Kripto Onayları (Unlimited Approval) Neden Riskli? Cüzdanınızı Temizleyin

Merkeziyetsiz Finans (DeFi) dünyasının özgürlük vaadi, beraberinde ciddi sorumlulukları da getirir. Birçok kullanıcı, cüzdanlarıyla bir dApp (Merkeziyetsiz Uygulama) üzerinde etkileşime girerken, karşılarına çıkan “Onayla” (Approve) penceresini bir formalite olarak görür ve hızla geçer. Ancak bu masum görünen tıklama, aslında cüzdanınızın kapılarını ardına kadar açan bir “açık çek” niteliğindedir. Sınırsız Onay (Unlimited Approval) mekanizması, kullanıcı deneyimini iyileştirmek için tasarlanmış olsa da, günümüzde siber saldırganların en sevdiği arka kapılardan biri haline gelmiştir. Bu makalede, 2026 yılı güvenlik standartları çerçevesinde, verdiğiniz izinlerin teknik olarak ne anlama geldiğini, bu izinlerin nasıl istismar edildiğini ve dijital varlıklarınızı korumak için cüzdanınızı nasıl “sterilize” edeceğinizi inceleyeceğiz.

Bitay olarak amacımız, sadece işlem yapmanızı sağlamak değil, aynı zamanda finansal okuryazarlığınızı en üst seviyeye taşımaktır. Bitay Defi Analizi 2026’nın En Kapsamlı Rehberi kapsamında ele aldığımız güvenlik protokolleri, bu rehberin temelini oluşturmaktadır. Cüzdan güvenliğinizi şansa bırakmayın; çünkü blokzincirde yapılan bir hatanın geri dönüşü yoktur.

Token Onayı (Approval) Nedir? Teknik Arka Plan

Ethereum ve EVM (Ethereum Virtual Machine) uyumlu ağlarda, standart ERC-20 tokenlarının transfer mekanizması iki aşamalıdır. Bir akıllı sözleşme (örneğin Uniswap), cüzdanınızdaki bir tokenı (örneğin USDT) sizin adınıza transfer edebilmek için öncelikle sizden açık bir yetki almak zorundadır. Bu yetki olmadan, sözleşme cüzdanınızdaki varlıklara dokunamaz.

İşlem yaparken karşınıza çıkan ilk pencere, “Approve” (Onayla) işlemidir. Bu işlem, blokzincire “X sözleşmesi, benim cüzdanımdan Y miktarına kadar token harcayabilir” mesajını kaydeder. Bu, bir banka şubesine gidip “Şu kişi benim hesabımdan para çekebilir” talimatı vermeye benzer. Bu yetkinin kapsamı ve süresi, güvenliğinizin temelini oluşturur. Temel güvenlik prensiplerini hatırlamak için DeFi Güvenlik Rehberi yazımızı inceleyebilirsiniz.

Sınırsız Onay (Infinite Approval) Tuzağı

DeFi protokolleri, kullanıcıların her işlemde tekrar tekrar onay verip gas ücreti ödemesini engellemek için genellikle “Sınırsız Onay” talep eder. Bu işlemde, harcama limiti olarak 2^256 - 1 (neredeyse sonsuz bir sayı) belirlenir. Kullanıcı bir kez onay verdiğinde, o protokol artık o token için cüzdandaki tüm bakiyeye (mevcut ve gelecekteki) erişim hakkına sahip olur.

Bu yöntem kullanıcı deneyimi (UX) açısından harika olsa da, güvenlik açısından bir kabustur. Eğer yetki verdiğiniz protokolün akıllı sözleşmesinde bir açık bulunursa veya protokolün yönetici anahtarları çalınırsa, saldırganlar sizin özel anahtarınıza (Private Key) ihtiyaç duymadan cüzdanınızdaki yetki verilmiş tüm tokenları kendi cüzdanlarına çekebilirler. Bu riskin boyutunu anlamak için Akıllı Sözleşme Denetimi konusundaki analizlerimizi okumanız önemlidir.

Risk Senaryoları: Protokol Hacklenirse Ne Olur?

Sınırsız onay verdiğiniz bir senaryoyu düşünelim:

1. Popüler bir DEX olan “SwapX”e USDT için sınırsız harcama izni verdiniz.

2. Cüzdanınızda 10.000 USDT var ve bunun sadece 100 USDT’si ile işlem yaptınız.

3. SwapX’in akıllı sözleşmesinde bir güvenlik açığı bulundu ve hackerlar sözleşmeyi ele geçirdi.

4. Hacker, sözleşmenin yetkisini kullanarak cüzdanınızdaki kalan 9.900 USDT’yi de kendi hesabına transfer eder.

5. Siz uyurken cüzdanınız boşaltılır, çünkü kapıyı açık bırakmıştınız.

Bu senaryo, ne yazık ki teorik değildir. DeFi tarihinin en büyük kayıpları bu mekanizma üzerinden gerçekleşmiştir. Bu tür saldırılara karşı korunma yöntemlerini En Tehlikeli DeFi Saldırıları makalemizde detaylandırdık.

Geçmişten Dersler: BadgerDAO ve Wormhole Saldırıları

2021 yılında gerçekleşen BadgerDAO saldırısı, sınırsız onayın risklerini acı bir şekilde gösterdi. Saldırganlar, protokolün ön yüzüne (Frontend) sızarak kullanıcılara fark ettirmeden kötü niyetli bir kontrata sınırsız harcama izni verdirdiler. Kullanıcılar normal işlem yaptıklarını sanarken, aslında varlıklarını hackerlara teslim ediyorlardı. Sonuç: 120 milyon doların üzerinde kayıp.

Benzer şekilde, köprü protokolleri (Bridges) de bu riskin merkezindedir. Zincirler arası transfer yaparken verilen izinler, köprü hacklendiğinde felakete dönüşebilir. Zincirler arası güvenliği sağlamak için Köprü Güvenliği rehberimizdeki stratejileri uygulamanız hayati önem taşır.

Cüzdan Temizliği: Revoke İşlemi Nasıl Yapılır?

Verilen izinler kalıcı değildir; istediğiniz zaman iptal edilebilir. Bu işleme “Revoke” denir. Revoke işlemi, harcama limitini tekrar “0” olarak güncelleyen yeni bir blokzincir işlemidir. Cüzdanınızın sağlığı için düzenli olarak “Revoke” yapmanız şarttır.

Revoke işlemi için Etherscan’in “Token Approval” aracını, Revoke.cash platformunu veya Rabby Wallet gibi entegre çözümleri kullanabilirsiniz. Bu işlemin adım adım nasıl yapılacağını ve hangi araçların en güvenli olduğunu Revoke İşlemi Nedir? rehberimizde, ekran görüntüleri ve detaylı anlatımlarla bulabilirsiniz.

En İyi Uygulamalar: Her İşlemde Güvenlik

Sınırsız onay riskini minimize etmek için şu alışkanlıkları edinmelisiniz:

1. Sadece Gereken Miktarı Onaylayın: 100 USDT takas edecekseniz, sadece 100 USDT için onay verin. Çoğu modern cüzdan, “Default” (Varsayılan) yerine “Custom” (Özel) limit girmenize izin verir.

2. İşlem Sonrası Revoke: Büyük bir işlem yaptıktan sonra veya bir protokolle işiniz bittiğinde, verdiğiniz izni hemen kaldırın.

3. Bilinmeyen Protokollerden Kaçının: Denetimden geçmemiş veya şüpheli projelere asla sınırsız yetki vermeyin. Bu tür projeler genellikle Rug Pull veya Honeypot tuzağı olabilir.

Otomatik Araçlar ve Tarayıcı Eklentileri

Manuel kontroller zaman alıcı olabilir. 2026 teknolojisi, güvenliği otomatize eden araçlar sunmaktadır. Wallet Guard, Pocket Universe gibi tarayıcı eklentileri, bir işlem imzalamadan önce sizi uyarır: “Bu işlem, X kontratına sınırsız erişim verecek, emin misiniz?” Bu uyarılar, bir anlık dalgınlıkla yapılacak hataları önler.

Hangi güvenlik araçlarının portföyünüzü korumak için en etkili olduğunu DeFi Güvenlik Araçları 2026 listemizde bulabilirsiniz. Ayrıca, cüzdanınızda şüpheli bir hareket fark ederseniz kullanmanız gereken acil durum araçları için Kripto Cüzdanım Hacklendi mi? rehberine başvurmalısınız.

Donanım Cüzdanları ve Onay Mekanizması

Birçok kullanıcı, donanım cüzdanı (Ledger, Trezor) kullanmanın onları sınırsız onay riskinden koruduğunu düşünür. Bu büyük bir yanılgıdır. Donanım cüzdanı, özel anahtarınızı korur; ancak verdiğiniz onayı (imzayı) engelleyemez. Eğer donanım cüzdanınızla kötü niyetli bir kontrata sınırsız yetki verirseniz, cihazınız kasada kilitli olsa bile varlıklarınız çalınabilir.

Soğuk cüzdan kullanırken bile dijital hijyen kurallarına uymak zorundasınız. Donanım cüzdanlarının doğru kullanımı ve limitleri hakkında detaylı bilgi için Soğuk Cüzdan ve DeFi makalemizi inceleyin.

Sıkça Sorulan Sorular (SSS)

Revoke işlemi ücretli midir?

Evet, Revoke işlemi blokzincir üzerinde bir veri değişikliği (state change) gerektirdiği için normal bir işlem gibi gas ücreti ödemeniz gerekir. Ancak varlıklarınızı kaybetme riskiyle kıyaslandığında bu ücret ihmal edilebilir düzeydedir.

Cüzdanımın bağlantısını kesmek (Disconnect) izinleri kaldırır mı?

Hayır. “Disconnect” sadece web sitesinin cüzdanınızı görmesini engeller. Blokzincir üzerindeki harcama yetkisi (allowance) hala aktiftir. İzinleri kaldırmak için mutlaka on-chain bir “Revoke” işlemi yapmalısınız.

Hangi tokenlara izin verdiğimi nasıl görebilirim?

Etherscan, BscScan gibi blokzincir kaşiflerinin “Token Approval” bölümünden veya Revoke.cash gibi özel araçlardan cüzdan adresinizi taratarak tüm aktif izinleri görebilirsiniz.

Sınırsız onay vermeden işlem yapabilir miyim?

Evet. Çoğu cüzdan (Metamask, Rabby vb.) onay penceresinde “Varsayılan” (Default) yerine “Özel” (Custom) harcama limiti girmenize izin verir. Buraya sadece işlem yapacağınız tutarı girerek riski minimize edebilirsiniz.

Yasal Uyarı: Bu makale finansal okuryazarlık amacıyla hazırlanmıştır ve yatırım tavsiyesi değildir. Kripto varlık piyasaları yüksek siber güvenlik riskleri ve volatilite barındırır. İşlem yapmadan önce mutlaka kendi araştırmanızı (DYOR) yapınız.