Yuga Labs’ın blockchain yöneticisi Quit, QQL adına yeni bir satış varmış gibi davranan hesaplarla etkileşime girilmemesi çağrısı yaptı. Bir cüzdandan varlık çalındığını bildiren paylaşımda kayıp tutarı ve işlem kayıtları açıklanmadı.
QQL koleksiyoncularına, sanatçı Tyler Hobbs’un kimliğini taklit eden hesaplardan gelen mint duyurularına karşı uyarı yapıldı. Yuga Labs’ta blockchain’den sorumlu yönetici olan Quit, 20 Ekim saat 02.32 TSİ’de yayımladığı paylaşımda birden fazla taklit hesabın QQL mint işlemlerinin yeniden açıldığı iddiasını yaydığını belirtti. Koleksiyoncuları hesaplarla etkileşime girmemeye çağırdı.
Quit, bir kişinin cüzdanından varlık çalındığını, başka bir kişinin ise Pocket Universe güvenlik aracı sayesinde benzer bir kayıptan kurtulduğunu söyledi. Paylaşımda mağdur cüzdanları, işlem kimlikleri ve kayıp tutarı yer almıyor. Hangi işlem veya imzanın istendiği de açıklanmadığından, saldırının teknik yöntemi henüz doğrulanmış değil.
“QQL mint işlemleri yeniden açılmadı.”
Quit’in X paylaşımından
Quit’in taklit hesaplara ilişkin uyarısı, Türkiye saatiyle 20 Ekim’de; UTC’ye göre 19 Ekim’de yayımlandı:
Mevcut Mint Pass sahipleri eser üretmeye devam edebiliyor
Mevcut Mint Pass sahiplerinin seçtikleri eseri üretmek için yeni bir satış beklemesi gerekmiyor. QQL’nin resmî belgeleri, Eylül 2022’de koleksiyonun 999 Mint Pass ile başladığını ve pass’lerin son kullanım tarihi bulunmadığını söylüyor. Her pass, seçilen bir algoritma çıktısını resmî QQL NFT’sine dönüştürme hakkı veriyor. Eser üretildiğinde kullanılan pass yakılıyor; koleksiyon büyürken kullanılmamış pass sayısı azalıyor.
Tyler Hobbs ile Dandelion Mané’nin geliştirdiği QQL’de koleksiyoncu, yalnız satın alma anında üretilen rastgele bir görseli kabul etmek zorunda değil. Algoritmanın farklı çıktılarını inceleyip kalıcı koleksiyona hangi eserin gireceğine karar verebiliyor. Projenin tanıtım ve soru-cevap sayfasına göre herkes algoritmayı deneyebilir ve görselleri inceleyebilir; resmî NFT üretmek içinse Mint Pass gerekir. Hobbs’un açıklamasına göre oluşturulan görselleri kaydetmek isteyenler, isteğe bağlı olarak Ethereum cüzdanı bağlayabiliyor.
Hobbs, 3 Mayıs 2024 tarihli açıklamasında “seed” adı verilen verinin aynı görseli yeniden üretmeyi sağladığını anlatıyor. Verinin içinde üreticinin cüzdan adresi de bulunuyor; varsayılan olarak eseri resmî koleksiyona dönüştürme yetkisi seed’in sahibine ait. Seed sahipliği başkasına devredilebiliyor. 2023’te açılan Seed Marketplace’te listelenen bir çıktı ise satın alma sırasında resmî QQL NFT’sine dönüştürülüyor.
Sanatçının QQL sitesine gömdüğü eski Vimeo tanıtımının 00:19–00:57 bölümü, 999 pass ile koleksiyoncunun eser seçme rolünü açıklıyor. Tyler Hobbs hesabındaki kayıt, açıklamasında 28 Eylül 2022’deki ilk açık artırmayı tanıtıyor; güncel taklit hesap uyarısına ait bir video değil. O dönemde 999 pass’in 900’ünün açık artırmaya sunulacağı belirtiliyordu.
Sahte koleksiyonlara karşı sözleşme kontrolü
QQL’nin Mint Pass rehberi, taklit pass koleksiyonları bulunduğunu ayrıca belirtiyor. Rehber, ikincil piyasadaki koleksiyona resmî bağlantılardan ulaşılmasını ve OpenSea sayfasındaki sözleşme adresinin Etherscan üzerinden karşılaştırılmasını öneriyor. Kontrol edilmesi gereken adres, eser üretme hakkını taşıyan Mint Pass sözleşmesine ait; oluşturulmuş QQL eserlerinin koleksiyonu ile karıştırılmamalı.
Resmî Mint Pass sözleşmesi: 0xc73B17179Bf0C59cD5860Bb25247D1D1092c1088. Adres, QQL’nin kendi rehberinde yayımlanıyor. Kopyalanan ad veya görsel, gerçek koleksiyonu tanımlamak için yeterli değil. Sitenin alan adı ve cüzdanın istediği yetki ayrıca kontrol edilmeli.
Hobbs’un gerçek hesabının ele geçirildiğini veya QQL sözleşmesinde açık bulunduğunu gösteren bir teknik bulgu paylaşılmadı. Saldırgan adresleri ve başka mağdurların bulunup bulunmadığı açıklanmadı.
FBI’ın eski uyarısında geliştirici hesaplarının taklidi
FBI, 4 Ağustos 2023 tarihli NFT dolandırıcılığı uyarısında saldırganların geliştiricilerin sosyal medya hesaplarını ele geçirebildiğini veya neredeyse aynı görünen hesaplar açabildiğini anlatmıştı. Sürpriz satış ve sınırlı arz söylemleriyle acele karar verilmesi isteniyor; bağlantılar gerçek projeye benzeyen sahte sitelere yönlendirebiliyor. Kurumun anlattığı senaryolarda cüzdandaki varlıkları saldırgana aktaran kötü amaçlı sözleşmeler kullanılıyor. Eski uyarı, genel oltalama yöntemini açıklıyor; QQL vakasında hangi yetkinin alındığını ortaya koymuyor.
Kurum, fırsatı duyuran hesabın geçmişinin ve kullanıcı adının, ardından sitenin alan adının denetlenmesini öneriyor. Şüpheli işlem veya dolandırıcılık bildirimi yapılırken kullanılan bağlantıların, sosyal medya hesaplarının, kripto adreslerinin ve alan adlarının saklanmasını istiyor.
