EIP-7702 ve hesap yetkilerini anlatan sayfanın ekran görüntüsü

Sadece bir bağlantıya tıkladığını sanırsın, cüzdan boşalmıştır

Çoğu kişi NFT ile ilk kez "süreli ücretsiz mint", "kazandın, tıkla al" gibi mesajlar peşinde tanışır; girer, cüzdanı bağlar, kendi anlamadığı bir işlemi imzalar, dönüp baktığında cüzdanın tamamen boşaldığını görür. NFT dünyasında müşteri hizmeti de geri alma düğmesi de yoktur; yanlış imza atıldığında geri almak neredeyse imkânsızdır. Oltalama ve hırsızlık kaynaklı kayıplar az değil, üstelik mağdurların çoğu sessiz kalıp hiç bildirmiyor. Bu hilelerin nasıl göründüğünü bilmek, kendini korumanın ilk adımıdır.

İçindekiler
  1. Rug Pull (proje ekibinin kaçması)
  2. Taklit NFT (kopya seriler)
  3. Oltalama bağlantısı (sahte site / sahte Discord)
  4. Kötü niyetli sözleşme yetkisi
  5. Sahte airdrop
  6. Ünlü reklamı dolandırıcılığı
  7. Wash Trading (sahte hacim)
  8. Topluluk dolandırıcılığı (sahte destek)
  9. İmza oltalaması: gas yok, iz yok
  10. Adres zehirlenmesi: yapıştırmadan önceki son tuzak
  11. Ayda beş dakikalık yetki kontrolü
  12. Kaptırdın mı? İlk otuz dakikanın sırası
  13. Güvenli davranış listesi
  14. Sürekli sorulanlar

1. Rug Pull (proje ekibinin kaçması)

Rug Pull kelimesi birebir "halıyı çekmek" demektir; halının üstünde durursun, biri halıyı bir anda çeker, düşersin. NFT dünyasında proje ekibi önce gaz verir, vaatlerle hava atar, çok sayıda NFT satar; havuz dolunca doğrudan kaçar, tüm sosyal hesaplar silinir, site kapanır, Discord sunucusu dağılır.

Benzetme: 500 daireyi maketten satıp bütün parayı toplayan, sonra satış ofisini bile söküp ortadan kaybolan bir müteahhit düşün. Rug Pull, "maketten kaçışın" NFT versiyonudur.

Gerçek örnek

2022'deki Frosties NFT projesi: ekip metaevren oyunu, ödül çekilişi gibi bir dizi vaatte bulundu; Ocak 2022'de 8.888 NFT'yi sattıktan sonra yaklaşık 1,1 milyon dolarla ortadan kayboldu. Aynı yılın Mart ayında iki kurucu Los Angeles'ta tutuklandı ve ABD Adalet Bakanlığı dolandırıcılık ve kara para aklama suçlamasıyla dava açtı; ama çoğu Rug Pull dolandırıcısı hiç yakalanmaz.

Kaçıştan önceki beş işaret

2. Taklit NFT (kopya seriler)

OpenSea gibi pazaryerlerinde Bored Ape aratınca birbirine benzeyen on küsur seri bulabilirsin. Dolandırıcılar tanınmış projelerin görsel ve adını kopyalar, kopya sözleşme oluşturur, ucuza satarak sana kelepir bulduğunu düşündürür.

Gerçek BAYC taban fiyatı zirvede 100 ETH'yi geçmişti; biri sana 0,05 ETH'ye alabileceğini söylüyorsa o kesin sahtedir.

Baktığın serinin orijinal olduğu nasıl anlaşılır

İpucu: satın alma sayfasına her zaman projenin resmi bağlantısından gir, pazaryeri aramasından değil. Arama sonuçlarında sahte çok fazla.

3. Oltalama bağlantısı (sahte site / sahte Discord)

Bu, NFT alanındaki en sık hiledir. Dolandırıcı gerçeğine neredeyse birebir benzeyen bir site yapar, alan adı tek bir karakter farklıdır (örneğin opensea.io yerine 0pensea.io); sonra bunu Discord özel mesajı, Twitter yorumu, oltalama e-postası gibi kanallarla yayar.

Girip cüzdanı bağlarsın, NFT mintlediğini sanırken aslında cüzdanındaki tüm NFT'leri dolandırıcıya transfer eden bir işlemi imzalamış olursun.

URL kontrol yöntemi

  1. Elle yaz: başkasının gönderdiği bağlantıya tıklama, resmi adresi tarayıcı çubuğuna kendin yaz
  2. Alan adını kontrol et: l ile 1, o ile 0, rn ile m farkına dikkat et
  3. Protokolü kontrol et: mutlaka https:// olmalı, ama https güvenli olduğu anlamına gelmez; dolandırıcı da SSL sertifikası alabilir
  4. Yer imi kullan: sık kullandığın NFT sitelerini tarayıcı yer imine ekle, sonra hep oradan gir
Tehlike işareti: Discord'da biri sana özel mesajla "kazandın", "ücretsiz mint süreli açıldı", "airdrop almak için tıkla" diyorsa, %100 dolandırıcılıktır. Resmi hesaplar seni özel mesajla bilgilendirmez.

4. Kötü niyetli sözleşme yetkisi (setApprovalForAll)

Bu, teknik olarak en yüksek ve en sinsi hiledir. Bir akıllı sözleşmeyle etkileşince MetaMask bir yetki isteği gösterir. Çoğu kişi içeriğe bakmadan "onayla"ya basar; ama onayladığın şey setApprovalForAll ise, tüm serinin transfer yetkisini karşı tarafa vermiş olursun.

Dolandırıcı yetkiyi alınca cüzdanındaki NFT'lerin tamamını dilediği an, bir daha onay istemeden transfer edebilir.

Önleme yöntemi

Benzetme: setApprovalForAll, ev anahtarını bir yabancıya verip "istediğin an gelip eşyalarımı taşıyabilirsin" demek gibidir. O an sorun görünmese bile karşı taraf istediği an evini boşaltabilir.

Blok gezgininde hangi alanlara bakılır

Bir yetkinin ya da işlemin sorunlu olup olmadığını gerçekten doğrulamak istiyorsan, karşı tarafın açıklamasını dinlemek yerine Etherscan üzerinde kendin karşılaştır:

5. Sahte airdrop (cüzdanda aniden beliren NFT)

Bir gün cüzdanını açarsın, hiç almadığın birkaç NFT görürsün; adı "xxx.com'da 10 ETH al" gibi bir şey ya da çok değerli görünen bir seri olabilir. Sakın tıklama.

Bu NFT'lerin akıllı sözleşmesine kötü niyetli kod gömülmüş olabilir. Satmaya, transfer etmeye, hatta yalnızca ayrıntıya bakmaya (sözleşme etkileşimi tetiklenirse) çalışınca setApprovalForAll tetiklenebilir ya da varlığın doğrudan çalınabilir.

Doğru yaklaşım

Dikkat: her airdrop dolandırıcılık değildir. Tanınmış projelerin (ENS, Blur gibi) airdrop'u genelde resmi kanallardan duyurulur ve toplulukça doğrulanır. Fark şudur: gerçek airdrop'u resmi siteden kendin gidip alırsın, davetsiz biçimde cüzdanında belirmez. Gerçek ve sahte airdrop'u ayırt etmek, sık oltalama düzenlerini görmek için airdrop dolandırıcılığı rehberini oku.

6. Ünlü reklamı dolandırıcılığı (ünlü taklidiyle tanıtım)

Dolandırıcılar ünlülere çok benzeyen sosyal medya hesapları açar ya da yorum kısmında ünlü gibi davranıp NFT projesi tanıtır. Daha ileri yöntem Deepfake videodur; "ünlü"nün ağzından "bu projeye yatırım yaptım" dedirtir.

2022'de NFT projesi tanıttığı için mahkemeye verilen az ünlü olmadı; bunların arasında gerçekten para alıp çöp projeyi tanıtanlar da vardı.

Doğrulama yöntemi

7. Wash Trading (sahte hacim)

Proje ekibi ya da balina, birden çok cüzdan açar, kendi kendine işlem yapar ve "bu seri çok hareketli" yanılsamasını yapay olarak yaratır. Bir NFT'nin 24 saatte 500 ETH işlem gördüğünü görür, gerçek talep sanır, dalarsın ve enayi yerine konursun.

Şişirilmiş hacim neye benzer

Benzetme: yeni açılan bir restoranın 50 kişiyi tutup sıraya girer gibi yaptırması, geçenlerin "burası çok tutulmuş" sanmasını sağlaması gibi. İşler iyi görünür, oysa hepsi figüran.

8. Topluluk dolandırıcılığı (Discord / Telegram sahte destek)

Discord'da bir soru sorarsın, birkaç dakika sonra özel mesaj gelir: "Ben resmi destek görevlisiyim, sorununu çözeyim. Lütfen seed phrase'ini gönder / cüzdanını doğrulamak için bu bağlantıya tıkla."

Tebrikler, bir dolandırıcıyla karşılaştın.

Temel kural

Bunu hatırlamak yeter: resmi hesaplar sana asla özelden yazmaz.
İster Discord, ister Telegram, ister Twitter olsun; sana ilk yazan her "destek", "yönetici", "yetkili" dolandırıcıdır. Resmi duyurular yalnızca resmi kanalda yayımlanır.

9. İmza oltalaması: gas yok, iz yok

Yukarıdaki sekizin çoğu senden bir işlem yapmanı ister. Bu istemez, ve tam da bu yüzden fark edilmesi en zor olanıdır: imzaladıktan sonra cüzdanında hiçbir şey değişmez.

Devam etmeden önce cüzdanın açtığı iki şeyi ayır, çünkü riskleri epey farklı:

Karşılaştırmaİşlemİmza
Gas alır mıEvet, tahmini ücret görünürHayır, o alan hiç yok
Zincire yazılır mıEvet, sonradan bakabilirsinHayır, iz bırakmaz
Ne zaman çıkarAlım, transfer, yetki vermeSiteye giriş, listeleme, Permit yetkisi
Sonradan fark edilir miEvet, geçmişte dururNeredeyse hiç

Tam da ücretsiz olduğu ve iz bırakmadığı için imza daha tehlikelidir. Sana «uygunluk doğrulaması» diye imza attırırlar, oysa onayladığın şey NFT'ni neredeyse bedavaya listeleyen bir satış emridir. Dolandırıcı bunu pazara sunar, satış gerçekleşir, ve zincirde senin onay verdiğine dair hiçbir kayıt bulunmaz.

İmza oltalaması nasıl fark edilir

Nasıl korunulur

10. Adres zehirlenmesi: yapıştırmadan önceki son tuzak

Bu yöntem yetkini çalmaz. Elini kandırır.

Dolandırıcı cüzdanına sıfır tutarlı ya da sahte tokenli bir transfer gönderir, ve karşı tarafın adresi senin sık kullandığın adresle ilk ve son birkaç karakterde birebir aynıdır, sadece ortası farklıdır. Amaç tek: bir dahaki transferde işlem geçmişinden «tanıdık görünen» adresi kopyalayasın.

Adres zehirlenmesini anlatan sayfa, işlem geçmişine sızdırılmış sahte adresi gösteriyor
İki yaygın biçimi: sahte tokenli transfer ve sıfır tutarlı transfer. 2026-09 tarihli ekran görüntüsü, Revoke.cash açıklama sayfasından. Kırmızıyla işaretli satır, geçmişe sokuşturulan sahte adres.

Gerçekten işe yarayanlar

Biçimden emin değilsen buradaki Ethereum adres doğrulayıcısını kullanabilirsin. Cihazında çalışır, hiçbir şey göndermez. Ama açık olalım: biçimi kontrol eder, adresin kime ait olduğunu değil.

Ayda beş dakikalık yetki kontrolü

Yukarıdakilerin hepsi içinde kazandırması en yüksek alışkanlık tek: kendi imzaladığın yetkileri ayda bir temizlemek.

Verilen yetkilerin tek tek nasıl görüntülenip iptal edileceğini gösteren açıklama sayfası
Yetki iptaline dair açıklama sayfası, 2026-09 tarihli ekran görüntüsü. Bu tür araçların arayüzü sürümle değişir, işlem anında karşında duran sayfayı esas al.
  1. Önce alan adını harf harf doğrula ve arama reklamından girme. Bu tür araçların taklidi çok
  2. Cüzdanı bağla, önce sadece bak: o adres için hâlâ geçerli tüm yetkiler listelenir
  3. Tek soruyla ele: bunu neden verdiğimi hatırlıyor muyum? Hatırlamıyorsan iptal listesine
  4. Önce setApprovalForAll: kapsamı en geniş olan, iptali en çok kazandıran
  5. Tek tek iptal et: her iptal gas isteyen bir zincir işlemidir, o yüzden ağın sakin olduğu bir zamanı seç
  6. Bu arada eski listelemeleri de temizle, kullandığın pazarlarda
İptal her şeyin çaresi değil. Başkasına verdiğin izni geri alır. Ama sızan şey kurtarma ifadesiyse, o kişi zaten cüzdanın sahibidir ve iptalin bir anlamı kalmaz. O durumun tek bir yolu var, bir sonraki bölümde.

Kaptırdın mı? İlk otuz dakikanın sırası

Önce sevimsiz kısım: vakaların büyük çoğunluğunda geri alınamıyor. Zincir üstü transfer geri alınmaz, adresler anonimdir, gerçekten kurtarılanlar ise genelde kolluk kuvvetinin girdiği büyük dosyalar.

Yine de erken fark edilirse kurtarılacak şey kalır. Sıra önemli, ve çoğu kişi tam da ilk adımda yanılıyor.

  1. Önce taşı, önce iptal etme. İptal ağda sıraya girer, karşı tarafın betikleri senden hızlı olabilir. Doğru ilk adım, kalan varlıkları tamamen yeni bir cüzdana taşımaktır: yeni kurtarma ifadesi, yeni adres, senin başka bir eski adresin değil
  2. Ne sızdığını belirle. Tek bir kötü niyetli yetkiyse cüzdan değiştirip iptal etmek yeter. Ama kurtarma ifadesi bir yere yazıldıysa, ekran görüntüsü alındıysa ya da buluta veya sohbete kaydedildiyse, o cüzdan artık senin değil ve kalıcı olarak bırakılmalı
  3. Varlıklar güvendeyken yetkileri iptal et, acele etmeden
  4. Kanıtları sakla: işlem hash'i, saat ve karşı adres
  5. Resmî kanallardan bildir, projeye ve pazara. Bazıları çalınan seriyi işaretler, ama geri geleceğine bel bağlama
  6. Suç duyurusunda bulun: Türkiye'deysen ekran görüntüleri, hash'ler ve karşı adreslerle birlikte Cumhuriyet Başsavcılığı'na ya da en yakın polis veya jandarma birimine başvur; oltalama sitesinin adresini USOM'a (usom.gov.tr) bildirebilirsin. Varlık bir borsadan gönderildiyse aynı bilgilerle o borsanın destek kaydına da yaz; karşı adres bir borsaya aitse hesap dondurulabilir, ama bu garanti değildir. Başka bir ülkedeysen o ülkenin polisinin çevrimiçi dolandırıcılık bildirim sayfasını kullan
İkinci bir dolandırıcı dalgası gelecek. Kaptırdığını herhangi bir açık yerde söylediğin anda birileri özelden yazıp «varlıklarını geri getirelim» ya da «zincir üstü adli analiz ekibiyiz» diyecek, peşin ücret isteyecek veya cüzdanı yeniden bağlatmaya çalışacak. Bu, doğrudan mağduru hedefleyen bir dolandırıcılık. Bir kez bile muhatap olma. Gerçek zincir analizi kurumsal bir hizmettir, özelden müşteri aramaz.

Güvenli davranış listesi

Aşağıdaki alışkanlıkları DNA'na işle; en yaygın dolandırıcılıkların çoğundan kaçınırsın:

  • Seed phrase / özel anahtarı asla paylaşma, kimseyle, hiçbir durumda
  • Özel mesajdaki bağlantılara tıklama, karşı taraf kim olduğunu söylerse söylesin
  • Adresi elle yaz ya da yer imi kullan, arama motorundan veya sosyal medyadan bağlantıya tıklama
  • İşlemden önce MetaMask penceresini dikkatli oku, neyi imzaladığını gör
  • Revoke.cash ile yetkileri düzenli kontrol et, ayda en az bir kez
  • Sıcak ve soğuk cüzdanı ayır, değerli varlıkları soğuk cüzdanda tut, bkz. güvenli saklama rehberi
  • Cüzdandaki kaynağı belirsiz NFT'leri yok say, tıklama, etkileşme
  • Proje ekibinin kimliğini doğrula, ekibin anonim olması tehlike işaretidir
  • FOMO ile dürtüsel hareket etme, dolandırıcı en çok aciliyet yaratmayı sever
  • Discord'da yabancı özel mesajını kapat, sunucu gizlilik ayarlarından

Sürekli sorulanlar

Dolandırıldıysam kaybımı geri alabilir miyim?

Büyük çoğunlukla geri alınamaz. Blockchain işlemleri geri döndürülemez ve dolandırıcılar genelde anonim cüzdan kullanır; şikâyet etsen bile izini sürmek çok zordur. Birkaç büyük davada kolluk devreye girip failleri yakaladı; örneğin Frosties'in iki kurucusu 2022'de tutuklandı. Ama failin yakalanması paranın geri geleceği anlamına gelmez, sıradan kullanıcı için umut çok az. Yine de suç duyurusunda bulunmak ve kanıtları saklamak, ileride bir dosya açılırsa senin kaydının olmasını sağlar.

Bazı şirketler (Chainalysis gibi) zincir üstü izleme hizmeti verir ama ücreti yüksektir, genelde yalnızca kurumsal müşteriler kullanabilir. Önlem her zaman telafiden önemlidir.

Bir NFT projesinin dolandırıcılık olup olmadığını nasıl kontrol ederim?

Yüzde yüz bir yöntem yok ama şunları kontrol edebilirsin:

  1. Ekip kimliğini açıkladı mı (doxxed), LinkedIn'de gerçek kişiler bulunabiliyor mu
  2. Sözleşme kodu açık kaynak mı ve üçüncü tarafça denetlenmiş mi (CertiK, SlowMist gibi)
  3. Topluluk etkileşimi gerçek mi, Discord'da proje mi tartışılıyor yoksa sadece "GM", "LFG" mi var
  4. Yol haritası makul mu, 5 kişilik ekip 3A oyun mu vaat ediyor? İnanma
  5. Tanınmış yatırımcı ya da ortak desteği var mı, ama gerçekliğini de doğrula

Yukarıdaki bilgilerin hepsi şeffaf değilse projenin riski çok yüksektir. Daha fazlası için proje değerlendirme rehberini incele.

Donanım cüzdanı dolandırılmayı önler mi?

Donanım cüzdanı (Ledger, Trezor gibi) özel anahtarın çalınmasını önler; bilgisayarın truva virüsüyle ele geçse bile saldırgan donanım cüzdanındaki özel anahtarı çıkaramaz.

Ama donanım cüzdanı kötü niyetli bir işlemi kendi elinle imzalamanı önleyemez. Bir oltalama sitesinde donanım cüzdanıyla setApprovalForAll onayladıysan NFT yine transfer edilir. Donanım cüzdanı "teknik düzeyde güvenliği" korur, "muhakeme düzeyinde güvenliği" değil.

O yüzden en iyi uygulama: donanım cüzdanı + güvenlik bilinci, ikisi de şart.

Cüzdana düşen tanımadığım NFT'yi silebilir miyim?

Bir NFT'yi zincirden silemezsin, ama silmen de gerekmez. Doğru yaklaşım onu görmezden gelmektir: çoğu cüzdan ve pazaryeri onu gizleme ya da spam işaretleme imkânı sunar, gözüne batmaz.

Onu transfer etmeye, satmaya ya da getirdiği bağlantıya tıklamaya çalışma; etkileşimin kendisi bir tuzağı tetikleyebilir. Almak kendiliğinden bir şey kaybettirmez; tehlike yalnızca onunla etkileştiğinde başlar. Bunu daha ayrıntılı görmek için airdrop dolandırıcılığı rehberine bakabilirsin.

Onay iptali ücretli mi, ne sıklıkla yapmalı?

İptal zincir üstünde bir işlem olduğu için küçük bir ağ ücreti çıkar. Onay listeni birkaç ayda bir, ya da çok sayıda yeni siteyi denediğin bir dönemin ardından gözden geçir ve kullanmadıklarını kaldır.

Gaz harcamayan bir imza zarar verebilir mi?

Verebilir. Bazı imzalar o anda hiçbir şeyi hareket ettirmez ama başkasına varlıklarını sonradan taşıma yetkisi tanır. Doğru soru ne kadar tuttuğu değil, o imzanın neye izin verdiğidir.

Doğrulama için resmî sayfalar

Bu yazıdaki doğrulama adımları ve araçları, aşağıdaki resmi/güvenilir sitelerde kendin uygulayarak doğrulayabilirsin, başkasının anlatımına bağlı kalman gerekmez:

Devamı

NFT tam olarak nedir Bir NFT projesi nasıl değerlendirilir NFT alınca aslında neye sahip olursun NFT giriş kontrol listesi Günlük kazanç vaat eden platform: önce kontrol
Güncelleme: 2026-10-01. Yalnızca eğitim amaçlıdır, yatırım tavsiyesi değildir. NFT fiyatı sıfıra inebilir.