Rabby Wallet güvenli mi?

Kısa yanıt

Resmî mağazalardan yüklenen gerçek Rabby Wallet, günlük EVM kullanımı için sağlam bir seçimdir ve imza öncesi kontrolleri onu pratikte birçok cüzdandan daha güvenli kılar. "Güvenli" olması cüzdandan çok onu nasıl kullandığınıza bağlıdır: sahte bir indirme, bir web sitesine yazılan kurtarma ifadesi veya bir boşaltıcı sözleşmeye verilen sınırsız onay her cüzdanı boşaltır. Büyük tutarlar için Rabby'yi bir donanım cüzdanıyla birlikte kullanın.

Rabby anahtarlarınızı nasıl korur

• Kendi kendine saklama. Kurtarma ifadeniz ve özel anahtarlarınız cihazınızda oluşturulur ve parolanızla şifrelenerek saklanır. Rabby'nin sunucuları bunları tutmaz.
• Yerel parola. Parola yalnızca o cihazdaki cüzdanın kilidini açar. Bir hesap parolası değildir ve fonlarınızı başka bir yerde kurtaramaz. Unutursanız kurtarma ifadesinden geri yüklersiniz (bkz. Rabby parolamı unuttum).
• Donanım cüzdanı seçeneği. Ledger, Trezor, Keystone veya benzeri bir cihazla anahtarlar bilgisayarınıza ya da telefonunuza hiç dokunmaz; Rabby yalnızca cihazın imzalayacağı işlemleri hazırlar. Bkz. Rabby'de donanım cüzdanları.
• İmza öncesi kontroller. Rabby her işlemi simüle eder ve beklenen bakiye değişikliklerini gösterir; riskli onayları, tanımadığı alıcıları ve şüpheli sözleşmeleri işaretler. Bkz. işlem simülasyonu.

Açık kaynak

Eklentinin kaynak kodu GitHub'da MIT lisansıyla herkese açıktır; mobil uygulamanın kodu da ayrı bir depoda herkese açıktır (CryptoSlate'e göre lisans dosyası olmadan, Ekim 2026). Herkese açık kod, araştırmacıların anahtarların nasıl saklandığını kontrol etmesini sağlar. Ancak tek başına mağazadaki sürümün kodla eşleştiğini kanıtlamaz; bu yüzden denetimler ve uzun bir geçmiş de önemlidir.

Denetimler

Rabby denetim raporlarını GitHub deposunun audits klasöründe tutar; Least Authority de raporlarını kendi sitesinde yayımlar.

Kaynaklar: Least Authority denetim sayfaları; Rabby'nin GitHub denetim klasörü; CryptoSlate incelemesi (24 Ekim 2026'da güncellendi). 2026 raporlarının bulgularını tam olarak okuyamadığımız için özetlemedik. Denetim, kodun belirli bir andaki incelemesidir; bir garanti değildir. Çözülmemiş bulgular, denetçilerin rapor yayımlandığında Rabby'nin henüz benimsemediği iyileştirme alanları gördüğü anlamına gelir; fonların bilinen bir istismar nedeniyle risk altında olduğu anlamına gelmez.

Ekim 2022 Rabby Swap istismarı

Rabby Swap 14 Eylül 2022'de kullanıma sunuldu. 11 Ekim 2022'de bir saldırgan, swap sözleşmesindeki bir açığı istismar ederek onu onaylamış kullanıcıların token'larını birkaç ağda taşıdı (The Block, 11 Ekim 2022). Bildirilen kayıplar yaklaşık 114 ETH ve 179 BNB, o zamanki değeriyle kabaca 200.000 ABD dolarıydı (Web3 Is Going Great; CryptoSlate). Sözleşme PeckShield tarafından denetlenmişti ve açık gözden kaçmıştı.

Rabby, Swap'ı kullanmış herkese tüm ağlardaki tüm onayları iptal etmesini söyledi ve Swap'ı hiç kullanmamış cüzdanların etkilenmediğini belirtti. Özel anahtarlar etkilenmedi. Sonraki bazı incelemeler mağdurlara tazminat ödendiğini söylüyor, ancak Rabby'nin bu konudaki orijinal açıklamasını bulamadık. Eski sözleşme durdurulamaz; bu yüzden hâlâ ona işaret eden her onay risklidir. Ders her cüzdan için geçerlidir: bir sözleşmeye verilen onay, siz iptal edene kadar açık kalır. Onaylarınızı onay açıklayıcı ile kontrol edin ve eski onayları iptal edin. Diğer olaylar Rabby güvenlik geçmişi sayfasında listeleniyor.

Sessiz imza hatası, Ağustos 2026

Ağustos 2026'da güvenlik araştırmacısı V12, eklentide bir açık bildirdi: daha önce bağlandığınız kötü niyetli bir site, siz görmeden bir imza alabiliyordu; ancak bu yalnızca otomatik kilit 10 dakikaya ayarlıysa mümkündü. Rabby'nin kod düzeltmesi, bekleyen bir imza isteğinin artık yalnızca cüzdanın kilidini açarak onaylanamamasını sağladı. Düzeltilmiş eklenti 11 Ağustos 2026'da yayımlandı; mobil uygulama etkilenmedi ve herhangi bir istismar bildirilmedi (TechFlow, 20 Ağustos 2026; Rabby GitHub). Rabby'yi güncel tutun.

Eylül 2025'te popüler JavaScript paketlerine yönelik yaygın bir saldırı sırasında Rabby, bağımlılıklarını sabitlediği (pin) için cüzdanının etkilenmediğini söyledi (Rabby, X'te, 9 Eylül 2025, IQ.wiki'nin özetine göre).

Daha büyük risk: sahte Rabby cüzdanları

Taklit, Rabby ile ilgili kayıplara hatalardan çok daha fazla yol açar:

• Sahte App Store uygulaması (Şubat 2024). "Solution Development" adlı bir geliştiricinin "Rabby Wallet & Crypto Solution" adlı uygulaması, Rabby'nin gerçek iOS uygulaması yayımlanmadan önce kurtarma ifadelerini çaldı. Rabby kullanıcıları 16 Şubat 2024'te uyardı (ForkLog).
• Sahte Firefox eklentileri (2025 ve 2026). Socket araştırmacıları, cüzdan verilerini saldırganlara gönderen 40 kötü amaçlı Firefox eklentisi arasında 13 değiştirilmiş Rabby sürümü buldu (The Hacker News, 20 Ağustos 2026) ve Ekim 2026'da dört Rabby klonu daha tespit etti. Rabby'nin resmî Firefox eklentisi yoktur.
• Sahte web siteleri. Rabby arama sonuçları; ücretsiz barındırma hizmetlerinde, kurs platformlarında ve hacklenmiş sitelerde bulunan benzer indirme sayfalarıyla dolu.

Ayrıntılar ve kurtarma adımları: sahte Rabby cüzdanı dolandırıcılıkları.

İmza penceresindeki tehlike işaretleri

Rabby'nin açılır penceresi size bilgiyi verir; yine de onu okumanız gerekir. Bunlardan birini görürseniz durun ve reddedin:

• Beklemediğiniz token çıkışları; örneğin ETH'nizin veya stablecoin'lerinizin çıktığını gösteren bir "ücretsiz mint" veya "claim".
• İşlem yapmadığınız bir token için onay veya permit; özellikle sınırsız bir miktar için ya da Rabby'nin yeni veya riskli olarak işaretlediği bir harcayıcıya.
• Tanımadığınız bir sitede bir NFT koleksiyonu için "set approval for all" isteği. O koleksiyondaki tüm NFT'leri teslim eder.
• Anlamadığınız zincir dışı bir imza (permit). Bir mesajı imzalamak, o anda hiç gas harcanmadan bir transfere yetki verebilir.
• Daha önce kullandığınızı düşündüğünüz bir adres için "ilk kez alıcı" uyarısı. Bu, adres zehirlenmesinin klasik işaretidir; adresin tamamını adres denetleyici ile karşılaştırın.
• Ziyaret etmek istediğiniz site olmayan bir site. İstekte gösterilen alan adını kontrol edin.

Dürüst sınırlar

• Sıcak cüzdandır. Anahtarlar internete bağlı bir cihazda bulunur. Bilgisayarınızdaki veya telefonunuzdaki kötü amaçlı yazılım ya da kötü niyetli bir tarayıcı eklentisi onları yine de çalabilir.
• Tarayıcı riski. Yüklediğiniz diğer her eklenti web sayfalarını okuyabilir ve değiştirebilir; bazıları saldırganlar tarafından ele geçirilebilir. Az sayıda eklenti tutun.
• Uyarılar göz ardı edilebilir. Rabby uyarılarına rağmen imzalamanıza izin verir ve alışılmadık işlemlerde körü körüne imzalama (blind signing) hâlâ mümkündür.
• Simülasyonun sınırları vardır. Şu anda ne olacağını gösterir; onaylanmış bir sözleşmenin daha sonra ne yapacağını tahmin edemez ve her özel ağda çalışmayabilir.
• Zayıf parolalar yerel şifrelemeyi zayıflatır. Uzun ve benzersiz bir parola kullanın.

Rabby'yi güvenle nasıl kullanırsınız

1. Yalnızca resmî mağazalardan yükleyin. rabby.io adresini kendiniz yazın veya yer işareti kullanın ve acmacodkjbdgmoleebolmdjonilkdbch eklenti kimliğini doğrulayıcı ile kontrol edin.
2. Kurtarma ifadenizi kâğıda veya metale yazın ve çevrimdışı saklayın. Bkz. kurtarma ifadesi yedeği.
3. Kurtarma ifadenizi asla bir web sitesine, sohbete veya forma yazmayın. Rabby ve DeBank bunu asla istemez; gerçek destek ekibi size asla önce DM atmaz.
4. Her imzada bakiye değişikliği ön izlemesini okuyun. Beklemediğiniz token çıkışları gösteriyorsa durun.
5. Sınırsız onaylardan kaçının ve eski onayları düzenli olarak iptal edin.
6. Birikimleriniz için donanım cüzdanı kullanın; sıcak hesapta yalnızca harcama paranızı tutun.
7. Tarayıcınızı ve Rabby'yi güncel tutun, ihtiyacınız olmayan eklentileri kaldırın.

Sıkça sorulan sorular