Trust Wallet güvenli mi? TRON'da token onayı iptali

Trust Wallet şu anda güvenli mi?

15 Kasım 2026 itibarıyla Trust Wallet uygulamasında doğrulanmış bir açık yok: Son TRON USDT hırsızlığı dalgasını izleyen Bitquery, bir açığa dair kanıt bulmadığını, ancak varlığını da dışlayamadığını söylüyor ^[1]. Rakamları 12 Kasım'da doğrulanan raporu, 5 Ekim ile 11 Kasım arasında 454 TRON cüzdanından en az 5,42 milyon dolarlık USDT alındığını sayıyor ^[1].

Bitquery'nin açıklamasına göre Trust Wallet'ın adı hikâyeye karıştı, çünkü kurbanlar onu kullandıklarını söylüyor ve bazı hırsızlıklarla bağlantılı iPhone hackleme kiti onu arıyor ^[1]. Blokzincir, paranın adresler arasında hareketini gösterir; arkasındaki telefonu veya uygulamayı göstermez. Bu yüzden Bitquery yalnızca bir hırsızlığı bir iPhone sahibinin yayımlanmış anlatımıyla eşleştirebildi ^[1].

Trust Wallet'ın kendi tavsiyesi uygulamayı değil telefonu işaret ediyor. 6 Kasım tarihli bir yazıda iki istismar kitinin, Coruna ve DarkSword'un, eski iOS sürümlerindeki iPhone'ları hedeflediğini söyledi: Coruna iOS 13.0 ile 17.2.1 arasını, DarkSword iOS 18.4 ile 18.7 arasını; ayrıca "en son iOS sürümündeki cihazlar bunlardan etkilenmiyor" dedi ^[2]. 11 Kasım'da da iOS kullanıcılarının worse_query adlı ayrı bir istismardan etkilenmediğini ve kurtarma ifadelerini ya da özel anahtarları asla düz metin olarak saklamadığını ekledi ^[8].

Dürüst yanıt şu: Uygulamanın kendisinin kırıldığı kanıtlanmadı, ama bir cüzdan ancak arkasındaki cihaz ve kurtarma ifadesi kadar güvenlidir. Boşaltmaların tam zaman çizelgesi için Pouyam rehberi Trust Wallet Hacked? How to Protect Your USDT on TRON'a bakın. Bu rehber birçok okurun sorduğu bir sonraki soruyu ele alıyor: Token onaylarını iptal etmek onları korur mu ve bu nasıl yapılır.

TRON'da token onayı nedir?

Token onayı, bir akıllı sözleşmenin USDT gibi bir TRC-20 tokenini belirli bir sınıra kadar, size tekrar sormadan cüzdanınızdan çıkarmasına izin veren, sizin imzaladığınız bir izindir ^[4][6]. Teknik olarak cüzdanınız token sözleşmesinde approve(spender, amount) çağırır; onaylanan sözleşme ardından bu sınır içinde token almak için transferFrom çağırabilir ^[4].

Onaylar olağandır. TRON'daki borsalar, takas ve borç verme uygulamaları işlem yaptığınızda tokenlerinizi taşıyabilmek için bunları ister ^[5]. Risk, onayların uygulamadan ayrıldıktan sonra da etkin kalmasıdır. Trust Wallet, çoğu kullanıcının onayların süresiz geçerli kaldığını fark etmediğini ve bir sözleşme "sonradan kötü niyetli hale gelirse" tokenleri "başka bir onay olmadan" boşaltabileceğini belirtiyor ^[3].

Birçok uygulama, sizi daha sonra yeniden onay vermekten kurtarmak için sınırsız miktar ister. TronLink destek merkezi, bu tür onayların başka adres ve sözleşmelerin varlıkları "önceden bildirim olmadan" aktarmasına izin verdiği konusunda uyarıyor ve onay vermeden önce ürünün açık kaynak ve denetlenmiş olup olmadığını kontrol etmeyi öneriyor ^[5]. TRON Guide, sınırsız onayı izin miktarının mümkün olan en yüksek değere ayarlandığı onay olarak tanımlıyor ve bu tür onayları TRON'daki en büyük saldırı yüzeyi olarak niteliyor ^[6].

Bir onay ayrıca tek bir tokene bağlıdır. Bir uygulama için USDT onayınızı iptal etmek, aynı uygulamaya başka bir token için verdiğiniz onayı iptal etmez; bu yüzden her biri ayrı ayrı kontrol edilip iptal edilir ^[10].

TRON USDT boşaltmalarına token onayları mı yol açtı?

Bu yönde bir kanıt yok: Bitquery, son TRON dalgasındaki hırsızların cüzdan anahtarlarına zaten sahip olduğunu söylüyor; bu, sizi tokenlerinizi imzayla devretmeye kandıran bir boşaltıcı siteden farklıdır ^[1]. Sizi neyin koruduğunu bu fark belirler.

Bitquery, kurbanları bulmak için kullandığı düzeni anlatıyor. Bir ücret cüzdanı ya da onun finanse ettiği bir toplayıcı, ağ ücretini ödemek için kurbanın adresine birkaç TRX gönderiyordu; saniyeler sonra tüm USDT bakiyesi tek ödemede çıkıyor, ardından kalan TRX de gidiyordu ^[1]. 25 Ekim'deki bir vakada 18 TRX geldi ve 18 saniye sonra 519.093 USDT çıktı ^[1]. Bitquery bu sırayı, özel anahtara veya kurtarma ifadesine zaten sahip birinin işi olarak yorumluyor ^[1]. Coindaro, Bitquery'nin ilk bulgularını aktarırken Bitquery'nin bir cüzdanı yalnızca tek bir ödeme tüm USDT'sini boşalttığında kurban saydığını, bunun da "özel anahtarı elinde tutan birinin yaptığı boşaltma düzeni" olduğunu belirtiyor ^[7].

Onay hırsızlığı farklı görünür: Saldırganın sözleşmesi tokenleri transferFrom ile çeker ve ücretini kendisi öder, bu yüzden kurbanın cüzdanının TRX'e ihtiyacı olmaz ^[4]. Bitquery raporu bunu açıkça söylüyor: "Burada hırsız anahtarlara zaten sahip" ^[1].

Bitquery bunun neden önemli olduğunu da gösteriyor. Bir cüzdan iki kez boşaltıldı: 26 Ekim'de 19.069 USDT kaybetti ve yeni para geldikten sonra 10 Kasım'da 4.140 USDT daha ^[1]. Rapora göre "boşaltılmış bir cüzdan, kurtarma ifadesi" kullanımda olduğu sürece hırsızlara açık kalır ^[1]. Onayları iptal etmek bu kapıyı kapatmazdı. İptal yine de iyi bir alışkanlıktır ve Trust Wallet'ın kendi güvenlik kontrol listesi de tanımadık onayları iptal etmeyi içeriyor ^[9], ama bu ikinci adımdır, çalınmış anahtarın çaresi değildir.

Trust Wallet'ta token onaylarını nasıl iptal ederim?

Trust Wallet'ın son sürümünü açın, varlıklar bölümünde Approvals sekmesini seçin, listeyi inceleyin ve artık güvenmediğiniz her uygulamanın yanında Revoke'a dokunun ^[3]. Trust Wallet, özelliğin onayları verildiğinde kaydettiğini, her uygulamanın hangi tokenlere ve ne kadar erişebildiğini gösterdiğini, bilinen dolandırıcılıklarla bağlantılı sözleşmeleri işaretlediğini ve iptal ettiğinizde onayı blokzincirden kaldırdığını söylüyor ^[3].

1. Önce Trust Wallet'ı App Store veya Google Play'den güncelleyin; Trust Wallet'ın adımları en son sürümü şart koşuyor ^[3].
2. Ana ekranda varlıklar bölümündeki Approvals sekmesini açın ^[3].
3. Her kaydı kontrol edin: token, uygulama ya da sözleşme ve izin verilen miktar. En çok USDT'ye ve sınırsız onaylara dikkat edin.
4. Tanımadığınız, artık kullanmadığınız veya cüzdanın riskli olarak işaretlediği her şey için Revoke'a dokunun ve işlemi onaylayın ^[3].
5. Cüzdanda biraz TRX tutun: TRON'da iptal, bandwidth ve Energy harcayan bir işlemdir ^[4].

Bir sınır var: Trust Wallet'ın duyurusu Approvals sekmesinin hangi blokzincirleri kapsadığını söylemiyor ^[3][10]. TRON onaylarınız orada görünmüyorsa veya ikinci bir görüş istiyorsanız, bir adresin verdiği tüm onayları listeleyen ve sonraki bölümde anlatılan TronScan'i kullanın ^[4][6].

İptal yalnızca onaylar üzerinde işe yarar. Gerçekleşmiş bir transferi geri alamaz ve kurtarma ifadesini başkasının bildiği bir cüzdanı koruyamaz ^[10].

TronScan'de TRC-20 onaylarını nasıl iptal ederim?

TRON adresinizi TronScan'de arayın, hesap sayfasında onay listesini açın, ardından istenmeyen her onayı iptal edip işlemi cüzdanınızda imzalayın; bu, izin verilen miktarı sıfıra çeker ^[4][6]. TronScan bu iptal özelliğini 14 Mayıs 2021'de ekledi ve onay değişiklik geçmişini de gösteriyor ^[4].

1. tronscan.org adresini tarayıcıya kendiniz yazın; bir sohbetten veya reklamdan gelen bağlantıya tıklamayın ^[10].
2. T ile başlayan adresinizi arama çubuğuna yapıştırın ^[6].
3. Hesap sayfasında, tasarıma göre Approval veya List of Approval adını taşıyan onaylar sekmesini açın ^[4][6].
4. Her kayıtta tokene, onayı alan sözleşmeye ve miktara bakın. Bilinmeyen veya doğrulanmamış sözleşmelere ve sınırsız onaylara öncelik verin; TRON Guide, güvenle tanımlayamadığınız bir sözleşmenin iptal edilmesini öneriyor ^[6].
5. Satırdaki Cancel veya Revoke'a tıklayın ve o adres için TronLink gibi uyumlu bir cüzdan bağlayın ^[6].
6. İmza ekranını okuyun: token sözleşmesinde 0 miktarıyla approve çağırmalıdır. Başka bir şey isterse durun ^[10].
7. Onaydan sonra listeyi yenileyin; TRON'da bu genellikle birkaç saniye sürer ^[6].

TronLink kullanıcıları aynısını cüzdanın içinde yapabilir: TronLink destek merkezi, onayları görmek veya iptal etmek için Wallet Management ve ardından Approval Management yolunu gösteriyor ^[5]. Her iptal ve sonraki her yeniden onay bandwidth ve Energy harcar; kendi Energy'niz yoksa ağ bunu ödemek için TRX yakar ^[4].

Hangi token onaylarını iptal etmeliyim?

Açıklayamadığınız her onayı, kullanmayı bıraktığınız bir uygulamaya verilmiş her sınırsız onayı ve bir airdrop, "doğrulama" veya Energy kiralama sitesine verilmiş her şeyi iptal edin ^[6][10]. Yalnızca kullandığınız ve güvendiğiniz hizmetlerin onaylarını tutun; birine geri dönerseniz yeniden onay verin.

Aşağıdaki tablo yaygın durumları özetliyor. Basit bir test işe yarar: Bir harcayıcı adresin ne olduğunu söyleyemiyorsanız, USDT'nizi harcayabilmemelidir ^[10].

Benzer görünen tokenlere dikkat edin. Gerçek Tether sözleşmesi olmayan sahte bir "USDT" üzerindeki onaylar gerçek USDT'nize dokunamaz ^[10]. TRON'daki gerçek USDT sözleşmesi TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t'dir; işlem yapmadan önce bu adresi tokenin TronScan sayfasında kontrol edin.

Bitquery hırsızlık verilerinde ilgili bir hile daha buldu: Bir toplayıcıya ödeme yapan adreslerin yarısından fazlası, benzer adreslerden toz miktarlar ve sahte tokenler gönderen botlardı; adres zehirleme denen bu yöntem, birinin ileride yanlış adresi kopyalaması umuduna dayanıyor ^[1]. Hedef adresi her zaman güvenilir bir kaynaktan kopyalayın, asla işlem geçmişinizden değil.

Kurtarma ifadem açığa çıkmış olabilirse ne yapmalıyım?

Cüzdanı ele geçirilmiş sayın: güncel ve temiz bir cihazda yeni kurtarma ifadesiyle yeni bir cüzdan oluşturun, kalanı taşıyın ve eskisini kullanmayı bırakın ^[1][10]. Bitquery, kurtarma ifadesine sahip olanın paraya da sahip olduğunu ve şifreye ya da telefona erişime ihtiyaç duymadığını söylüyor ^[1].

1. Önce telefonu güncelleyin. Trust Wallet, iPhone kullanıcılarına cihazları için mevcut en son iOS sürümünü yüklemelerini, hemen güncelleme mümkün değilse Lockdown Mode'u açmalarını söylüyor ^[2].
2. Yeni cüzdanı oluşturun ve yeni kurtarma ifadesini kâğıda yazın. Trust Wallet'a göre Coruna ve DarkSword kitlerinin taradığı fotoğraflarda, ekran görüntülerinde veya notlarda saklamayın ^[2].
3. Yeni adrese küçük bir deneme tutarı gönderin, sonra kalanını taşıyın. Ücretler için yeterli TRX tutun.
4. Eski cüzdanı boş bırakın. Ona yeni para gelirse hırsızlar yeniden alabilir; Bitquery'nin izlediği bir cüzdanın başına gelen buydu ^[1].
5. Bir şey yanlış görünürse cüzdan adresi ve işlem hash'iyle Trust Wallet desteğine başvurun; Trust Wallet kurtarma ifadenizi asla istemeyeceğini ve asla ilk mesajı atmayacağını söylüyor ^[2].

Daha büyük bakiyeler için doğrudan üreticiden alınmış bir donanım cüzdanı düşünün. Para zaten çalındıysa Tether'e ve paranın ulaştığı borsalara hızla bildirin, çünkü Bitquery USDT'nin ancak yeniden hareket etmeden önce dondurulabileceğini belirtiyor ^[1]. Ücretli kurtarma hizmeti öneren herkesi görmezden gelin. Bu genel bir güvenlik rehberidir, finansal tavsiye değildir.

Sahte bir onay denetleyicisini nasıl anlarım?

Yalnızca TronScan'i, TronLink'i veya cüzdanınızın kendi Approvals sekmesini kullanın ve adresi kendiniz yazın; çünkü sahte "onay denetleyicisi" siteleri, Revoke düğmesinin yeni bir onay imzalattığı bilinen bir oltalama hilesidir ^[10]. Gerçek bir iptal miktarı her zaman sıfıra çeker.

• Hiçbir gerçek iptal aracı kurtarma ifadenizi veya özel anahtarınızı istemez. Bunları asla bir "hepsini iptal et" sitesine yapıştırmayın.
• İmzalamadan önce fonksiyonu ve miktarı okuyun: 0 ile approve bir iptaldir; büyük bir sayıyla approve, bir transfer veya bir yetki değişikliği iptal değildir ^[10].
• "Ucuz Energy" kiralama ve airdrop sitelerine şüpheyle yaklaşın: TronTransfer'e göre bazıları imzası aslında sınırsız bir USDT onayı olan bir kiralamayı yetkilendirmenizi istiyor ^[10].
• TronScan'de hesap yetkilerini de kontrol edin: Bazı TRON dolandırıcılıkları adresi kimin kontrol ettiğini değiştirir ve onayları iptal etmek bunu geri almaz ^[10].
• Trust Wallet desteği olduğunu iddia eden herkesin doğrudan mesajlarını görmezden gelin; Trust Wallet asla ilk mesajı atmadığını söylüyor ^[2].

Sahte bir destek temsilcisine veya kurtarma hizmetine para kaptırdıysanız, polise veya ülkenizin siber suçlar birimine bildirin ve bir kopyasını saklayın. iPhone güvenliğinin daha geniş bağlamı için What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer rehberine bakın; telefon güvenliğinin artık neden birden fazla hesabı koruduğunu anlatıyor.