Coinkite, ‘90 gün sonra silme’ vaadine rağmen e-postaları tuttu

Bitcoin(BTC) donanım cüzdanı Coldcard(Coldcard) üreticisi Coinkite(Coinkite), alıcı e-postalarını saklamaya devam ettiğinin ortaya çıkmasıyla veri işleme politikası nedeniyle tartışma konusu oldu. Şirketin 2019’dan bu yana alıcılara güvenlik uyarısı e-postaları gönderdiği, Rodolfo Novak(Rodolfo Novak) Coinkite kurucu ortağı ve CEO’sunun daha önce açıkladığı veri saklama yaklaşımıyla çelişti.

Bitcoin.com News(Bitcoin.com News), 2’sinde (yerel saatle) Coinkite’ın Coldcard güvenlik açığıyla ilgili müşterilere Bitcoin kaybetme riskinin yüksek olduğunu bildiren e-postalar gönderdiğini aktardı. Novak CEO daha önce şirketin müşteri bilgilerini saklamadığını, satın alımdan 90 gün sonra ilgili bilgileri sildiğini ve kimlik doğrulaması olmadan anonim satın alma seçeneği sunduğunu söylemişti. Ancak son uyarı e-postaları, şirketin eski satın alma kayıtlarına ait e-posta adreslerini de elinde tuttuğunu gösterdi. Şirket tarafı, giriş doğrulaması ve belirli işlemlerin teyidi gibi operasyonel amaçlarla alıcı e-postalarını sakladığını, ayrı bir silme takvimi olmadan “şimdilik(for now)” bu bilgileri tutmaya devam edeceğini kabul etti.

Tartışma, Coldcard’daki ciddi güvenlik açığının duyurulmasının hemen ardından gündeme geldi. Mk2 ve Mk3 cihazlarda seed ifadesi üretiminde kullanılan rastgelelik kaynağının, yani entropinin yeterince rastgele olmadığına ilişkin açık daha önce kamuoyuna yansımış, bunun yaklaşık 38 milyon dolar (yaklaşık 53 milyar won) tutarındaki Bitcoin hırsızlığıyla bağlantılı olabileceği belirtilmişti. Daha sonra zarar tahminleri büyüdü. Galaxy Research(Galaxy Research) verilerine göre 1’inde (yerel saatle) saat 17.36 itibarıyla zarar 1.367 BTC, yaklaşık 88 milyon dolar (yaklaşık 122,6 milyar won) olarak hesaplandı.

Açığın duyurulmasının ardından piyasada öz saklama cüzdanlarının güvenliğine ilişkin kaygılar arttı. Coldcard saldırısından sonra Bitcoin fonlarının borsaların dışına çıkma eğiliminin tersine dönerek borsalara giriş yönüne kaydığı da görüldü. Coinkite, etkilenen firmware üzerinden seed oluşturan kullanıcılara yamalı firmware’e geçmelerini, yeni bir seed oluşturmalarını ve varlıklarını bu yeni yapıya taşımalarını önerdi.

E-posta saklama tartışmasının, şirketin güvenlik krizine yanıt verdiği bir süreçte ortaya çıkması etkisini artırdı. Şirketin kriz anında müşterilerle iletişim kurabilmek için bu bilgileri tuttuğu açıklaması mümkün görülse de, bunun daha önce öne çıkarılan ‘saklamama ve anonimlik’ politikasıyla uyuşmadığı eleştirileri yapılıyor. Donanım cüzdan kullanıcılarının en çok önem verdiği değerlerin anonimlik ve mahremiyet olması nedeniyle, bu tartışmanın Coinkite’ın güvenilirliğini doğrudan zedeleyebileceği yönünde endişeler de dile getiriliyor.

Hacking olayının kesin seyri, nihai zarar tutarı ve Coinkite’ın veri saklama politikasında değişiklik yapıp yapmayacağı henüz doğrulanmadı.