Cüzdan İmzası Güvenli mi? Kötü Amaçlı Mesajları Onaylamadan Önce Kontrol Listesi

Cüzdan imzası, tek başına güvenli veya tehlikeli değildir; güvenlik, imzalanan verinin ne istediğine ve isteğin hangi uygulamadan geldiğine bağlıdır. Bir işlemi onaylamak varlık transferi başlatabilirken, mesaj imzalamak bazen yalnızca cüzdan sahipliğini kanıtlar; ancak kötü hazırlanmış mesajlar ya da sınırsız izin talepleri ciddi kayıplara yol açabilir.

İşlem onayı ile mesaj imzası arasındaki fark

İşlem onayında cüzdan, blokzincire gönderilecek bir hareketi onaylar. Alıcı adresi, gönderilecek varlık, miktar, ağ ücreti ve sözleşme etkileşimi gibi bilgiler işlemin parçasıdır. İşlem madenci veya doğrulayıcılar tarafından kabul edildiğinde hareket çoğu durumda geri alınamaz.

Mesaj imzasında ise kullanıcı, cüzdanın belirli bir metni ya da yapılandırılmış veriyi imzalayabildiğini gösterir. Bu yöntem giriş yapma, görev doğrulama veya cüzdan sahipliğini kanıtlama amacıyla kullanılabilir. Fakat mesajın içinde token harcama izni, NFT koleksiyonunun tamamına erişim veya başka bir yetki talebi bulunabilir. Bu nedenle ekranda işlem ücreti görünmemesi, isteğin risksiz olduğu anlamına gelmez.

Cüzdan imzası ekranında hangi ifadeler risk taşır?

Bir cüzdan imzası isteğinde metin okunamıyorsa veya cüzdan yalnızca anlamsız karakterler gösteriyorsa onay vermek yerine işlemi durdurun. Özellikle donanım cüzdanlarında “blind signing” olarak görülebilen, içeriği anlaşılmadan yapılan imzalar kullanıcıyı sözleşmenin gerçek talebini göremeden karar vermeye zorlar.

Riskli olabilecek işaretler şunlardır:

• Permit, Permit2 veya benzeri ifadelerle token harcama yetkisi istenmesi.
• SetApprovalForAll ifadesiyle bir NFT koleksiyonundaki varlıkların tamamına erişim verilmesi.
• Yetkinin belirli bir süreyle sınırlı görünmemesi veya harcama miktarının çok yüksek olması.
• Mesajda tanımadığınız bir alan adı, sözleşme adresi ya da zincir bilgisinin bulunması.
• “Ödül”, “airdrop” veya “doğrulama” gerekçesiyle acil imza istenmesi.
• İmza sonrasında cüzdandaki bakiyeyi, koleksiyonları veya hesabı kaybetme tehdidi yapılması.

Onaylamadan önce uygulanacak kontrol listesi

İmza isteğini yalnızca bağlantının tanıdık görünmesine bakarak değerlendirmeyin. Kötü niyetli siteler, gerçek projelere benzeyen alan adları ve arayüzler kullanabilir. Cüzdan imzası vermeden önce aşağıdaki sırayı izlemek, kararın hangi veriye dayandığını netleştirir:

1. Site adresini kontrol edin: Alan adını karakter karakter inceleyin. Ek tire, farklı uzantı, benzer görünen harf veya yönlendirme varsa sayfayı kapatın.
2. İmza türünü okuyun: İstenen şey basit bir metin mi, yoksa permit, transfer, approval ya da NFT yetkisi mi? Cüzdan ekranı açıklama göstermiyorsa imzalamayın.
3. Yetkinin kapsamını inceleyin: Hangi token veya NFT için, hangi sözleşmeye ve ne kadar süreyle izin verildiğine bakın. Sınırsız miktar veya süresiz yetki risk işaretidir.
4. Mesajdaki alanları karşılaştırın: Alan adı, zincir, nonce, son geçerlilik tarihi ve sözleşme adresi birbirini desteklemeli. Beklemediğiniz bir ağ veya tarih görürseniz devam etmeyin.
5. İsteğin kaynağını bağımsız doğrulayın: Bağlantının içindeki yönlendirmeyi takip etmek yerine projenin bilinen adresini kendiniz yazın. Sosyal medya mesajındaki tek tıklamalı bağlantıya güvenmeyin.
6. Şüphede işlemi reddedin: İmza reddetmek genellikle cüzdanı tehlikeye atmaz. Baskı altında verilen onay ise geri alınamayacak bir yetki oluşturabilir.

İmza verildiyse hangi adımlar atılmalı?

Şüpheli bir cüzdan imzası verdiyseniz önce yeni bir işlem yapmayı durdurun ve cüzdanın hangi yetkiyi oluşturduğunu belirleyin. Sözleşme onayı veya NFT erişimi verilmişse ilgili yetkiyi güvenilir bir blokzincir gezgini ya da cüzdanın bilinen izin yönetimi ekranı üzerinden iptal etmeyi değerlendirin. İptal işlemleri ağ ücreti gerektirebilir; doğru ağda ve doğru sözleşme için işlem yaptığınızdan emin olun.

Özel anahtarınızı veya kurtarma kelimelerinizi hiçbir siteye girmediyseniz sorun yalnızca verilen yetkiyle sınırlı olabilir. Ancak bu bilgiler bir yere yazıldıysa ya da cüzdanın kötü amaçlı bir uygulamaya aktarıldığından şüpheleniyorsanız yeni ve güvenilir bir cüzdana varlıkları taşımak daha kapsamlı bir güvenlik planının parçası olabilir. Kurtarma kelimelerini kimseyle paylaşmayın; bir site veya destek hesabı bunları istiyorsa dolandırıcılık ihtimali yüksektir.

Güvenli imza için pratik karar kuralı

Cüzdan imzası ekranında neyi imzaladığınızı tek cümleyle açıklayamıyorsanız onay vermeyin. İşlem ücreti bulunmaması, sitenin güvenilir olduğunu kanıtlamaz; anlaşılır mesaj, doğru alan adı ve sınırlı yetki birlikte değerlendirilmelidir. Kullanıcı, varlık hareketi ya da izin kapsamını doğrulayamıyorsa en güvenli seçenek isteği reddetmektir.