Makinenin İçinde: Kripto Dolandırıcıları Nasıl Çalışıyor?
Bing ve DuckDuckGo’yu ele geçirmek

İki Saldırı Vektörü

Yaptığımız araştırma sonucunda ortaya çıktı ki tamamen farklı, birbirinden bağımsız iki işlem Bing ve DuckDuckGo arama sonuçlarında kimlik avı sitelerini en üst sıralara çıkarmak amacıyla eşzamanlı olarak yürütülen faaliyetler.

Vektör A: Yahoo Arama Sonuç Sayfası (SERP) Enjeksiyon Saldırısı

Bu, tartışmasız en... teknik açıdan en zarif 2026 yılında belgelediğimiz bir black-hat SEO saldırısı. Bu saldırı, Bing’in bağlantı otoritesini değerlendirme yöntemindeki temel bir kusuru istismar ediyor — özellikle de Bing’in, güvenilir alan adlarından gelen gerçek editoryal bağlantılar ile dinamik olarak oluşturulan arama sonucu sayfaları arasında ayrım yapamamasını.

Yahoo’dan devralınan Otorite Puanı (AS 24), mobil arama sayfaları üzerinden kimlik avı alan adlarına aktarılıyor — Bing bu sinyali meşru olarak kabul ediyor

İşleyiş — Adım Adım

1. Adım — Güvenilir taşıyıcı URL’sinin oluşturulması. Saldırganlar, Yahoo’nun mobil arama uç noktalarında çok sayıda uluslararası alt etki alanı üzerinden URL’ler oluşturuyor: no.search.yahoo.com (Norveç), fr.search.yahoo.com (Fransa), mx.search.yahoo.com (Meksika), pl.search.yahoo.com (Polonya), gr.search.yahoo.com (Yunanistan), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (İsviçre Fransızcası), co.search.yahoo.com (Kolombiya). Bu sayfalarda Yahoo’dan devralınan Otorite Puanı: 23–24 yer almaktadır.

2. Adım — Kimlik avı bağlantısını ekleme. Her URL, tamamen rastgele ve masum bir arama sorgusu içeriyor — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — ancak bağlantı metni şöyle: curvefi.co Curve Finance. Rastgele oluşturulan sorgular, spam filtreleri tarafından herhangi bir kalıp eşleşmesinin önlenmesini sağlar.

3. Adım — Zorunlu tarama ve indeksleme. Saldırganlar, toplu ping hizmetleri, forum/blog yorum enjeksiyonları ve otomatik tarama tetikleme araçlarını kullanarak Bingbot’un bu URL’leri taramasını sağlıyor.

SEMrush’tan Doğrudan Kanıt — curvefi.co

Acımasız bir ironi: Sitede şunlar bulunmaktadır: sıfır organik anahtar kelimeler, sıfır SEMrush veritabanındaki trafik — ancak Yahoo’nun ödünç aldığı otorite sayesinde “Curve Finance” aramalarında Bing/DDG sonuçlarında görünüyor.

Vektör B: Koordineli PBN Ağı

İşte bu noktada soruşturma gerçekten endişe verici bir hal alıyor. Beş ayrı kimlik avı sitesi — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at ve keplr.me — hepsinin ortak bir aynı geri bağlantı kaynakları kümesi. Bu bir tesadüf değil. Bu tek bir organize suç örgütü tek bir altyapıdan birden fazla kimlik avı kampanyası yürütmek.

Bir operatör, 9 PBN bağışçısı, 5 kimlik avı hedefi — bunun tesadüf olma olasılığı yaklaşık %0,00001’dir

The Smoking Gun — Ortak Altyapı

Kimlik Avı Alan Adı Profilleri

Yapay Zeka Destekli Makale Üretim Merkezi

aster-dex.at sürümü bir melez yaklaşım, Yahoo enjeksiyonunu, Vietnam, İtalya, Endonezya ve İsviçre’deki ele geçirilmiş ya da bu amaçla oluşturulmuş sitelere yerleştirilen yapay zeka tarafından üretilen blog içeriğiyle birleştirerek.

Güvenliği ihlal edilmiş sitelerde yer alan yapay zeka tarafından üretilmiş makaleler — aynı başlıklar, farklı alan adları, hepsi de aynı kimlik avı hedefine yönlendiriyor

Blog makalelerinin başlıkları neredeyse birbirinin aynısı: “Token Takasları ve Likidite Havuzları Neden Deneyimli DEX Yatırımcılarını Bile Zorluyor?”, “Otomatik Piyasa Yapıcılar Neden Hâlâ Yatırımcıları Şaşırtıyor?”. Bunlar şunlardır: Yapay zeka tarafından oluşturulan makaleler AS 21–36 numaralı sitelere yerleştirilmiş olup, hepsi aster-dex.at adresine yönlendirilmektedir.

Yorum Spamı Sızması

keplr.me ise tamamen farklı bir yaklaşım benimsiyor — konuyla ilgisi olmayan, yüksek otoriteye sahip sitelerde saf yorum spam’ı. “ZackaryThymn”, “Fritzkah”, “Jamesboach” gibi sahte kullanıcı adları, felsefe eğitimi sitelerine kripto cüzdan bağlantılarını yerleştiriyor (filozofija.edu.rs, AS 45), çalışan bağlılığı platformları (bavave.com, AS 63) ve sanat festivalleri (lea-festival.com, AS 50).

Normal görünümlü kullanıcı yorumlarının arasına gizlenmiş kimlik avı bağlantılarını farkında olmadan barındıran meşru siteler

En Dipsiz Kuyu: Otomatik Araç Spam'ı

bscscan.cfd olabilecek en kaba yöntemi kullanıyor: adları tam anlamıyla rankongoogle.agency ve linksjump.click. Tüm kaynakların AS değeri 0’dır. .cfd TLD’si bilinen bir spam göstergesidir. Yine de Bing’de bu yöntem kısmen işe yarıyor — düşük kaliteli bağlantıların sayısı, olumsuz bir geçmişi olmayan yepyeni alan adlarında sıralamaları etkileyebilir.

“1000 Geri Bağlantı 9,99 $” — en ucuz SEO dolandırıcılık araçları, Bing’de hâlâ kısmen işe yarıyor

Bing ve DuckDuckGo’nun Neden Özellikle Güvenlik Açığına Sahip Olduğu

Google’ın çok katmanlı spam savunması ile Bing’in daha az gelişmiş algılama sistemi — dolandırıcıların istismar ettiği bu fark

Anahtar Kelime Hedefleme Stratejisi

Anahtar kelime profilleri şunu ortaya koyuyor: cerrahi hassasiyet hedef seçiminde. Operatörler sadece birincil marka terimlerini değil, aynı zamanda yazım hatası içeren alan adlarını da hedef alırlar (“rabbi cüzdanı”, “Rubby cüzdanı”, “dexscrenner”) ve hatta Çince aramalar (“Aster Borsası” (25. sırada).

Çok dilli hedefleme: İngilizce, Fransızca, Çince, Vietnamca — operasyon kıtalar arasında uzanıyor

Tarihsel Bağlam: Trust Wallet / DuckDuckGo Sorunu

Trust Wallet, varsayılan arama motoru olarak DDG’yi terk etmesine rağmen, altta yatan güvenlik açığı hâlâ devam ediyor. Herhangi bir kullanıcı ki gizlilik nedeniyle DuckDuckGo’yu manuel olarak seçer — kripto kullanıcılarıyla büyük ölçüde örtüşen bir demografik grup — bugün hâlâ tam da bu tür saldırılara maruz kalmaya devam ediyor. Bu raporda belgelenen dolandırıcılık operasyonları, bu tekniğin çeşitli varyasyonlarını birkaç yıl, arama motorlarının tek tek vektörleri yavaş yavaş düzelttikçe buna uyum sağlayarak.

Kendinizi Nasıl Koruyabilirsiniz?

• ASLA Arama sonucundan cüzdanınızı bağlayın
• Yer imi doğrudan güvenilir siteler
• DDG’leri kullanın !bang kısayol: !g curve finance Google aramasını zorlar
• MetaMask’ın kimlik avı algılama eklentisini yükleyin
• Herhangi bir alan adını şu adresten kontrol edin: PhishDestroy bağlanmadan önce

Microsoft/Bing’e yönelik öneriler

1. Dinamik sayfa algılama: Arama sonuç sayfalarını (Yahoo, Baidu, Google) sınıflandırın ve giden bağlantılardan bağlantı değerini çıkarın
2. Koordineli PBN tespiti: 9 alan adı, aynı kalıplara sahip 5 farklı siteye bağlantı verdiğinde, bunu manipülasyon olarak işaretleyin
3. Marka taklidi katmanı: TLD değiştirme saldırılarını tespit etme (dexscreener.at ≈ dexscreener.com)
4. .AT alan adı izleme: Kripto arama sonuç sayfalarında yeni kaydedilen .at alan adlarına yönelik daha sıkı inceleme
5. DuckDuckGo hızlı erişim: DDG’nin doğrudan erişebileceği, spam temizlemeye özel bir API oluşturun

Kanıtlar herkese açıktır. Alan adları kayıt altına alınmıştır. Mağdurlar gerçektir. Çözüm Microsoft’un elindedir.

Tek bir operatör. Bing’de 26 adet kimlik avı tuzağı. Maliyet: Alan adı başına 2 dolar.

Tek Operatör, 26 Alan Adı, Tek Kayıt Kuruluşu

26 adet kimlik avı alan adının tamamı üzerinde RDAP sorguları gerçekleştirdik. Her birinden aynı kayıt kuruluşu çıktı: NiceNIC International Group Co., Limited. Çoğu değil. Çoğunluk değil. 23 sorgunun tamamı başarıyla gerçekleştirildi — aynı kayıt kuruluşu; doğrulama öncesinde 3 adet hız sınırı hatası (altyapı yapıları birbiriyle örtüşüyor).

23'ün 23'ü kontrol edildi. Aynı kayıt kuruluşu. Aynı müşteri. Kötüye kullanımla ilgili herhangi bir işlem yok.

RDAP Kayıt Verileri — Toplu Kayıt Kanıtı

2 Dolarlık Strateji Kılavuzu — Adım Adım

Karmaşık SEO’yu unutun. Aylarca süren bağlantı oluşturma çalışmalarını unutun. İşte Bing’de 1. sırada yer almanızı sağlayan, eksiksiz ve doğrulanmış saldırı dizisi.

Dört adım, 2 dolar ve Bing bir kimlik avı sitesini 1 numaraya taşıyor

1. Adım: Typosquat Kayıt Defteri

2. Adım: Başlık Etiketini Kopyala ($0, 5 dakika)

Operatör, tam olarak şunu kopyalar: <title> gerçek projenin web sitesinden alınan etiket ve meta açıklaması. Bu, en önemli adımdır. Sayfanın kendisi bir cüzdan boşaltıcı ya da tohum cümlesi toplayıcıdır — ancak <title> Bing'in sıralamaya aldığı şey budur.

3. Adım: Gizlenmiş PBN’ye gönderin (0 $, 1 dakika)

Operatör, 15 PBN tesisinden herhangi birini ziyaret eder (bye.fyi, atomizelink.icu, vb.), “URL’nizi girin” etiketli forma alan adını yazıp “Kısalt” düğmesine tıklar. Tek bir gönderme işlemiyle 15 sitenin hepsinde aynı anda bir sayfa oluşturulur — bu siteler tek bir veritabanını paylaşır.

4. Adım: Bekleyin (2-8 hafta, 0 $)

Toplam Maliyet Dağılımı

Gizleme Motoru’nun İçinde

PBN ağından gerçek HTML kaynak kodunu aldık ve analiz ettik. Her alan adındaki her sayfa aynı gizleme motorunu kullanıyor.

Kullanıcıların gördükleri ile Bingbot’un gördükleri arasındaki fark — z-index: 1000000 Duvarın arkasında 3.500 bağlantı gizli

Sayfa Yapısı: 400 KB HTML, 3.500'den fazla bağlantı, 4 katman

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Kanıt: Tek Ağ, Tek Veritabanı

orbit-protocol-lending.net birden fazla PBN alan adında şu şekilde görünür: aynı veritabanından alınan ardışık kimlik numaraları:

Tek bir veritabanı. 15 ön uç etki alanı. Tüm ekranlar, aynı arka uçtan alınan aynı içeriği gösterir.

Farklı “markalar” arasında aynı kimlikler = tek bir arka uç, tek bir operatör. 15 alan adı. Aynı HTML şablonu. Aynı CSS (style.css). Aynı JavaScript (work.js). Yine aynı 3.500 bağlantı içeren sayfalar.

İkinci PBN — Alan Adı Kontrol Ağı

Ayrı ve daha etkili bir bağlantı ağı, belirli hedeflere dofollow geri bağlantılar sağlar. Ana sunucu: all-aged-domains.com — 50-80 uydu etki alanına CSS, JS ve şablonlar sunan bir WordPress 6.6.2 kurulumu.

Bing Neden Buna Kanıyor?

Google’ın zırhlı robotu, girişte kimlik hırsızlığını engelliyor. Bing’in cana yakın kapıcısı ise kapıyı açık tutuyor.

Başlık Maçı Güvenlik Açığı

app.thnuster.cc Tam olarak TEK bir geri bağlantısı var — önbelleğe alınmış bir Yahoo arama sonuçları sayfası. “Thruster Finance” aramasında Bing’de 1. sırada yer alıyor. Bu durum, rekabetin düşük olduğu marka aramalarında Bing’in sıralamasının esas olarak şunlara dayandığını kanıtlıyor:

1. Başlık etiketinde tam eşleşme arama sorgusuna
2. Etki alanı indekslenmiştir (herhangi bir işaret — tek bir nofollow bağlantısı bile — yeterlidir)
3. Olumsuz güven sinyali yok (alan adı yenidir, geçmişi temizdir)

Google, önemli ölçüde güvenilirlik göstergeleri talep eder ve bunları bilinen marka alan adlarıyla karşılaştırır. Bing ise bunu yapmaz.

Bing'de 1. Sıradaki Sonuçlar (SerpAPI aracılığıyla doğrulanmıştır, Nisan 2026)

Güncellenmiş Koruma Listesi (II. Kısım markaları)

Öneriler (2. Bölüm)

Microsoft/Bing’e:

1. Sadece şampiyonluk maçı tek başına bir otorite değildir. Eşleşen bir başlık, yeni bir alan adının marka aramalarında 1. sıraya yükselmesine neden olmamalıdır. Alan adı yaşı, geri bağlantı otoritesi veya marka doğrulama sinyallerinin bulunması şarttır.
2. CSS tabanlı gizlemeyi tespit et. Kullanıcılardan içeriği gizleyen ancak tarayıcılara gösteren z-index üst katmanları kullanan sayfalar işaretlenmelidir.
3. Koordineli PBN ağlarını tespit etmek. Aynı hedeflere bağlantı veren tek bir arka uç sistemini paylaşan 15 alan adı, organik bağlantı oluşturma sayılmaz.
4. Kripto arama sonuç sayfalarında NiceNIC'te kayıtlı alan adlarını işaretleyin daha ayrıntılı inceleme amacıyla.
5. DuckDuckGo için bir spam hızlı filtreleme sistemi oluşturun. DDG, Bing’in tüm güvenlik açıklarını devralmaktadır ancak bağımsız bir spam bildirim mekanizmasına sahip değildir.

NiceNIC International Group Co., Limited’e:

Cloudflare’e:

26 alan adının tamamı Cloudflare DNS ve proxy hizmetlerini kullanmaktadır. Bu alan adları, Cloudflare’in altyapısı üzerinden cüzdan boşaltıcı ve tohum cümlesi toplayıcılarına hizmet vermektedir.