Bir Yardım Kuruluşu, Bağış Gönderdiğiniz Cüzdanı Kontrol Ettiğini Nasıl Kanıtlayabilir?

İşte rahatsız edici bir cevabı olan bir soru. Bir yardım kuruluşu size bir bağış adresi gösterdiğinde, o adresin kuruluşa ait olduğunu tam olarak ne kanıtlıyor?

Genellikle: hiçbir şey. Baktığınız web sayfasının, kuruluşun yayımladığı sayfa olduğuna güveniyorsunuz. Bu, çoğu zaman güvenilmesi makul bir şey ve teknolojinin mümkün kıldığından daha zayıf bir güvence.

22 Ekim 2026 tarihinde kripto bağış sayfalarını birinci elden kontrol etmemizin bir parçası olarak daha iyisini yapan kuruluşlar aradık. Gerçekten titiz bir şey yapan bir kuruluş bulduk ve bunu anlatmaya değer, çünkü geri kalanımızın altında kaldığı standardı o belirliyor.

Tehdit zincir değil, sayfa

Blokzincir tartışmaları bir işlemin güvenli olup olmadığına odaklanmaya eğilimli. Bir bağışçı için işlem, zaten çalışan kısım. Zayıf nokta daha öncesinde: adresin ekranınıza nasıl geldiği.

Kimse hiçbir kriptografiyi kırmadan, size gösterilen adresin yanlış adres olabileceği yollar:

• Kuruluşun sitesi ele geçirilmiş ve adres değiştirilmiştir.
• Sayfadaki bir içerik yönetim eklentisi, analiz betiği veya reklam etiketi ele geçirilmiştir.
• Neredeyse birebir aynı bir alan adı üzerinden gelmişsinizdir.
• Kuruluşun kendi barındırması veya DNS'i devralınmıştır.
• Tarayıcınızdaki bir eklenti sayfadaki adresleri yeniden yazıyordur.

Bunların her birinde kriptografi kusursuz çalışır. Bağışınızı sadakatle ve geri alınamaz biçimde saldırgana gönderir. Geri alınamazlık, burası dışında her yerde bir özelliktir.

Titiz olanın görüntüsü

Qubes OS projesi bağış adreslerini iki kez yayımlıyor: bağış sayfasında ve Qubes Security Pack adlı, kriptografik olarak imzalanmış bir sürümün içinde, imzaların nasıl doğrulanacağına dair belgelenmiş talimatlarla.

Bu, soruyu tamamen değiştiriyor. Artık "bu web sayfası dürüst mü?" diye değil, "bu adres Qubes sürümlerini imzalayan anahtarlarla imzalanmış mı?" diye soruyorsunuz — web sitesine, barındırmaya veya ağa hiç güvenmeden, çevrimdışı yanıtlayabileceğiniz bir soru.

Kendi sayfasından, iyi uygulama olduğunu düşündüğümüz iki ayrıntı daha:

• Bitcoin fonu bir çoklu imzalı cüzdanda tutuluyor; böylece projenin kendi ifadesiyle hiç kimse tek başına fonları harcayabilecek durumda değil.
• Ethereum adresi yalnızca ana ağda bulunan bir akıllı sözleşme cüzdanı ve sayfa, başka ağlar üzerinden gönderilen varlıkların kaybolabileceğini kırmızı bir kutu içinde uyarıyor.

İkinci nokta bir kanıttan ziyade bir güvenlik uyarısı; ama aynı içgüdüden geliyor: bağışını yok edebilecek şeyi bağışçıya önceden ve gözden kaçması imkânsız biçimde söylemek.

GrapheneOS Foundation bunun daha hafif bir sürümünü yapıyor: sahip olduğu, insanın okuyabileceği bir Cardano handle'ını ham adresinin yanında yayımlıyor — addr1 ile başlayan yüz küsur karakteri gözle kontrol etmekten daha kolay, yine de sayfanın dürüst olmasına bağlı.

The Tor Project, Bitcoin'i üçüncü taraf bir ödeme sağlayıcısı yerine kendi alan adında çalışan bir BTCPay Server üzerinden alıyor; bu da adreslerin Tor'un kontrol ettiği altyapı tarafından üretildiği anlamına geliyor. Bu bir özgünlük kanıtı değil, bir saklama güvencesidir: paranın nerede son bulduğunu söyler, sayfanın değiştirilmediğini söylemez.

Bir dakikadan kısa sürede kontrol edebileceğiniz dört şey

Yardım kuruluşlarının çoğundan kriptografik kanıt alamayacaksınız. Yine de şansınızı belirgin biçimde artırabilirsiniz.

1. Alan adını dikkatle, karakter karakter kontrol edin, özellikle yerleri değişmiş harfler ve eklenmiş kelimeler için. Sonra sertifika kilidine bakın.
2. Adresi birbirinden bağımsız iki yerden alın — bağış sayfasından ve diyelim ki kuruluşun resmi kod deposundan, e-posta listesi duyurusundan ya da doğrulanmış sosyal medya hesabından. Bir saldırgan genellikle birini kontrol eder, ikisini nadiren.
3. Yıllardır bir şablonda duran sabit bir adres yerine, her bağış için yeni bir adres üreten bir sayfayı tercih edin. Bayatlamış sabit bir adres, sessizce değiştirilmesi en kolay şeydir.
4. Miktar önemliyse önce küçük bir deneme gönderin ve gerisini göndermeden önce alındığını doğrulayın.

Ve hiçbir maliyeti olmayan bir tane: onlara sorun. "Bu adresi başka bir kanaldan doğrulayabilir misiniz?" Kriptoyu ehil biçimde yöneten bir kuruluş bunu tuhaf bir istek bulmayacaktır. Kuruluş araştırması hakkında daha fazlasını bir kripto yardım kuruluşunun gerçek olup olmadığı nasıl anlaşılır yazısında yazdık.

Bu bizi dürüstçe nerede bırakıyor

Soruyu kendimize de uygulamalıyız, çünkü uygulamamak saçma olurdu.

TraceGood kriptografik olarak imzalanmış bağış adresleri yayımlamıyor. Bize gelen bağışlar, ödeme bilgilerini her bağış için ödeme anında üreten bir ödeme sağlayıcısı üzerinden geçiyor. Bunun bir gerçek güvenlik faydası ve bir gerçek maliyeti var.

Fayda: sitemizde değiştirilecek uzun ömürlü, sabit bir adres yok. Bir saldırgan sessizce bir şablonu düzenleyip aylarca bağış toplayamaz.

Maliyet: adresi önceden doğrulayamazsınız, çünkü bir bağış başlatana kadar var olmuyor — ve hem bizim sayfamıza hem de sağlayıcının ödeme ekranına güveniyorsunuz. Neredeyse herkesin istediği güvenin aynısını istiyoruz ve çözmediğimiz bir şeyi çözmüş gibi göstermek yerine bunu adıyla anmayı tercih ediyoruz.

Sunduğumuz şey, olaydan sonra doğrulama: onaylanan her bağış, bağımsız bir blok gezginindeki işleme bağlantıyla herkese açık kaydımızda görünüyor; böylece gönderdiğinizin ulaşanla aynı olduğunu kontrol edebiliyorsunuz.

Bu, Qubes'un yaklaşımından daha zayıf. Aradaki açığın hangi yöne doğru olduğunu söylemeye değer.

Yardım kuruluşlarının buradan çıkarması gerekenler

Kendi anahtarlarınızı tutuyorsanız, adreslerinizi imzalamak zor değil ve neredeyse hiç kimse bunu yapmıyor. Çok küçük bir grupta olurdunuz ve bu, teknik bağışçıların fark ettiği türden bir şey.

En azından:

• Adresi ikinci, bağımsız bir yerde yayımlayın ve bağışçılara karşılaştırmalarını söyleyin.
• Ağı, adresin yanında koyu harflerle belirtin.
• Anlamlı büyüklükte her şey için çoklu imzalı saklama kullanın ve kullandığınızı söyleyin.
• Bağış sayfanızdaki üçüncü taraf betikleri denetleyin. Her biri adresi yeniden yazabilir.
• Sabit adresleri şablonlardan uzak tutun — yazıldıkları günden beri kimsenin gözden geçirmediği şablonlardan.

Bizim konumumuz

Estonya'da kâr amacı gütmeyen dernek olarak tescili henüz tamamlanmamış, yeni kurulmuş bir kuruluşuz ve bize yapılan bağışlar hiçbir ülkede vergiden düşülemez. Hakkımızda sayfamız tam durumu açıklıyor.

Bağış sayfalarımızda yanlış görünen bir şey fark ederseniz, hemen bize bildirin.

Bağışınızı blokzincirde nasıl doğrularsınız · Kabul ettiğimiz tüm paraları görün