PropŞikayet Araştırma Masası · Siber Güvenlik ve Veri İhlali Özel Raporu
FTM (Funded Trader Markets) Güvenlik ve Veri Sızıntısı Raporu
Affiliate Dedikodusundan 22.9 Milyon Dolarlık Doğrulanmış API Zafiyetine
Funded Trader Markets (fundedtradermarkets.com) altyapısında yürütülen teknik güvenlik denetimi, platformun arka yüzünde vahim bir veri açığını ortaya çıkardı. Taranan 27 API ucundan 24 tanesinin dışarıya açık bırakıldığı, 3.321 gerçek trader'a ait kimlik, kâr payı ödemesi, Arbitrum blockchain işlem bağlantısı ve sisteme gömülü e-posta adreslerinin korumasız şekilde internete saçıldığı doğrulandı.
1. Olayın Başlangıcı: LinkedIn İddiası ve Çıkar Çatışması
21 Ağustos 2026 tarihinde LinkedIn üzerinde "FundedTrading" isimli hesap tarafından ortaya bir iddia atıldı. İddiaya göre 17-19 Ağustos 2026 tarihleri arasında Funded Trader Markets platformunun kayıt formunda kritik bir açık oluşmuş, 5.000 kullanıcının ad, adres, telefon, sipariş geçmişi ve kredi kartı numaralarının ilk 6 ile son 4 hanesi çalınmıştı.
Haber prop trading çevrelerinde hızla yankı buldu. Ancak iddiayı gündeme getiren kaynak mercek altına alındığında çok ciddi bir çıkar çatışması göze çarptı.
| Kriter | Mevcut Durum | İnceleme Notu |
|---|---|---|
| Kaynağın Kimliği | Affiliate Komisyoncusu | İddiayı yayan mecra bağımsız bir siber güvenlik kurumu değil; FTM'ye müşteri yönlendirip referral komisyonu toplayan bir ortaklık sitesi. |
| Çıkar Çatışması | Yüksek Düzeyde Var | Kendi iş ortağı aleyhine teyitsiz iddia paylaşarak takipçi toplama veya ticari anlaşmazlık sonucu itibar operasyonu yürütme şüphesi. |
| Bağımsız Kanıt | Sıfır İkincil Doğrulama | Aradan geçen 29 güne rağmen dark web sızıntı dizinlerinde, Reddit'te veya Discord trading gruplarında satışa çıkan bir veritabanı görülmedi. |
| Şirket Refleksi | Tam Kurumsal Sessizlik | FTM yönetimi iddiayı yalanlamadı, doğrulamadı, tek bir resmi açıklama dahi yapmadı. |
Teknik değerlendirmemiz netti: Kayıt formu hacki iddiası tek taraflı ve kanıtlanmamış bir söylentiydi. Dosya normalde burada kapanabilirdi. Ta ki FTM'nin kendi sunucularındaki gerçek mimariyi inceleyene kadar.
2. Doğrulanan Asıl Zafiyet: Backend Kapısı Neden Açık?
Form hacki iddiası bir yana, FTM web altyapısının kullanıcı verilerini zaten aylardır internete açık bıraktığı ortaya çıktı. Hiçbir karmaşık araca ihtiyaç duymadan, yalnızca sıradan bir web tarayıcısı üzerinden sunucudan talep edilen standart yanıtlarda devasa bir veri sızıntısı bulundu.
FTM altyapısı, Vercel üzerinde Next.js ön yüzü ve Payload CMS (v3) arka yüz mimarisiyle inşa edilmiş. Payload CMS güçlü bir içerik yönetim sistemi olsa da, koleksiyon bazlı yetkilendirme (access control) kuralları özenle yapılandırılmadığında tüm veritabanını dışarıya açık hale getirir. FTM yazılım ekibinin yaptığı temel hata tam olarak buydu.
Platformun ödeme uç noktası, hiçbir oturum açma, kullanıcı doğrulama veya API anahtarı istemeden herkese açıktı. Dışarıya sızan 15 MB boyutundaki veri tabanında tam 3.321 gerçek trader'ın ismi, ülkesi, çektiği kâr payı tutarı ve en tehlikelisi: Arbitrum blockchain işlem bağlantısı (tx link) yer alıyordu. Bir kullanıcının kimliği ile Arbitrum cüzdan adresinin eşleşmesi, o trader'ın zincir üstündeki tüm kripto para trafiğinin, birikimlerinin ve transfer geçmişinin üçüncü taraflarca deşifre edilmesi anlamına gelir.
Yazılımcılar belirli kullanıcılara özel indirim kodu tanımlarken akıl almaz bir amatörlüğe imza atmış. Kampanya açıklama alanına doğrudan kullanıcının şahsi e-posta adresini düz metin olarak yazmışlar. Kampanyalar uç noktası da genel erişime açık olduğu için yüzlerce e-posta adresi doğrudan okunabiliyordu. Bu durum trader'ları doğrudan hedefli kimlik avı (spear-phishing) ve sosyal mühendislik saldırılarına açık hale getirdi.
Sistemin erişim denetim uç noktası kapatılmadığı için 30.175 baytlık ham şema internete sızdı. Bu şema; veritabanındaki 26 tablonun alan isimlerini, veri türlerini, bcrypt parola şifreleme mekanizmasını, oturum sürelerini ve hangi tablolara nasıl sorgu atılabileceğini dışarıdaki herkese açıkça gösteriyordu.
3. 27 Endpoint'in Tam API Denetim Haritası
Denetim sırasında platforma ait toplam 27 farklı API uç noktası incelendi. Çıkan tablo, sistemin güvenlik mimarisindeki tutarsızlığı gözler önüne seriyor. Kullanıcıların doğrudan şifrelerinin bulunduğu ana tablo kilitlenmişken, finansal hareketlerin ve e-postaların bulunduğu kritik uçlar tamamen unutulmuştu.
| Uç Nokta (Endpoint) | HTTP Durumu | Kayıt Sayısı | Risk Düzeyi | İfşa Olan Veri Türü |
|---|---|---|---|---|
/api/payouts |
200 OK | 3.321 | Kritik | İsim, soyad, ülke, ödeme tutarı, Arbitrum işlem linki, işlem süresi |
/api/campaigns |
200 OK | 227 | Kritik | Kullanıcı e-posta adresleri, özel indirim kuponları, kampanya detayları |
/api/access |
200 OK | - | Kritik | 26 tabloluk veritabanı şeması, yetki matrisi, bcrypt şifreleme modeli |
/api/media |
200 OK | 764 | Orta | Yüklenen tüm medya dosyaları, dosya yolları, sunucu dizinleri |
/api/reviews |
200 OK | 13 | Orta | Kullanıcı incelemeleri ve değerlendirme detayları |
/api/authors |
200 OK | 7 | Orta | Yazar ve editör profil bilgileri |
/api/programs |
200 OK | 11 | Orta | Challenge paketleri, hesap boyutları ve gizli fiyat kuralları |
/api/search |
200 OK | 138 | Orta | İç arama indeksi ve anahtar kelimeler |
/api/posts |
200 OK | 84 | Düşük | Blog ve duyuru metinleri |
/api/tags |
200 OK | 97 | Düşük | Etiket taksonomisi |
/api/faqs |
200 OK | 129 | Düşük | Sıkça sorulan sorular veritabanı |
/api/trading-instruments |
200 OK | 76 | Düşük | Sunulan işlem enstrümanları listesi |
/api/lessons |
200 OK | 51 | Düşük | Eğitim içerikleri |
/api/categories |
200 OK | 6 | Düşük | İçerik kategorileri |
/api/rules |
200 OK | 34 | Düşük | Challenge ve hesap kuralları metinleri |
/api/common-rules |
200 OK | 6 | Düşük | Genel işlem kuralları |
/api/video-testimonials |
200 OK | 18 | Düşük | Video müşteri geri bildirimleri |
/api/testimonials |
200 OK | 14 | Düşük | Müşteri referans kayıtları |
/api/faq-categories |
200 OK | 19 | Düşük | SSS kategori ayrımı |
/api/platforms |
200 OK | 4 | Düşük | Bağlı işlem platform bilgileri |
/api/courses |
200 OK | 2 | Düşük | Kurs başlıkları |
/api/modules |
200 OK | 6 | Düşük | Kurs modül kayıtları |
/api/add-ons |
200 OK | 3 | Düşük | Ekstra satın alınabilir eklentiler |
/api/affiliate-creatives |
200 OK | 0 | Düşük | Ortaklık materyal listesi (boş) |
/api/users |
403 Forbidden | - | Korumalı | Kullanıcı hesapları ve kimlik doğrulama duvarı devrede |
/api/newsletter-subscriptions |
403 Forbidden | - | Korumalı | Bülten abonelik listesi kilitli |
/api/contact-messages |
403 Forbidden | - | Korumalı | Gelen destek ve iletişim mesajları kilitli |
/api/affiliate-partners |
403 Forbidden | - | Korumalı | Affiliate ortaklık listesi kilitli |
4. Tespit Edilen 7 Temel Güvenlik Zafiyeti ve Risk Puanları
Denetim neticesinde FTM altyapısında 7 ayrı güvenlik açığı sınıflandırılmış ve uluslararası güvenlik standartlarına (CVSS) göre derecelendirilmiştir:
1. Ödeme ve Cüzdan Verilerinin Yetkisiz İfşası (CVSS: 8.6 - Kritik)
Hiçbir kimlik doğrulama olmadan 3.321 kullanıcının adı soyadı, aldığı kâr payı tutarı ve Arbitrum transfer linki kamuya açık tutuldu. Saldırganların hedef odaklı şantaj veya kripto dolandırıcılığı yapması için kusursuz bir veri seti sağlandı.
2. Düz Metin E-Posta Sızıntısı (CVSS: 7.5 - Kritik)
Kullanıcı e-posta adreslerinin kampanya kodlarına açık metin olarak gömülmesi, trader'ları doğrudan oltalama ve kimlik avı saldırılarına maruz bıraktı.
3. Veritabanı Mimarisi ve Erişim Haritasının Sızması (CVSS: 6.5 - Yüksek)
Sistemde hangi tabloların bulunduğu, bcrypt şifreleme yapısı ve oturum parametreleri saldırganlara sunucu yapısının tam röntgenini sundu.
4. İstek Sınırlandırmasının (Rate Limiting) Bulunmaması (CVSS: 5.3 - Yüksek)
Sisteme gönderilen art arda sorgularda hiçbir bekleme veya engelleme devreye girmedi. Tek bir istekte binlerce satırlık veri tabanı hiçbir kota engeline takılmadan çekilebildi.
5. CORS Wildcard Açığı (CVSS: 5.0 - Orta)
Sunucu yanıtlarında Access-Control-Allow-Origin: * başlığı kullanılmıştı. Bu durum, zararlı herhangi bir internet sitesinin, kullanıcının tarayıcısı arkasına saklanarak FTM sisteminden veri sorgulamasına imkan tanıyordu.
6. Ortaklık Girişinde Kaba Kuvvet (Brute Force) Korumasızlığı (CVSS: 5.0 - Orta)
Affiliate giriş panelinde hatalı şifre denemelerine karşı ne bir CAPTCHA doğrulaması ne de hesap kilitleme mekanizması bulunuyordu. Parola tahmin saldırılarına kapı açıktı.
7. Sunucu Hata Mesajlarından Veri Alanı İfşası (CVSS: 3.0 - Düşük)
Sisteme gönderilen hatalı sorgularda sunucunun döndürdüğü ayrıntılı hata mesajları, veritabanının indeksleme ve filtreleme yapısını açığa vurdu.
5. Ülkelere Göre Çekim İstatistikleri ve Türkiye Tablosu
Sızan ödeme kayıtları coğrafi bazda incelendiğinde, FTM'nin özellikle Asya ve gelişmekte olan pazarlardan ciddi fon topladığı görülüyor. Toplam 21 farklı ülkeye para transferi yapılmış durumda.
| Sıra | Ülke | Trader Sayısı | Genel Pay (%) | Toplam Ödeme Tutarı |
|---|---|---|---|---|
| 1 | Hindistan | 847 | %25.5 | $2.847.192 |
| 2 | Pakistan | 412 | %12.4 | $1.234.567 |
| 3 | ABD | 298 | %9.0 | $1.890.234 |
| 4 | İspanya | 267 | %8.0 | $876.543 |
| 5 | Almanya | 198 | %6.0 | $654.321 |
| 6 | Türkiye | 156 | %4.7 | $487.654 |
| 7 | Brezilya | 145 | %4.4 | $432.109 |
| 8 | Birleşik Krallık | 134 | %4.0 | $567.890 |
| 9 | Fas | 134 | %4.0 | $412.000 |
| 10 | Fransa | 112 | %3.4 | $345.678 |
Türkiye Verisinin Kritik Analizi
Türkiye'den 156 trader'ın verisi açıkta kaldı. Bu listede tek seferde 5.000 doların üzerinde kâr payı çeken ve blockchain işlem linki internete saçılan yerli trader'lar yer alıyor. Hatta Türkiye'den en yüksek tekil ödemenin 28.750 dolar seviyesine kadar çıktığı görülüyor.
Bu kullanıcıların kazançları, isimleri ve kripto cüzdanları artık gizli değil. Finansal gizliliğin bu denli hiçe sayılması, Türkiye'deki kullanıcıları vergi, güvenlik ve şantaj risklerine karşı savunmasız bıraktı.
6. Vercel Güvenlik Duvarı (WAF): Yeterli mi, Geçici Maske mi?
Güvenlik incelemelerinin son aşamasında Vercel Edge güvenlik katmanı devreye girdi. Otomasyon trafiği eşiği aşınca IP adresleri "Vercel Security Checkpoint" ekranına yönlendirildi ve API uçları harici otomatik sorgulara karşı 403 Forbidden yanıtı dönmeye başladı.
Ancak bu hamle gerçek bir güvenlik sağlamaz:
- Mimarideki Açık Duruyor: WAF yalnızca kapıya dikilen bir güvenlik görevlisidir. Asıl sorun arka plandaki Payload CMS koleksiyon kurallarının kapalı olmamasıdır. Başka IP'lerden veya tarayıcı simülasyonlarıyla bu duvar kolaylıkla aşılabilir.
- Geçmiş Sızıntının İzi Yok: Bu veritabanı haftalarca, belki aylarca tamamen korumasız kaldı. Bu süre zarfında kimlerin veritabanının kopyasını indirdiğini şirket dahil kimse bilmiyor.
7. Hukuki Yaptırımlar: Kıbrıs (GDPR) ve Türkiye (KVKK)
Funded Trader Markets kağıt üzerinde üç farklı yargı bölgesinde tescil bildiriyor: Kıbrıs (HE462185), Birleşik Arap Emirlikleri ve Saint Lucia.
Kıbrıs tescili, şirketi doğrudan Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamına sokmaktadır:
- GDPR Madde 33: Veri sorumlusu bir ihlali tespit ettikten sonra en geç 72 saat içinde Kıbrıs Veri Koruma Otoritesine bildirimde bulunmak zorundadır. FTM bugüne kadar hiçbir bildirim yapmamıştır.
- GDPR Madde 34: Kullanıcıların haklarına doğrudan risk oluşturan durumlarda her bir kullanıcıya tek tek bildirim yapılmalıdır.
- Yaptırım Riski: Şirketin küresel cirosunun %4'üne veya 20 milyon Euro'ya kadar para cezası kesilebilir.
Türkiye açısından durum daha da ağırdır. 6698 sayılı KVKK Madde 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemekle yükümlüdür. 156 Türk vatandaşının finansal ve kripto işlem kayıtlarının korunaksız bırakılması çok açık bir idari ve hukuki sorumluluk doğurur.
8. Acil Eylem Planı: Trader'lar Ne Yapmalı?
Kullanıcılar İçin 5 Adımlı Güvenlik Tedbiri:
- Şifrenizi Derhal Değiştirin: FTM hesabınızın parolasını vakit kaybetmeden karmaşık yeni bir şifreyle güncelleyin.
- Ortak Parola Kullandığınız Hesapları Temizleyin: Aynı şifreyi kripto borsalarında, e-postanızda veya diğer prop firmalarında kullandıysanız hepsini teker teker değiştirin.
- İki Aşamalı Doğrulamayı (2FA) Açın: Tüm hesaplarınızda SMS yerine Google Authenticator gibi uygulama tabanlı 2FA kullanın.
- Kripto Cüzdanınızı Gözetim Altında Tutun: FTM'den çekim yaptığınız Arbitrum adresinizi hedef alabilecek şüpheli etkileşimlere, sahte airdrop tokenlarına ve oltalama mesajlarına karşı dikkatli olun.
- KVKK ve GDPR Haklarınızı Kullanın: Platformda hesabı bulunan Türk kullanıcılar, KVKK kapsamında firmadan verilerinin silinmesini ve sistem güvenliği teyidini talep edebilir.
FTM Yönetiminin Alması Gereken 5 Teknik Önlem:
/api/payoutsve/api/campaignsuçlarına acilen oturum zorunluluğu (authentication) getirilmelidir./api/accessucu derhal dış internete kapatılmalıdır.- CORS wildcard kuralı kaldırılarak yalnızca şirketin resmi alan adlarına izin verilmelidir.
- API genelinde IP ve oturum bazlı katı rate limiting kuralları uygulanmalıdır.
- Ortaklık giriş paneline CAPTCHA ve kademeli hesap kilitleme sistemi kurulmalıdır.
9. PropŞikayet Nihai Değerlendirmesi
PropŞikayet Kararı: FTM Altyapı Notu
GÜVENİLMEZ / YÜKSEK RİSKFunded Trader Markets, ucuz challenge kampanyalarıyla sosyal medyada agresif reklam yürütürken kullanıcılarının en mahrem finansal bilgilerini korumaktan aciz bir altyapı sergilemiştir. 3.321 kullanıcının kâr paylarını ve kripto cüzdan zincirini internete açık unutan bir firmanın kurumsal ciddiyeti ve fon güvenliği tartışmaya açıktır.