Coldcard Donanım Cüzdan Hatası: Bitcoin(BTC) Saldırılarında Kayıp 1.816 BTC’ye Ulaştı, RBF Mağdurlara Son Kurtuluş Şansı Sunuyor

비tcoin(BTC) odaklı ‘Coldcard’ donanım cüzdanlarını hedef alan peş peşe saldırı dalgaları dördüncü aşamaya kadar ulaştı ve toplam kayıp hızla büyüyor. Ancak son dalgada, işlemler onaylanmadan önce ‘geri alınabilir’ olduğu netleştiği için mağdurlar için acil bir kurtarma penceresi de açılmış durumda.

Saldırı, ağustos ayının başındaki pazartesi sabahının erken saatlerinde başladı ve saatlerce devam etti. Galaxy Research’ten Alex Thorn(alex Thorn), devam eden bu saldırı serisinin en belirgin özelliğinin, ‘kelime’RBF(Replace-by-Fee)’kelime’ özelliğinin aktif şekilde kullanılması olduğunu vurguladı. Bitcoin(BTC) ağındaki bu özellik, henüz onaylanmamış bir işlemin daha yüksek bir ücretle ‘üstüne yazılarak’ geçersiz kılınabilmesine izin veriyor. Böylece potansiyel bir mağdur, ‘kelime’mempool’kelime’da kendi adresini tespit ederse, daha yüksek bir ücret ödeyerek coin’lerini saldırganlardan önce güvenli bir adrese taşıyabiliyor.

30 Temmuz’da başlayan ilk dalgada yalnızca 41 dakika içinde 1.196 farklı adresten 1.083 adet Bitcoin(BTC) çalındı. Takip eden hafta sonunda iki ek saldırı daha tespit edildi ve toplam kaybın 1.367 Bitcoin(BTC)’e ulaştığı, bunun da yaklaşık 1 milyar 95 milyon dolar civarında bir tutara denk geldiği hesaplandı.

Dördüncü dalga da dahil edildiğinde, toplam kayıp yaklaşık 1.816 Bitcoin(BTC)’e yani yaklaşık 114 milyon dolar seviyesine yükseldi. Etkilenen cüzdan sayısı ise 5.200’ü aşmış durumda. Özellikle blok 960.778 ile 960.792 arasında, 462 farklı adresi hedef alan toplam 218 işlem kayda geçti. Bu, blok başına ortalama 14 şüpheli işlem anlamına geliyor ve olağan seviyelere göre yaklaşık ‘kelime’45 katlık’kelime’ bir artışa işaret ediyor.

Araştırmacılar, olayın temelinde 2021 mart ayında yayımlanan Coldcard donanım cüzdanı yazılımındaki bir hata olduğunu belirtiyor. O dönem dağıtılan belirli firmware sürümlerinde, cüzdanların ‘kelime’seed’kelime’ (ana kurtarma kelimeleri) üretiminde donanımsal rastgele sayı üreteci yerine ‘öngörülebilir yazılımsal rastgelelik’ kullanıldığı ortaya çıktı. Bu açık sayesinde, belirli bir aralık taranarak bu cüzdanlara ait özel anahtarların dışarıdan yeniden türetilebildiği, saldırganların da tam olarak bu yöntemi kullanarak çevrimdışı şekilde cüzdanları kopyalayıp varlıkları çektiği değerlendiriliyor.

Cüzdan üreticisi CoinKite, ilgili sürümler için acil firmware güncellemesi yayımladı ve bu versiyonlarla seed oluşturmuş tüm kullanıcılara fonlarını derhal yeni ve güvenli bir cüzdana taşımaları yönünde uyarıda bulundu.

İlk üç saldırı dalgasına ilişkin zincir verileri, ‘kelime’multisig(çoklu imza)’kelime’ cüzdanların hiçbirinde kayıp yaşanmadığını gösteriyor. Bu da açığın, yalnızca tek bir seed’e dayalı standart cüzdanları etkilediğini ortaya koyuyor. Son dalgada ise saldırganların çaldıkları fonları eskiden olduğu gibi tek bir ‘toplama adresinde’ biriktirmek yerine, her mağdur için ayrı yeni adreslere dağıttıkları görülüyor. Bu yöntem, fon akışının zincir üstünde izlenmesini zorlaştırmayı amaçlıyor. Ayrıca, saldırıda kullanılan bazı adreslerin yıllara yayılan eski işlem geçmişine sahip olması da dikkat çekiyor; bu durum, genellikle yeni ve tertemiz adresler kullanan tipik saldırı modellerinden sapma anlamına geliyor ve ek analiz gerektiriyor.

Alex Thorn, “Bu saldırı dalgasında halen onaylanmamış çok sayıda işlem olması, mağdurlar için ‘kelime’belki de son müdahale şansı’kelime’ sunuyor” diyerek uyarıda bulundu. Thorn, kullanıcıların cüzdanlarını ve adreslerini acilen kontrol etmeleri, riskli olduğunu düşündükleri cüzdanlardan varlıklarını yeni ve güvenli adreslere taşımaları gerektiğini, mümkün olan durumlarda ise daha yüksek işlem ücreti belirleyerek saldırganların hazırladığı işlemleri RBF aracılığıyla ‘öne geçip’ geçersiz bırakmalarının kritik önemde olduğunu söyledi.

Bu olay, donanım cüzdanlarının bile tek bir yazılım hatası yüzünden büyük çaplı bir tehdide açık hale gelebileceğini sert biçimde hatırlatıyor. Öte yandan, Bitcoin(BTC) ağının ‘onay bekleyen işlemler’ yapısının, bu tür zincir üstü saldırılarda bazı kullanıcılar için ‘kelime’son savunma hattı’kelime’ işlevi görebileceğini de pratikte göstermiş durumda.