünmeden önce hâlâ platform işleme tabi tutulmasını gerektirebilir.
Zaten Fonları Eski Bir Adrese Gönderdiyseniz
Hızlı davranın ve detayları saklayın:
- İşlem hash'ini kaydedin.
- Varlığı, ağı, tutarı, zaman damgasını ve alıcı adresi not edin.
- Alıcı platformla resmi destek kanalı üzerinden iletişime geçin.
- Kurtarma sözü veren tanımadığınız birine ödeme yapmayın.
- İlk ödemeyi "açmak" veya "doğrulamak" için ikinci bir ödeme göndermeyin.
Kurtarma; adres türüne, ağa, platform politikasına ve fonlara hâlâ erişilip erişilemediğine bağlıdır. Hiç kimse bir blok zinciri transferinden kurtarma yapılabileceğinin garantisini veremez.
Akılda Tutulması Gereken Aksiyon
Her para yatırmadan önce güncel adresi alın ve varlığı, ağı, memo'yu ve adresin tamamını doğrulayın.
Vol. 08: Beklenmeyen Bir Kod Rutin Bir Uyarı Değil, Alarmdır
Bir doğrulama kodu normal bir oturum açmanın parçası olabilir. Aynı zamanda bir saldırganın hesabınıza erişme girişiminin son adımı da olabilir.
Kodu siz talep etmediyseniz, birinin sadece yanlış e-posta adresini yazdığını varsaymayın. Bunu, birinin giriş, şifre sıfırlama, cihaz kaydı veya başka bir hesap işlemi deniyor olabileceğine dair bir sinyal olarak değerlendirin.
Bir blok zinciri veri şirketi tarafından açıklanan yakın tarihli bir güvenlik olayı bunun neden önemli olduğunu gösterdi. Şirketin kamuoyuyla paylaştığı güncellemeler, belirli müşteri bilgilerine yetkisiz erişimi tarif etti ve ilerleyen dönemde bazı şifre sızıntılarının mümkün olabileceği uyarısında bulundu. Kullanıcılara, mesajlardaki şifre sıfırlama bağlantılarına tıklamak yerine doğrudan resmi giriş sayfasına gitmelerini, tekrar kullanılan şifreleri sıfırlamalarını ve beklenmeyen uyarılara karşı tetikte kalmalarını söyledi. Şirketin olay güncellemeleri 7 Kasım 2026'ya kadar güncellendi.
Bu bir Phemex güvenlik olayı değildi. Veri sızıntısının nasıl hedefli bir oltalama**) dalgasının ikinci perdesini yaratabileceğine dair genel bir örnek olarak faydalıdır.
Beklenmeyen Bir Kod Geldiğinde Ne Yapmalı
Kodu paylaşmayın. Bir destek temsilcisinin tek kullanımlık doğrulama kodunuza asla ihtiyacı olmamalıdır. Kodu paylaşmak, saldırganın başlattığı bir işlemi onaylamanıza yol açabilir.
Sıfırlama bağlantısına tıklamayın. Resmi uygulamayı açın veya web sitesi adresini kendiniz yazın. Aceleci bir mesajdaki bağlantı sahte bir giriş sayfasına götürebilir.
Hesap aktivitesini doğrudan kontrol edin. Aktif oturumları, yetkili cihazları, üçüncü taraf uygulama erişimini, API anahtarlarını, son emirleri ve çekim ayarlarını inceleyin.
E-posta hesabını güvence altına alın. E-postanız ifşa olduysa, ticaret hesabınızın kendisi güçlü kontrollere sahip olsa bile hesap güvenliği atlanabilir. E-posta şifresini güvenilir bir cihazdan değiştirin; yönlendirme kurallarını, filtreleri ve oturum açmış cihazları gözden geçirin.
Bir şey değiştiyse resmi desteğe başvurun. Kendi açtığınız destek kanalını kullanın. Olaydan sonra size ulaşan yeni bir hesaba yanıt vermeyin.
Phemex kullanıcıları cihaz yönetimi, uygulama yetkilendirmesi, 2FA, passkey'ler, oltalmaya karşı kodlar ve çekim kontrollerini Hesap Güvenliği bölümünden inceleyebilir.
Akılda Tutulması Gereken Aksiyon
Taraflınızdan bir talep yoksa, kimseye kod yok. Resmi uygulamayı açın, hesabı kontrol edin ve sohbeti sonlandırın.
Safety Hub Ana Kontrol Listesi
Bu kontrol listesini bir cüzdan kurarken, bir uygulama bağlarken, para yatırırken veya bir hesap mesajına yanıt verirken kullanın.
Donanım Cüzdanı
- Resmi veya yetkili bir kaynaktan satın alın.
- Önceden yazılmış bir kurtarma ifadesine güvenmeyin.
- Kurulum sırasında yeni bir seed üretin.
- Şüpheli fiziksel donanımı ele geçirilmiş kabul edin.
- Müdahale şüphesi varsa fonları yeni bir seed'e taşıyın.
Seed İfadesi
- Güvenilir ve güncel bir cüzdanla üretin.
- Çevrimdışı ve gizli tutun.
- Asla bir web sitesine girmeyin veya destek ekibiyle paylaşmayın.
- Olası bir ifşadan sonra seed'i yeniden kullanmayın.
- Bir güncellemenin zaten ifşa olmuş bir gizli anahtarı onaramayacağını unutmayın.
Para Yatırma Adresi
- Her yatırmadan önce güncel adresi alın.
- Varlığı ve ağı teyit edin.
- Gerekliyse memo, etiket veya ödeme kimliğini ekleyin.
- Yalnızca ilk ve son karakterlere değil, adresin tamamına bakın.
- Gönderimden sonra işlem hash'ini kaydedin.
Hesap ve Oltalama
- Asla bir şifreyi, API gizli anahtarını, 2FA kodunu veya passkey onayını paylaşmayın.
- İstenmeyen bir sıfırlama bağlantısını takip etmeyin.
- Mesaj bağlantısını kullanmak yerine Phemex'i doğrudan açın.
- Cihazları, uygulamaları, oturumları, emirleri ve çekimleri gözden geçirin.
- Tanıdık görünmeyen bir aktivite olduğunda resmi desteğe başvurun.
Şüpheli Bir Olaydan Sonra
- Yeni transferleri, onayları ve girişleri durdurun.
- Şüpheli API anahtarlarını devre dışı bırakın ve tanınmayan oturumları sonlandırın.
- E-posta hesabını güvence altına alın.
- Mümkün olan yerlerde cüzdan izinlerini iptal edin.
- İşlem hash'lerini, mesajları, cihaz detaylarını ve zaman damgalarını saklayın.
- Doğrulanmış bir kanal üzerinden resmi desteğe ulaşın.
- Ücret, seed ifadesi, şifre veya acil transfer karşılığında kurtarma teklif eden herkese kulak tıkayın.
SSS
Bir Donanım Cüzdanı Her Zaman Güvenli midir?
Hiçbir cihaz tüm riskleri ortadan kaldırmaz. Donanım cüzdanı güvenliği; satıcıya, tedarik zincirine, kurulum sürecine, firmware'e ve kullanıcının kurtarma ifadesini nasıl yönettiğine de bağlıdır.
Bir Yazılım Güncellemesi Eski Bir Seed'i Güvenli Hale Getirebilir mi?
Mutlaka hayır. Bir seed zayıf rastgeellikle üretildiyse veya kurulum sırasında ifşa olduysa, yeni bir seed ile yeni bir cüzdan oluşturun ve sağlayıcının talimatlarına uygun şekilde varlıkları taşıyın.
Kaydedilmiş Bir Para Yatırma Adresini Yeniden Kullanabilir miyim?
Yeniden kullanabileceğinizi varsaymayın. Her yatırmadan önce güncel adresi resmi alıcı platformdan alın ve varlığı, ağı ve memo'yu doğrulayın.
Beklenmeyen Bir Doğrulama Kodu ile Ne Yapmalıyım?
Kodu paylaşmayın ve mesajdaki bağlantılara tıklamayın. Resmi uygulamayı veya web sitesini doğrudan açın, hesap aktivitesini inceleyin, tekrar kullanılan şifreleri güvenilir bir cihazdan değiştirin ve gerekirse resmi desteğe başvurun.
Şüpheli Hesap Aktivitesine En Hızlı Tepki Nedir?
Önce sonraki işlemleri durdurun. Şüpheli erişimleri devre dışı bırakın, e-posta hesabını güvence altına alın, oturumları ve izinleri gözden geçirin, kanıtları saklayın ve resmi desteğe başvurun.
Güvenlik Bir Alışkanlıktır, Manşet Değil
Phemex Safety Hub Vol. 05–08 dört farklı başarısızlık noktasını ele alıyor, ancak tepki tek bir örüntüyü izliyor:
- Cüzdana güvenmeden önce cihazı doğrulayın.
- Adrese güvenmeden önce seed'i doğrulayın.
- Fon göndermeden önce adresi doğrulayın.
- Erişimi paylaşmadan önce mesajı doğrulayın.
Bu derslerin arkasındaki son olaylar, kullanıcıların neden tek noktadan düşünmekten kaçınması gerektiğini de gösteriyor. Güvenli bir bileşen bir bayiyi doğrulayamaz. Yamalanmış bir cüzdan savunmasız bir seed'i onaramaz. Geçerli bir blok zinciri adresi, bir platformun onu hâlâ desteklediğini kanıtlayamaz. Gerçek bir doğrulama kodu, onu isteyen kişinin meşru olduğunu kanıtlayamaz.
Güvenlik, geri dönüşü olmayan karardan önce alınan küçük kararların bir dizisidir. Durun, doğrulayın ve bir sonraki adımı koruyun.
Önerilen CTA: Phemex hesap güvenliğinizi gözden geçirin
