Kripto Para Dolandırıcılığı: En Yaygın 10 Yöntem ve Korunma Rehberi

Kripto Para Dolandırıcılığı: Büyüyen Pazarın Karanlık Yüzü

Kripto para piyasası son yıllarda benzeri görülmemiş bir büyüme kaydetti. Küresel kripto piyasa değeri trilyon dolar seviyelerini aşarken, Türkiye’de de milyonlarca kişi dijital varlık yatırımına yöneldi. Ancak bu hızlı büyüme, kripto para dolandırıcılığı vakalarında da ciddi bir artışa neden oldu. Chainalysis verilerine göre, yalnızca 2023 yılında kripto dolandırıcılığı kaynaklı kayıplar milyarlarca doları buldu. Merkezi olmayan yapısı, işlemlerin geri alınamaz oluşu ve sınır ötesi transfer kolaylığı, kripto ekosistemini dolandırıcılar için son derece cazip bir alan haline getiriyor.

Bu rehberde, kripto para dolandırıcılığı alanında en yaygın 10 yöntemi detaylı şekilde inceleyecek, gerçek dünya örnekleriyle açıklayacak ve hem bireysel yatırımcılar hem de platformlar için kapsamlı korunma stratejileri sunacağız.

En Yaygın 10 Kripto Dolandırıcılık Yöntemi

1. Rug Pull (Likidite Çekme)

Rug pull, merkeziyetsiz finans (DeFi) ekosisteminin en yaygın dolandırıcılık türlerinden biridir. Bu yöntemde proje geliştiricileri, yeni bir token oluşturur, likidite havuzuna başlangıç sermayesi koyar ve agresif pazarlama ile yatırımcı çeker. Token fiyatı yükseldiğinde geliştiriciler tüm likiditeyi çekerek yatırımcıları değersiz tokenlarla baş başa bırakır.

Gerçek dünya örneği: 2021 yılında piyasaya sürülen Squid Game Token (SQUID), popüler dizinin ismini kullanarak kısa sürede büyük ilgi topladı. Token fiyatı birkaç gün içinde %75.000 yükseldi, ancak geliştiriciler aniden tüm likiditeyi çekerek yaklaşık 3,4 milyon dolarlık bir rug pull gerçekleştirdi. Yatırımcılar tokenlarını satamaz hale geldi çünkü akıllı sözleşmeye satış engeli kodlanmıştı.

Uyarı işaretleri:

Anonim geliştirici ekibi
Akıllı sözleşmede denetim (audit) yapılmamış olması
Likiditenin kilitlenmemiş olması
Tek bir cüzdanın toplam arzın büyük kısmını elinde tutması
Aşırı yüksek getiri vaatleri

2. Phishing Saldırıları (Sahte Cüzdan Siteleri)

Kripto alanında phishing saldırıları, kullanıcıları sahte web sitelerine yönlendirerek özel anahtarlarını, tohum kelimelerini (seed phrase) veya giriş bilgilerini çalmayı hedefler. Dolandırıcılar, popüler kripto borsalarının veya cüzdan servislerinin birebir kopyalarını oluşturarak kullanıcıları kandırır.

Gerçek dünya örneği: 2022’de yaşanan büyük çaplı bir phishing kampanyasında, sahte MetaMask ve Phantom cüzdan siteleri Google reklamları aracılığıyla dağıtıldı. Kullanıcılar arama motorunda “MetaMask” yazdığında ilk sonuç olarak sahte reklam çıkıyor, bu siteye tohum kelimelerini giren kullanıcıların cüzdanları dakikalar içinde boşaltılıyordu. Kampanya boyunca tahminen 8 milyon dolar değerinde kripto varlık çalındı.

Yaygın phishing teknikleri:

Sahte borsa ve cüzdan web siteleri (URL’de küçük harf değişiklikleri)
Sosyal medyada sahte müşteri destek hesapları
E-posta ile gönderilen sahte güvenlik uyarıları
Discord ve Telegram üzerinden sahte bot mesajları
QR kod manipülasyonu ile yönlendirme

3. Ponzi ve Piramit Şemaları

Ponzi şemaları, kripto dünyasının en eski ve en yıkıcı dolandırıcılık türlerinden biridir. Bu modelde yeni yatırımcıların parası, eski yatırımcılara “getiri” olarak ödenir. Sistem, yeni yatırımcı akışı durduğunda çöker ve son katılanlar tüm sermayelerini kaybeder.

Gerçek dünya örneği: Bitconnect, kripto tarihinin en büyük Ponzi şemalarından biri olarak tarihe geçti. Platform, otomatik ticaret botu aracılığıyla günlük %1’e varan sabit getiri vaat ediyordu. 2018’de çöktüğünde yatırımcılar yaklaşık 2,4 milyar dolar kaybetti. Kurucuları daha sonra ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) tarafından suçlandı. Türkiye’de ise benzer bir yapılanma olan ve büyük yankı uyandıran vakalar, kripto yatırımcılarının güvenini ciddi şekilde sarstı.

Ponzi belirtileri:

Garantili ve sabit yüksek getiri vaadi
Yatırımın nasıl çalıştığına dair şeffaflık eksikliği
Referans sistemi ile yeni üye getirmeye teşvik
Para çekme işlemlerinde gecikmeler
Bağımsız denetim raporunun bulunmaması

4. Pump and Dump (Şişir ve Boşalt)

Pump and dump, düşük hacimli bir kripto paranın fiyatının koordineli alımlarla ve manipülatif tanıtımlarla yapay olarak şişirilmesi, ardından organizatörlerin yüksek fiyattan satış yaparak kâr elde etmesidir. Fiyat çöktüğünde geç kalan yatırımcılar büyük zarar eder.

Gerçek dünya örneği: Sosyal medya platformlarında oluşturulan “kripto sinyal grupları” bu yöntemin en yaygın aracıdır. 2021’de Telegram üzerinden koordine edilen bir pump and dump operasyonunda, düşük piyasa değerli bir altcoin dakikalar içinde %800 yükseldi ve ardından organizatörlerin satışıyla %95 değer kaybetti. Gruba geç katılan binlerce kişi ciddi kayıplar yaşadı. SEC ve diğer düzenleyiciler bu tür grupları aktif olarak takip etmektedir.

5. Sahte ICO ve Token Satışları

Sahte ICO’lar (Initial Coin Offering), var olmayan veya hiçbir zaman geliştirilmeyecek projeler için token satışı yapılmasıdır. Profesyonel web siteleri, sahte teknik dokümanlar (whitepaper) ve uydurma ekip profilleri ile yatırımcılar kandırılır.

Gerçek dünya örneği: Centra Tech ICO’su, 2017’de ünlü isimlerin tanıtımıyla 25 milyon dolar topladı. Proje, büyük ödeme ağlarıyla ortaklık iddia ediyordu ancak bu ortaklıkların hiçbiri gerçek değildi. Ekip üyelerinin LinkedIn profilleri stok fotoğraflardan oluşturulmuştu. Kurucular sonunda dolandırıcılıktan mahkum edildi.

Sahte ICO belirtileri:

Ekip üyelerinin doğrulanamaması
Teknik dokümanın yüzeysel veya kopyalanmış olması
Gerçekçi olmayan yol haritası
Doğrulanamayan ortaklık iddiaları
Token dağılımında şeffaflık eksikliği

6. Romance Scam ve Kripto (Pig Butchering)

Pig butchering (domuz kesimi) olarak da bilinen bu yöntem, duygusal manipülasyon ile kripto dolandırıcılığını birleştirir. Dolandırıcılar sosyal medya veya tanışma uygulamaları üzerinden kurbanlarıyla uzun süreli ilişkiler kurar, güven kazandıktan sonra onları sahte kripto yatırım platformlarına yönlendirir.

Gerçek dünya örneği: FBI’ın 2023 raporuna göre, pig butchering dolandırıcılığı tek başına 3,3 milyar doların üzerinde kayba neden oldu. Tipik bir senaryoda dolandırıcı, tanışma uygulamasında kurbanla haftalarca iletişim kurar, ardından “çok kârlı” bir kripto yatırım platformu önerir. Platform başlangıçta küçük kârlar gösterir, kurban daha fazla yatırım yaptıktan sonra para çekme işlemi engellenır ve dolandırıcı ortadan kaybolur. Bu yöntem Türkiye’de de giderek yaygınlaşmaktadır.

7. Sahte Airdrop Dolandırıcılığı

Sahte airdrop’lar, kullanıcılara ücretsiz token dağıtımı vaadiyle cüzdan bilgilerini veya özel anahtarlarını ele geçirmeyi amaçlar. Dolandırıcılar, popüler projelerin airdrop yapacağını duyurarak kullanıcıları kötü amaçlı akıllı sözleşmelerle etkileşime sokar.

Gerçek dünya örneği: 2023’te yaşanan sahte Arbitrum airdrop dolandırıcılığında, gerçek airdrop tarihinden önce sahte web siteleri oluşturuldu. Bu siteler kullanıcılardan cüzdanlarını bağlamalarını ve bir akıllı sözleşmeyi onaylamalarını istedi. Sözleşmeyi onaylayan kullanıcıların cüzdanlarındaki tüm tokenlar otomatik olarak dolandırıcının adresine transfer edildi. Yüzlerce kişi bu saldırıdan etkilendi.

Sahte airdrop işaretleri:

Özel anahtar veya tohum kelimesi istenmesi
Sınırsız token harcama izni (unlimited approval) talep eden sözleşmeler
Resmi olmayan kanallardan gelen duyurular
Airdrop için ön ödeme veya gas ücreti istenmesi

8. SIM Swap ile Cüzdan Ele Geçirme

SIM swap saldırısı, dolandırıcının kurbanın telefon numarasını kendi SIM kartına aktarmasıdır. Bu sayede SMS tabanlı iki faktörlü kimlik doğrulamayı (2FA) atlayarak kripto borsa hesaplarına ve cüzdanlara erişim sağlar.

Gerçek dünya örneği: 2019’da gerçekleştirilen yüksek profilli bir SIM swap saldırısında, bir kripto yatırımcısının 23,8 milyon dolar değerinde kripto varlığı çalındı. Saldırgan, mobil operatör çalışanını ikna ederek kurbanın numarasını kendi cihazına yönlendirdi, ardından borsa hesabına erişerek tüm varlıkları transfer etti. Bu olay, SMS tabanlı 2FA’nın kripto güvenliği için yetersiz olduğunu bir kez daha kanıtladı.

Korunma yolları:

SMS yerine donanımsal güvenlik anahtarı veya kimlik doğrulama uygulaması kullanma
Mobil operatörde hesap PIN’i ve taşıma kilidi ayarlama
Borsa hesaplarında çekim için beyaz liste (whitelist) adresleri tanımlama
E-posta adresini de donanımsal anahtar ile koruma

9. Sahte Borsa ve Exchange Dolandırıcılığı

Sahte borsalar, gerçek kripto para borsalarını taklit eden veya tamamen uydurma platformlardır. Profesyonel görünümlü arayüzlere sahip bu siteler, kullanıcıları yatırım yapmaya ikna eder ancak yatırılan paralar asla geri alınamaz.

Gerçek dünya örneği: Türkiye’de 2021 yılında yaşanan Thodex vakası, sahte borsa dolandırıcılığının en çarpıcı örneklerinden biridir. Platform kurucusu, borsada ani olarak işlemleri durdurarak yurt dışına kaçtı. Yaklaşık 400.000 kullanıcı, toplam 2 milyar doları aşan kayıp yaşadı. Bu vaka, Türkiye’de kripto regülasyonu tartışmalarını hızlandıran en önemli olay oldu.

Sahte borsa işaretleri:

Düzenleyici kurum lisansının bulunmaması
Şirket bilgilerinin doğrulanamaması
Aşırı yüksek bonus ve promosyon teklifleri
Para çekme işlemlerinde sürekli teknik sorun bahanesi
Müşteri desteğine ulaşılamaması

10. Smart Contract Exploit (Akıllı Sözleşme İstismarı)

Smart contract exploit, akıllı sözleşmelerdeki güvenlik açıklarının kötü niyetli kişiler tarafından istismar edilmesidir. DeFi protokollerindeki kodlama hataları, milyonlarca dolarlık kayıplara yol açabilir.

Gerçek dünya örneği: 2022’de Wormhole köprü protokolü, akıllı sözleşmesindeki bir güvenlik açığı nedeniyle 320 milyon dolarlık exploit’e maruz kaldı. Saldırgan, doğrulama mekanizmasındaki bir hatayı kullanarak sahte imzalar oluşturdu ve büyük miktarda varlığı protokolden çekti. Yine 2022’de Ronin Network saldırısında 625 milyon dolar çalındı ve bu olay kripto tarihinin en büyük exploit’lerinden biri olarak kayıtlara geçti.

Kripto Dolandırıcılığı Tespitinde Zorluklar

Kripto para dolandırıcılığı tespiti, geleneksel finansal dolandırıcılığa kıyasla çok daha karmaşık bir süreçtir. Bunun başlıca nedenleri şunlardır:

Takma ad (pseudonymous) yapı: Blockchain adresleri gerçek kimliklerle doğrudan ilişkilendirilememektedir. Bir cüzdan adresinin arkasındaki kişiyi tespit etmek kapsamlı analiz gerektirir.
Sınır ötesi operasyonlar: Dolandırıcılar farklı ülkelerdeki borsaları ve cüzdanları kullanarak fonları aklar. Uluslararası hukuki işbirliği süreci yavaş ve karmaşıktır.
Mikser ve gizlilik protokolleri: Tornado Cash gibi mikser hizmetleri, işlem izini karıştırarak fonların takibini zorlaştırır.
Zincirler arası köprüler: Fonlar farklı blockchain ağları arasında transfer edilerek izleme çalışmaları karmaşıklaştırılır.
Merkezi olmayan borsalar (DEX): KYC gerektirmeyen DEX platformları, dolandırıcıların kimlik doğrulama olmadan işlem yapmasına olanak tanır.
Hız faktörü: Kripto transferleri dakikalar içinde tamamlanır, geleneksel bankacılık sistemlerindeki gibi işlem dondurma mekanizmaları bulunmaz.

Blockchain Analizi ve İzleme

Kripto dolandırıcılığıyla mücadelede blockchain analizi kritik bir rol oynamaktadır. Her ne kadar blockchain adresleri anonim olsa da, tüm işlemler halka açık ve değiştirilemez bir kayıt defterinde tutulur. Bu şeffaflık, uzman analistlere ve gelişmiş yazılımlara önemli bir avantaj sağlar.

Blockchain Analiz Teknikleri

Kümeleme (clustering) analizi: Aynı kişi veya kuruluşa ait olduğu değerlendirilen birden fazla adresi gruplandırarak fon akışını izleme.
Heuristik yöntemler: Ortak girdi analizi, değişiklik adresi tespiti gibi tekniklerle adres sahipliğini belirleme.
Grafik analizi: İşlem ağını görselleştirerek şüpheli kalıpları, döngüsel transferleri ve hub adresleri tespit etme.
Risk skorlama: Her adrese dolandırıcılık geçmişi, karanlık ağ bağlantıları ve şüpheli davranış kalıplarına göre risk puanı atama.
Gerçek zamanlı izleme: Bilinen dolandırıcılık adreslerinden yapılan transferleri anlık olarak takip etme ve uyarı oluşturma.

Kolluk kuvvetleri ve düzenleyici kurumlar, bu analiz araçlarını kullanarak milyarlarca dolarlık kripto dolandırıcılığı vakalarını aydınlatmıştır. ABD Adalet Bakanlığı’nın 2022’de ele geçirdiği 3,6 milyar dolarlık Bitfinex hack fonları, blockchain analizinin gücünü gösteren önemli bir örnektir.

Bireysel Yatırımcılar İçin Korunma Rehberi

Kripto para dolandırıcılığından korunmak için bireysel yatırımcıların dikkat etmesi gereken temel kurallar şunlardır:

Araştırma ve Doğrulama

DYOR (Do Your Own Research): Yatırım yapmadan önce projenin teknik dokümanını, ekibini, kod deposunu ve topluluk aktivitesini detaylı inceleyin.
Ekip doğrulaması: Proje ekibinin LinkedIn profillerini, geçmiş projelerini ve sektördeki itibarını araştırın.
Akıllı sözleşme denetimi: Yatırım yapacağınız DeFi projesinin bağımsız güvenlik denetiminden (audit) geçip geçmediğini kontrol edin.
Topluluk analizi: Projenin sosyal medya hesaplarındaki etkileşimlerin organik mi yoksa sahte mi olduğunu değerlendirin.

Güvenlik Önlemleri

Donanım cüzdanı kullanımı: Büyük miktardaki kripto varlıkları soğuk cüzdanda (hardware wallet) saklayın.
İki faktörlü kimlik doğrulama: SMS yerine donanımsal güvenlik anahtarı veya kimlik doğrulama uygulaması tercih edin.
Ayrı cüzdan stratejisi: DeFi etkileşimleri için ana varlık cüzdanınızdan ayrı bir cüzdan kullanın.
URL doğrulama: Borsa ve cüzdan sitelerine her zaman doğrudan adres çubuğuna yazarak veya yer imlerinden erişin.
Token onaylarını kontrol etme: Akıllı sözleşmelere verdiğiniz harcama izinlerini düzenli olarak gözden geçirin ve gereksiz olanları iptal edin.
Tohum kelimelerinin güvenliği: Seed phrase’inizi asla dijital ortamda saklamayın, çevrimdışı ve güvenli bir yerde muhafaza edin.

Yatırım Disiplini

Kaybetmeyi göze alabileceğinizden fazlasını yatırmayın.
“Garantili getiri” vaat eden hiçbir projeye güvenmeyin.
FOMO (kaçırma korkusu) ile acele kararlar almayın.
Tanımadığınız kişilerin yatırım tavsiyelerine kulak asmayın.
Sosyal medyada ünlü kişilerin kripto tanıtımlarına şüpheyle yaklaşın.

Platformlar İçin Fraud Önleme Stratejileri

Kripto borsaları ve finans platformları, kripto para dolandırıcılığıyla mücadelede ön cephede yer almaktadır. Etkili bir fraud önleme sistemi aşağıdaki bileşenleri içermelidir:

KYC (Müşterini Tanı) Süreçleri

Kimlik doğrulama: Çok katmanlı kimlik doğrulama süreçleri uygulayarak sahte hesap açılmasını engelleyin.
Biyometrik doğrulama: Canlılık tespiti içeren yüz tanıma teknolojisi ile deepfake girişimlerini önleyin.
Sürekli izleme: Kayıt sonrasında da kullanıcı davranışlarını analiz ederek şüpheli değişiklikleri tespit edin.
Risk tabanlı yaklaşım: Düşük riskli kullanıcılar için basitleştirilmiş, yüksek riskli kullanıcılar için güçlendirilmiş doğrulama uygulayın.

AML (Kara Para Aklamayla Mücadele) Uygulamaları

İşlem izleme: Gerçek zamanlı işlem izleme sistemleri ile anormal kalıpları tespit edin.
Yaptırım taraması: Kullanıcı adreslerini OFAC, AB yaptırım listeleri ve diğer kara listelerle karşılaştırın.
Şüpheli işlem raporlama: Belirlenen eşiklerin üzerindeki veya şüpheli görülen işlemleri ilgili otoritelere raporlayın.
Blockchain analiz entegrasyonu: Gelen ve giden kripto transferlerinin kaynaklarını ve hedeflerini analiz edin.

İşlem İzleme ve Anomali Tespiti

Makine öğrenmesi modelleri: Kullanıcı davranış kalıplarını öğrenerek anomalileri otomatik tespit eden yapay zeka sistemleri kurun.
Hız kuralları: Belirli zaman dilimlerinde yapılabilecek işlem sayısı ve tutarını sınırlayın.
Coğrafi analiz: IP adresi, cihaz parmak izi ve konum verilerini çapraz kontrol edin.
Ağ analizi: Birbiriyle bağlantılı şüpheli hesapları tespit etmek için grafik tabanlı analiz uygulayın.

Türkiye’de Kripto Regülasyonu

Türkiye’de kripto para dolandırıcılığıyla mücadele kapsamında düzenleyici çerçeve önemli gelişmeler kaydetmektedir.

SPK (Sermaye Piyasası Kurulu)

SPK, kripto varlık hizmet sağlayıcılarının lisanslanması ve denetlenmesi konusunda yetkili kılınmıştır. 2024 yılında yürürlüğe giren düzenlemeler kapsamında:

Kripto varlık platformlarının SPK’dan faaliyet izni alması zorunlu hale getirilmiştir.
Platformların minimum sermaye yükümlülüğü belirlenmiştir.
Müşteri varlıklarının platformun kendi varlıklarından ayrı tutulması şartı getirilmiştir.
Düzenli denetim ve raporlama yükümlülükleri tanımlanmıştır.

MASAK (Mali Suçları Araştırma Kurulu)

MASAK, kripto varlık sektöründe kara para aklama ve terörün finansmanıyla mücadelede kilit rol oynamaktadır:

Kripto varlık hizmet sağlayıcıları MASAK yükümlüsü kuruluşlar arasına alınmıştır.
Belirli eşiklerin üzerindeki işlemlerde kimlik tespiti zorunluluğu uygulanmaktadır.
Şüpheli işlem bildirimi (ŞİB) yükümlülüğü getirilmiştir.
Platformlar, müşteri bilgilerini ve işlem kayıtlarını belirli süre boyunca saklamakla yükümlüdür.

FATF Travel Rule ve Uluslararası Uyum

FATF (Mali Eylem Görev Gücü) Travel Rule, kripto varlık transferlerinde gönderici ve alıcı bilgilerinin paylaşılmasını zorunlu kılan uluslararası bir düzenlemedir. Bu kural, kripto dolandırıcılığıyla mücadelede kritik bir araç olarak öne çıkmaktadır.

Travel Rule’un Temel Gereksinimleri

Belirli bir eşiğin üzerindeki kripto transferlerinde gönderici ve alıcının kimlik bilgileri, transferle birlikte iletilmelidir.
Kripto varlık hizmet sağlayıcıları (VASP), bu bilgileri güvenli bir şekilde birbirleriyle paylaşmalıdır.
Yaptırım listelerindeki kişi ve kuruluşlarla yapılan işlemler engellenmeli ve raporlanmalıdır.

Türkiye’nin Uyum Süreci

Türkiye, FATF gri listesinden çıkış sürecinde kripto varlık düzenlemelerini önemli bir öncelik olarak belirlemiştir. Travel Rule uyumu kapsamında:

Kripto varlık platformları, belirli tutarın üzerindeki transferlerde kimlik bilgisi paylaşım yükümlülüğüne tabidir.
Kişisel olmayan (unhosted) cüzdanlara yapılan transferlerde ek doğrulama prosedürleri uygulanmaktadır.
Uluslararası VASP’larla bilgi paylaşım protokolleri geliştirilmektedir.

Sonuç: Bilinçli Yatırımcı, Güvenli Ekosistem

Kripto para dolandırıcılığı, dijital varlık ekosisteminin en büyük tehditlerinden biri olmaya devam etmektedir. Rug pull’dan phishing’e, Ponzi şemalarından smart contract exploit’lere kadar uzanan geniş bir tehdit yelpazesi, hem bireysel yatırımcıları hem de kurumları hedef almaktadır.

Ancak bilinçli yatırımcı davranışları, güçlü güvenlik önlemleri, etkili düzenleyici çerçeveler ve gelişmiş blockchain analiz araçları, bu tehditlere karşı güçlü bir savunma hattı oluşturmaktadır. Türkiye’de SPK ve MASAK’ın attığı adımlar, FATF Travel Rule uyumu ve platform düzeyinde uygulanan KYC/AML prosedürleri, kripto ekosisteminin güvenliğini artırmaya yönelik önemli gelişmelerdir.

Unutulmamalıdır ki kripto alanında en etkili korunma yöntemi, bilgi ve farkındalıktır. Yatırım yapmadan önce kapsamlı araştırma yapmak, güvenlik en iyi uygulamalarını takip etmek ve “gerçek olamayacak kadar iyi” vaatlere şüpheyle yaklaşmak, dolandırıcılık riskini büyük ölçüde azaltacaktır.