Deepfake Kripto Dolandırıcılığı: Yapay Zeka Yeni Saldırı Vektörü
2026'nın ilk yarısında 972 milyon dolarlık kripto kaybının arkasında artık kod değil, yapay zeka üretimi ses ve video var. Korunma rehberi.
Blok zinciri güvenlik firmalarının 2026'nın ilk yarısına ait ortak verisi net bir tabloyu doğruluyor: 207 ayrı saldırıyla tüm zamanların en yoğun altı ayı kaydedildi, toplam kayıp ise 972 milyon dolara ulaştı. Rakam geçen yılın aynı dönemine göre düşük görünse de asıl değişim toplamda değil yöntemde. Güvenlik firması SlowMist, yapay zeka üretimi kimlik avı metinlerini, saniyeler içinde klonlanan borsa sitelerini ve deepfake ses-video içerikleri 2026'nın en hızlı büyüyen saldırı vektörü olarak tanımlıyor.
Türkiye'de bu artık soyut bir istatistik değil. Sakarya'da 56 yaşındaki bir vatandaş, Cumhurbaşkanı'nın görüntü ve sesinin yapay zekayla üretildiği sahte bir yatırım reklamı yüzünden 2,5 milyon lira kaybetti. Bu vaka izole değil; benzer senaryolar iş insanları, televizyon sunucuları ve tanınmış yatırımcıların kimliğiyle her hafta yeniden üretiliyor. Bu yazı, saldırganların deepfake teknolojisini kripto varlıklara nasıl yönelttiğini, mevcut yasal çerçeveyi ve kendinizi somut olarak nasıl koruyacağınızı ele alıyor.
Saldırı Ekonomisi Neden Deepfake'e Kaydı
Akıllı sözleşme denetimleri son yıllarda olgunlaştı; buna karşılık kod açıklarından kaynaklanan kayıplar geriledi. H1 2026 verisine göre saldırıların 125'i akıllı sözleşme istismarıydı, ancak toplam kaybın yaklaşık yüzde yetmişaltısı altyapı ve operasyonel ihlallerden — yani insan hedefli saldırılardan — geldi. Kod artık en zayıf halka değil; karar veren insan zayıf halka.
Yapay zeka bu saldırıları hem ucuzlattı hem hızlandırdı. Vall-E, WaveNet gibi ses klonlama araçları birkaç saniyelik ses örneğinden gerçekçi bir konuşma üretebiliyor. Saldırgan artık akıcı Türkçe yazmak zorunda değil; model bunu otomatik yapıyor. Sahte bir borsa web sitesi klonlamak dakikalar sürüyor, gerçek arayüzden ayırt edilmesi neredeyse imkânsız hale geliyor.
Zincir analiz firmalarının H1 2026 raporuna göre kayıpların yaklaşık yüzde altmışaltısı Kuzey Kore bağlantılı gruplara atfediliyor. Bu artık dağınık bireysel dolandırıcılardan çok, endüstriyel ölçekte organize olmuş operasyonlar. Sahte iş görüşmeleri, sahte yatırımcı görüntülü aramaları ve borsa çalışanlarını taklit eden deepfake videolar bu grupların standart repertuarına girdi.
Klasik Kimlik Avından Farkı Ne?
Türk yatırımcılar yıllardır sahte borsa e-postalarına ve Telegram bağlantılarına karşı temkinli olmayı öğrendi. Deepfake saldırıları aynı hedefi vuruyor ama ikna aracı tamamen farklı; bu yüzden alışılmış refleksler yetersiz kalıyor.
| Özellik | Klasik kimlik avı | Deepfake / ses klonlama saldırısı |
|---|---|---|
| İkna aracı | Yazılı mesaj, sahte bağlantı | Gerçek görünen ses veya video görüşmesi |
| Tespit ipucu | Yazım hatası, şüpheli domain | Görsel/işitsel olarak ayırt etmek neredeyse imkânsız |
| Hazırlık maliyeti | Düşük, elle yazılır | Birkaç dakikalık örnek veriyle otomatik üretilir |
| Tipik senaryo | "Hesabınız askıya alındı" e-postası | Patronun veya ünlü bir ismin sesiyle acil transfer talebi |
| Doğrulama yöntemi | Domaini kontrol et, bağlantıya tıklama | Önceden belirlenmiş güvenlik sözcüğü, ikinci kanaldan teyit |
Bu tablo asıl noktayı gösteriyor: saldırının "gerçek görünmesi" artık bir güvenlik sinyali değil. Görüntü ve ses ikna edici olsa bile, doğrulama süreci insan davranışına dayanmalı, teknolojiye değil. Bir saldırganın sizi ikna etmek için artık kusursuz yazım veya mükemmel bir sahte web sitesi kurmasına bile gerek kalmıyor; canlı bir görüntülü görüşmede gerçek zamanlı yüz değiştirme yazılımı kullanması yeterli olabiliyor.
Türkiye'de Somut Vakalar ve Hukuki Çerçeve
Sakarya vakası izole bir olay değil. Ünlü isimlerin — siyasetçiler, iş insanları, televizyon sunucuları — görüntü ve sesiyle üretilen sahte "yatırım tavsiyesi" videoları Instagram ve YouTube reklamları üzerinden yayılıyor. Kurban genellikle bir web sitesine yönlendiriliyor, küçük bir "deneme" yatırımı yapıyor, sahte kâr ekranı görüyor ve daha büyük tutarlar yatırmaya ikna ediliyor. Fonlar kripto cüzdanlara aktarıldığı anda iz sürmek ciddi ölçüde zorlaşıyor; saldırganlar genellikle birden fazla zincir ve karıştırma servisi üzerinden transferi parçalıyor.
WhatsApp üzerinden yapılan sesli arama dolandırıcılığı da yaygınlaşıyor: patronunuzun veya bir aile üyenizin sesiyle "acil" bir para transferi ya da kripto işlemi talep edilmesi. Ses klonlama artık teknik uzmanlık gerektirmiyor — birkaç dakikalık halka açık video yeterli örnek veri sağlıyor. Kurumsal ortamda bu saldırı biçimi "CEO dolandırıcılığı"nın yapay zeka destekli versiyonu; muhasebe veya finans ekibindeki bir çalışan, üst yöneticinin sesiyle acil bir kripto transferi talimatı alıyor.
Türk Ceza Kanunu açısından deepfake kullanılarak yapılan dolandırıcılık nitelikli dolandırıcılık suçu kapsamına giriyor; bilişim sistemleri araç olarak kullanıldığında ceza aralığı dört yıldan on yıla kadar hapis ve adli para cezasına kadar çıkabiliyor. Bilişim sistemi, banka veya kredi kurumu araç olarak kullanıldığında ceza alt sınırı daha da yükseliyor. Ancak fail genellikle yurt dışında ve anonim kripto altyapısı arkasında olduğundan, hukuki yaptırım paraların geri alınmasını garanti etmiyor — kovuşturma başarılı olsa bile mağdurun kripto varlığını geri kazanması ayrı ve çoğu zaman sonuçsuz bir süreç. Lisanslı borsalarda işlem yapmanın önemine ve platform doğrulama yöntemlerine dair SPK lisans rehberimizde daha fazla bilgi bulabilirsiniz.
Deepfake Saldırılarına Karşı Somut Savunma
Klasik phishing tavsiyeleri (şüpheli bağlantıya tıklamayın, seed kelimenizi paylaşmayın) hâlâ geçerli, ancak deepfake tehdidi ek önlemler gerektiriyor. Aşağıdaki adımlar özellikle ses veya görüntü içeren temaslarda uygulanmalı:
- Görüntülü veya sesli "acil" taleplere karşı bir güvenlik sözcüğü belirleyin. Aile üyeleri veya iş ortaklarıyla önceden kararlaştırılmış, halka açık hiçbir yerde geçmeyen bir kelime, gerçek kişiyi deepfake'ten ayırt etmenin en pratik yolu.
- Her acil para veya kripto transferi talebini ikinci bir kanaldan doğrulayın. Arayan kişi "patronunuz" ya da "borsa temsilciniz" olsa bile, aynı görüşme içinde işlem yapmayın; bilinen bir numaradan geri arayın veya yüz yüze teyit isteyin.
- Ünlü isimlerin yer aldığı "garantili kazanç" reklamlarına güvenmeyin. Bir kamu figürünün kripto yatırımı önerdiği her video, aksi kanıtlanana kadar sahte kabul edilmeli — özellikle sosyal medya reklamı üzerinden geldiyse.
- Donanım cüzdan ve uygulama tabanlı 2FA kullanın. Deepfake saldırganı sizi ikna etmeyi başarsa bile, işlem onayı için fiziksel cihaz gerektiren bir kurulum son savunma hattı olarak işlev görür. SMS tabanlı doğrulama SIM taşıma saldırılarına açık olduğundan Google Authenticator veya Authy gibi uygulama tabanlı çözümler tercih edilmeli.
- Küçük "deneme kârı" gösteren platformlara şüpheyle yaklaşın. Sahte yatırım siteleri güven inşa etmek için ilk yatırımları gerçekten geri ödüyor; asıl tuzak ikinci ve üçüncü yatırımda kapanıyor.
- Kurumsal ortamda transfer talimatlarını çift onaya bağlayın. Muhasebe veya finans ekibinde çalışıyorsanız, kripto veya döviz transferi gerektiren her talimatın ikinci bir yetkili tarafından bağımsız kanaldan onaylanmasını zorunlu kılan bir prosedür, ses klonlama saldırısının en etkili panzehiri.
H1 2026'da kaydedilen 972 milyon dolarlık kayıp, saldırganların artık kodu değil insanı hedef aldığını açıkça gösteriyor. Yapay zeka bu saldırıları daha ucuz, daha hızlı ve daha ikna edici hale getirdi; Sakarya vakası bunun Türkiye'de soyut bir risk değil, günlük gerçeklik olduğunu kanıtlıyor. Teknik savunmanız (donanım cüzdan, uygulama tabanlı 2FA) ne kadar sağlam olursa olsun, ekranın öbür ucundaki sesin veya görüntünün gerçek olduğunu varsaymamak bugün en kritik güvenlik alışkanlığı. Bir görüşme sizi acele ettiriyorsa — özellikle para veya kripto transferi konusunda — bu zaten en güçlü uyarı işareti.