Fearless Wallet tarayıcı eklentisini Şubat 2025’ten bu yana kullanan herkesin cüzdanı artık tehlikede sayılıyor. Polkadot Topluluk Vakfı (PCF), 21 Ekim Çarşamba günü saat 17.00 TSİ’de Polkadot forumunda yayımladığı güvenlik bildiriminde, eklentinin bazı sürümlerinin kullanıcıların özel anahtarlarını dışarıdaki bir sunucuya gönderdiğini açıkladı. Vakfın çağrısı net: Bu eklentiyi o tarihten sonra bir kez bile açtıysanız, içindeki her hesabı ele geçirilmiş kabul edin, başka bir cüzdanda yeni anahtar oluşturun ve paranızı oraya taşıyın.
Uyarı, Polkadot’un resmî X hesabından da 17.13 TSİ’de paylaşıldı. Bildirime göre inceleme, PCF adına Polkadot Technical Fellowship tarafından yapıldı. Vakıf, Fearless Wallet’ın bağımsız bir ekip tarafından geliştirilen üçüncü taraf bir uygulama olduğunu ve hiçbir zaman resmî Polkadot cüzdanı olmadığını özellikle vurguluyor.
Sorun, eklentinin 3.0.1, 3.0.3, 3.0.4 ve 3.0.5 sürümlerinde. İncelemeye göre şüpheli kod, 19 Şubat 2025’te “TON ecosystem” başlıklı büyük bir değişikliğin içinde eklentinin herkese açık kaynak koduna girdi. Yani ayrı ve dikkat çekici bir güncelleme olarak değil, TON ağı desteği getiren kapsamlı bir paketin parçası olarak eklendi. Eklentinin kaynak kodu GitHub’da soramitsu/fearless-wallet-web deposunda duruyor; teknik rapordaki bütün kod alıntıları bu depodan.
Kod, Şubat 2025 ile 10 Ekim 2026 arasında farklı dönemlerde etkin kaldı. Chrome sürümünde durum doğrulanmış. Firefox sürümü aynı koddan derleniyordu, ancak artık mağazada listelenmiyor; vakıf o dönemde Firefox eklentisini kullananların da anahtarlarını tehlikede saymasını istiyor.
Vakfın yayımladığı ayrıntılı teknik not, işleyişi adım adım anlatıyor. Kullanıcı şifresini girip cüzdanı açtığında, eklenti adı “jetton bilgisi çekme” gibi masum görünen bir fonksiyonu çağırıyordu. Bu fonksiyon cüzdandaki ana hesapların gizli bilgilerini topluyordu: hesabın kurtarma ifadesini, kurtarma ifadesi olmayan hesaplarda ise hesabın yedek (keystore) dosyasını ve yanına düz metin olarak cüzdan şifresini.
Toplanan bilgiler boş bir parolayla “şifreleniyordu”. Teknik nota göre bu yöntem hiçbir koruma sağlamıyor, çünkü aynı boş parolayla herkes veriyi geri çözebiliyor. Veriler daha sonra tonscanner.org adlı dış sunucuya, bir web isteğinin adres satırına gömülerek gönderiliyordu. Hata olduğunda kullanıcıya hiçbir şey gösterilmiyordu.
İşin en rahatsız edici kısmı bir uzaktan açma kapama düğmesi. 3.0.3 ile 3.0.5 arasındaki sürümler, her kilit açılışında ayrı bir herkese açık GitHub deposundaki yapılandırma dosyasını okuyor ve sunucu adresini oradan alıyordu. Dosyada adres varsa veri gidiyor, yoksa gitmiyordu. Teknik nota göre bu düğme 7 Mart 2025 ile 10 Ekim 2026 arasında dokuz ayrı dönemde açık kaldı ve toplamı yaklaşık 571 güne ulaştı; son ve kesintisiz dönem 15 Mayıs 2025’ten 10 Ekim 2026’ya kadar sürdü. Kod 25 Haziran 2026’da kaynak koddan silinmiş olsa da bilgisayarlarda hâlâ kurulu duran 3.0.3–3.0.5 kopyaları bu düğmeyi kontrol etmeye devam ediyor. Yani dosyaya adres yeniden eklenirse anahtarlar tekrar gönderilmeye başlayabilir.
Not, kodu kimin yazdığı ya da neden yazdığı konusunda bir tespit yapmıyor; yalnızca kodun ne yaptığını anlatıyor. Sunucuya gönderilen verilerin akıbeti de bilinmiyor.
Vakfın sınıflandırması şöyle özetlenebilir:
Şifreyi değiştirmek ya da eklentiyi silip yeniden kurmak işe yaramıyor, çünkü anahtar daha önce dışarı gitmiş olabilir. Nova Wallet de aynı gün yaptığı açıklamada bu açığın kendi uygulamasını etkilemediğini duyurdu.
Bildirimdeki adımları sırasıyla aktarıyoruz:
Bildirim bazı tehlike işaretlerini de sıralıyor: sizin yapmadığınız bir staking durdurma ya da çözme işlemi, ödül adresinin değişmesi, havuzdan çıkış, yönetişim oyunun geri çekilmesi veya hesaptan küçük deneme transferleri çıkması. Bunlardan birini görürseniz taşıyabildiğinizi hemen taşımanız öneriliyor. Fon kaybedenlere hesap adresi, işlem kimlikleri, tarih ve tutarları saklamaları, olayı SEAL 911’e ve polise bildirmeleri tavsiye ediliyor. Vakıf, “fonlarınızı kurtarırız” diye ilk mesajı atan herkese karşı da açık bir uyarı yapıyor: Gerçek bir yardımcı özel anahtarınızı istemez. Polkadot’un X üzerinde bir destek hesabı da bulunmuyor.
Forum bildirimine göre şimdiye kadar sekiz kullanıcı, bu açıkla ilişkilendirilebilecek izinsiz işlemler bildirdi ve toplam tutar 17.286 DOT. Bu, 22 Ekim 19.04 TSİ’deki Binance fiyatıyla kabaca 19,5 bin dolara denk geliyor. Vakfın ayrıca paylaştığı vaka listesinde ise sekiz vakanın Eylül 2025 ile Eylül 2026 arasına yayıldığı görülüyor; listedeki tabloya göre hesaplardan toplam 15.571,99 DOT ve 54.450,36 DED çıkmış. İki rakam arasındaki farkın nedeni belgelerde açıklanmıyor. En büyük tekil kayıp, 23 Eylül 2026’da bir hesaptan çıkan 8.995,56 DOT.
Vaka listesi şu notu da düşüyor: Liste sorunun tamamını göstermiyor. Yalnızca kullanıcıların kamuya açık şekilde bildirdiği ve zincir üzerinde eşleştirilebilen işlemler yer alıyor. Kaybını fark etmemiş, sessizce bildirmiş ya da hiç bildirmemiş kullanıcılar olabilir. Kayıp yaşayan kullanıcıların ilk şikâyetlerinin bir yılı aşkın süredir Reddit ve Polkadot forumunda dolaştığı da listeden anlaşılıyor.
Bu olay klasik bir akıllı sözleşme saldırısından farklı. Ortada bir protokol açığı ya da ağ hatası yok; Polkadot ağı tasarlandığı gibi çalışıyor. Risk, kullanıcının parasına erişmek için her gün açtığı yazılımın kendisinde ortaya çıktı. Üstelik kod herkese açık depoda, büyük bir özellik güncellemesinin içinde yaklaşık 20 ay boyunca fark edilmeden kalabildi. Açık kaynak olmak tek başına güvence sağlamıyor; birinin o kodu gerçekten okuması gerekiyor.
Benzer bir tedarik zinciri sorununu donanım cüzdanı tarafında da görmüştük. Yetkisiz bir bayide değiştirilen cihazları anlattığımız Ledger cihazında implant bulunan CryptoBilis soruşturması haberimiz, tehlikenin bazen satın alınan araçtan geldiğini gösteriyordu. Fearless Wallet olayı aynı dersi tarayıcı eklentileri için tekrarlıyor: Cüzdan yazılımının kim tarafından, nasıl güncellendiği en az coinin kendisi kadar önemli. Polkadot ağının işleyişini ve staking yapısını merak edenler Polkadot (DOT) nedir yazımıza göz atabilir.
Piyasa verilerini kendimiz çektik. Binance spot DOT/USDT çifti 22 Ekim 19.04 TSİ’de 1,127 dolardan işlem görüyordu ve son 24 saatte yüzde 4,33 değer kaybetmişti. Uyarının yayımlandığı mum (21 Ekim 15.00–19.00 TSİ) 1,180 dolardan kapanmıştı; 22 Ekim 15.00–19.00 mumunun kapanışı 1,125 dolar. Bu, yaklaşık yüzde 4,7’lik bir gerileme. Aynı aralıkta Bitcoin de Binance’te 84.540 dolardan 81.682 dolara, yani yaklaşık yüzde 3,4 geriledi. DOT’taki düşüş piyasanın genel yönünden çok ayrışmıyor; fiyat hareketini tek başına bu habere bağlamak doğru olmaz.
Vadeli tarafta daha belirgin bir duygu değişimi var. Binance’in vadeli işlem verilerine kutudan erişim coğrafi kısıtlama nedeniyle mümkün olmadığından OKX’in herkese açık verilerini kullandık. OKX’te DOT-USDT sürekli vadeli kontratının fonlama oranı 21 Ekim 19.00 TSİ ödemesinde pozitif (yüzde 0,0003) iken sonraki üç ödemede negatife döndü: yüzde −0,0099, −0,0162 ve 19.00 TSİ’de −0,0144. Negatif fonlama, kısa pozisyonların uzun pozisyonlara ödeme yaptığı, yani düşüş yönlü pozisyonların ağır bastığı anlamına geliyor. OKX’in DOT vadeli açık pozisyon verisi ise 21 Ekim 21.00 TSİ’deki 9,98 milyon dolardan 22 Ekim 18.00 TSİ’de 9,19 milyon dolara indi (yaklaşık yüzde 7,9).
Hesaplamaları yalnızca kapanmış mumlar üzerinden yaptık. Dört saatlik grafikte son kapanan mum (22 Ekim 15.00–19.00 TSİ) 1,125 dolardan kapandı. 14 periyotluk RSI 45,93 ile nötr bölgenin hafif altında. Fiyat, birbirine çok yakın duran üç ortalamanın da altında: EMA30 1,141, EMA200 1,138 ve EMA50 1,146 dolar. Son mumun hacmi önceki 20 mumun ortalamasının yüzde 24 altında kaldı; satış baskısı hacimle güçlenmiş görünmüyor.
Yakın destek 1,102–1,108 bandı. Fiyat 22 Ekim boyunca bu bölgeye üç kez inip tepki aldı; bu bir taban denemesi olabilir, ancak teyit edilmiş bir formasyon değil. Dört saatlik kapanışların 1,10 doların altına sarkması bu denemeyi geçersiz kılar ve 15 ile 18 Ekim diplerinin bulunduğu 1,046–1,049 bölgesini gündeme getirir. Yukarıda önce 1,138–1,146 aralığındaki ortalama kümesi, ardından uyarı günü görülen 1,185–1,192 tepesi ve 16 Ekim’in 1,213 doları direnç olarak izleniyor.
Günlük grafikte son kapanan mum (21 Ekim) 1,144 dolardan kapandı. Günlük RSI 49,07; EMA30 1,147, EMA50 1,110 ve EMA200 1,198 dolar. DOT, 18 Ağustos’taki 0,723 dolarlık dipten 26 Eylül’de 1,306 dolara yükseldi; son 90 günde kapanış bazında yüzde 40’ın üzerinde değer kazancı var. O tepeden bu yana ise tepeler alçalıyor: 1,306, 10 Ekim’de 1,296, 16 Ekim’de 1,213 ve 21 Ekim’de 1,192. Son yedi günün işlem hacmi önceki yedi güne göre yüzde 27 düşük. Günlükte 1,192–1,213 bandı, EMA200 ile çakıştığı için önemli bir direnç; aşağıda 8, 15 ve 18 Ekim diplerinin oluşturduğu 1,009–1,049 bölgesi ana destek. Günlük kapanışların bu bandın altına inmesi, ağustostan bu yana süren toparlanmanın zayıfladığına işaret eder.
İlk soru Fearless ekibinin nasıl yanıt vereceği. 22 Ekim akşamı itibarıyla Fearless Wallet ve geliştirici çevresine ait X hesaplarında konuya ilişkin kamuya açık bir açıklama göremedik. İkinci başlık uzaktan düğmenin akıbeti: Teknik nota göre düğme 10 Ekim’den beri kapalı, ancak kurulu eski sürümler onu okumaya devam ettiği sürece risk tamamen kapanmış sayılmaz. Bu yüzden eklentiyi hâlâ bilgisayarında tutanların fonlarını taşıdıktan sonra kaldırması kritik.
Üçüncü başlık kayıp listesinin büyüyüp büyümeyeceği. Vakıf yalnızca kamuya bildirilen ve zincirde eşleşen vakaları saydığını söylüyor; uyarının ardından yeni bildirimler gelmesi şaşırtıcı olmaz. Kendi cüzdanınızı kontrol ederken en sık rastlanan tuzağa da dikkat edin: Bu tür olayların ardından “kurtarma uzmanı” kılığına giren dolandırıcılar ortaya çıkıyor. Kimseyle kurtarma ifadenizi ya da özel anahtarınızı paylaşmayın.
Yatırım tavsiyesi değildir. Haber ve veriler okuru bilgilendirmek için derlendi; DOT dahil kripto varlıkların fiyatı kısa sürede sert değişebilir ve sermayenin tamamı kaybedilebilir. Fiyat ve gösterge değerleri belirtilen saatlerdeki durumu yansıtır. Metin hiçbir varlık için alım, satım ya da elde tutma önerisi içermez.
📚 Yazarın Kitapları
Tianjin’de savcılık, Qian Zhimin’den İngiltere’de alınan 61.896 Bitcoin için müsadere başvurusu yaptı; mahkeme altı aylık…
TCMB 22 Ekim’de politika faizini 100 baz puan indirerek yüzde 36’ya çekti; ocaktan bu yana…
PHP’de yıllardır fark edilmeyen iki kritik açık, Wiz, Calif ve OpenAI ekiplerinin yapay zeka modelleriyle…
TCMB Para Politikası Kurulu faiz kararını 22 Ekim saat 14.00’te açıklayacak; AA Finans anketinde 20…
Ons gümüş perşembe sabahı yüzde 3'e yakın düşüşle 56 dolar bandına indi; Fresnillo üçüncü çeyrekte…
Ons altın, Suudi Arabistan'daki saldırılarla 110 dolara çıkan petrolün faiz beklentilerini güçlendirmesiyle 14 Ekim'den bu…