Coldcard skandalı: 1.082 Bitcoin(BTC) donanım cüzdanı zafiyetiyle çalındı, cold storage güvenliği sorgulanıyor

Bitcoin(BTC) 1.000 adetten fazlası sadece 41 dakika içinde çalındı; ‘Coldcard’ donanım cüzdanındaki kritik zafiyet, piyasada yeni bir *güvenlik riski* olarak öne çıkmaya başladı.

30 Temmuz’da (UTC 기준) 01:10 ile 01:51 arasında, toplam 1.082,65 Bitcoin(BTC) 6 blok boyunca 1.196 cüzdandan çıktı. Bu tutar yaklaşık 70 milyon dolar, yani 1.444,30 won kuruna göre yaklaşık 101,1 milyar Kore wonuna denk geliyor. İlk raporlara göre zarar daha küçük görünse de, saldırganın fonları 4 farklı adrese dağıtması nedeniyle gerçek boyutun neredeyse iki katına çıktığı anlaşıldı. Şu ana kadar bu adreslerdeki varlıkların *hiç hareket etmemiş* olması da dikkat çekiyor.

Uzmanları asıl endişelendiren nokta ise tutardan çok *saldırı yöntemi*. Galaxy Research analizine göre işlemler ardışık değil, ‘toplu (batch) gönderim’ şeklinde gerçekleşti ve aynı anda farklı adres formatları kullanıldı. Bu durum, belli başlı kullanıcıları hedef alan bir hack’ten ziyade, olası tüm anahtarları sistematik şekilde deneyen bir tür ‘*geniş kapsamlı tarama*’ saldırısına işaret ediyor.

Bu olay, soğuk depolama cihazlarının güvenli olduğuna dair genel kabulü de sarsmış durumda. Normalde kripto varlık hırsızlıklarında borsa saldırıları ya da kimlik avı gibi kullanıcının bir noktada kandırılması veya sisteme sızılması gerekiyor. Donanım cüzdanları ise internetten tamamen kopuk çalıştığı, yani fiziksel erişim olmadıkça güvenli olduğu varsayımıyla kullanılıyordu.

Coldcard tarafında sorun, cüzdanın ‘rastgele sayı üretimi’ sürecinde ortaya çıktı. Kriptografide özel anahtarların, özel bir donanım bileşeni tarafından *tahmin edilemez* rastgele değerlerle oluşturulması gerekiyor. Ancak dahili bir yapılandırma hatası nedeniyle bu donanımsal süreç devre dışı kaldı ve onun yerine, çipin seri numarası ile saat (clock) değerine dayalı, görece basit bir yazılımsal yöntem devreye girdi.

Bu değişiklik, teoride ‘sınırsız’ olasılık içermesi gereken özel anahtar uzayını, pratikte *sonlu ve dar bir aralığa* sıkıştırdı. Analizlere göre bazı modellerde bu alan yaklaşık 4 milyar olası anahtara kadar düştü. İnsan gözünde bu sayı hâlâ çok büyük görünse de, modern bilgisayarlar açısından *hesaplanabilir* bir hacim.

Saldırganın yöntemi, olası tohum (seed) değerlerini büyük miktarda üreterek, bunlardan türetilen adresleri doğrudan blokzincir üzerindeki gerçek adreslerle karşılaştırmak şeklinde ilerledi. Bu süreç, mağdurun cihazıyla hiçbir şekilde temas etmeyi gerektirmiyor. Yani cihaz kasada, güçten tamamen kesilmiş halde dursa bile, anahtar aralığının daralması nedeniyle *saldırı uzaktan mümkün hale geliyor*.

Galaxy tarafı, “Bu hırsızlık rastgele bir vuruş değil, tekrarlanabilir yapısal bir problem” diyerek benzer saldırıların devam etme ihtimaline karşı uyarıda bulundu. *yorum: Buradaki vurgu, sorunun tek seferlik bir hata değil, tasarımsal bir kusur olabileceği yönünde.*

Durumu daha da kritik yapan unsur, kullanıcıların kendi cüzdanlarının risk altında olup olmadığını *doğrudan test edememesi*. Belirli bir seed’in zafiyetli aralıkta yer alıp almadığını doğrulamanın bilinen bir yolu yok. Bu nedenle, ilgili firmware’i (yazılımı) kullanmış olan herkesin, en kötü senaryoyu dikkate alması gerektiği ifade ediliyor.

Coldcard’ın üreticisi Coinkite, resmi uyarısını öncelikle bazı Mk3 modelleriyle sınırladı. Ancak Block tarafının yayımladığı raporda etki alanının Mk2, Mk4, Q ve Mk5 modellerini de kapsadığı öne sürülüyor. Bu farklı değerlendirmeler, *zafiyetin gerçek kapsamı* konusunda belirsizliği artırıyor.

Öte yandan saldırgan, muhtemelen farkında olmadan bazı izler de bıraktı. Block’tan Clay Garrett, saldırganın bir blokzincir veri hizmetinde *ücretli bir hesap* kullandığını ve platformun iç log kayıtlarının saldırı akışıyla birebir örtüştüğünü açıkladı. Bu verilerin ilgili makamlara iletildiği belirtiliyor; ancak *fonların hâlâ hareket etmemesi*, soruşturmanın zaman baskısı altında yürütüldüğünü gösteriyor.

Uzmanlara göre bu olay, kripto dünyasında ‘cold storage’ algısını kökten değiştirebilecek bir dönüm noktası. Şimdiye kadar güvenlik, “özel anahtara erişilemiyorsa fonlar güvende” varsayımıyla tanımlanıyordu. Bu vakayla birlikte, gitgide daha kritik hale gelen soru “*bu anahtar tahmin edilebilir mi?*” şeklinde yeniden formüle ediliyor.

Yapay zeka teknolojilerindeki gelişmeler de tabloyu daha karmaşık hale getiriyor. Anthropic, yakın zamanda yaptığı bir çalışmada, kendi modelinin yeni nesil bir şifreleme algoritmasının güvenlik seviyesini sadece 60 saat içinde yarı yarıya düşürdüğünü duyurdu. Söz konusu algoritmanın standart güvenlik incelemesi yaklaşık 2 yıl sürmüştü. *yorum: Bu sonuç, insan denetimli kriptografik analizle yapay zeka destekli analiz arasındaki hız farkını ortaya koyuyor.*

Sonuç olarak, kripto varlık güvenliğinde asıl zayıf halka giderek ‘saklama’ aşamasından ‘anahtar üretimi’ aşamasına kayıyor. Bitcoin(BTC) ağında yaşanan bu son büyük çaplı hırsızlık olayı, anahtar üretim sürecinin tasarımındaki en küçük bir hatanın bile, tüm ekosistem için nasıl *sistemik risk* haline gelebileceğini gösteren çarpıcı bir örnek olarak değerlendiriliyor.