1778 BTC: Coldcard hackinde zarar büyüdü

Coldcard donanım cüzdanındaki güvenlik açığı nedeniyle çalınan Bitcoin(BTC) miktarı 1778'i geçti. Toplam zarar yaklaşık 112 milyon dolara ulaşırken, 6 Ağustos'tan bu yana yeni bir saldırı tespit edilmedi.

Galaxy Research, X hesabından yaptığı açıklamada Coldcard açığıyla bağlantılı hırsızlığın 1778 BTC'yi aştığını duyurdu; haberi 14'ünde (yerel saatle 22.22) Foresight News aktardı. Galaxy Research, nihai zarar rakamının daha da büyüyebileceğini belirtti.

Saldırganların en azından 30 Temmuz sabahından itibaren Coldcard cihazlarının ürettiği kurtarma ifadelerini (seed phrase) sistematik biçimde yeniden oluşturduğu ve zincir üstü fonları taşıdığı ortaya çıktı. Galaxy Research şu ana kadar 3 büyük saldırı akışı ile 30'dan fazla küçük ölçekli saldırı izi tespit etti.

190'ı aşkın mağdurun doğrudan bildirimine dayanılarak en az 33 farklı saldırgan izi daha belirlendi. Ancak bu izlerin hepsinin aynı saldırgana ait olup olmadığı doğrulanamadı; Galaxy Research, tehdit ortamında birden fazla saldırganın bulunduğunu değerlendiriyor.

Olayın can alıcı noktası, özel anahtarların çevrimiçi ortamdan sızdırılmasından çok, seed üretim aşamasında yatıyor. Galaxy Research 7 Ağustos'ta yayımladığı raporda, Coldcard'ın seed oluşturma sürecindeki açığın sorunun kaynağı olduğunu açıkladı.

Donanım cüzdanlar normalde yeni seed ifadesi için gereken rastgeleliği özel bir rastgele sayı üretici biriminden alır. Ancak Galaxy Research, Mart 2021'deki bir firmware hatasının ardından bazı süreçlerin yazılım tabanlı bir alternatif yola kaydığını tespit etti.

Bunun sonucunda etkilenen seed'lerin normalde yaklaşık 128 bit düzeyinde rastgelelik taşıması gerekirken, bazı eski cihazlarda fiili entropinin yaklaşık 40 bit seviyesine kadar düştüğü belirtildi. Saldırganlar, cihaz kimlik bilgileri ve seed üretim zamanına dair kabaca bilgiyi kullanarak aday seed'leri çevrimdışı ortamda üretip bunları herkese açık blok zinciri adresleriyle karşılaştırabildi.

Zarar rakamı ayın başından bu yana sürekli büyüdü. Daha önce zarar tahmininin 1596 BTC'ye yükseldiği aktarılmıştı; güncel rakam o dönemki seviyeyi de geride bıraktı.

Ancak zarar tahminleri, kullanılan inceleme yöntemine göre farklılık gösterebiliyor. Coldcard açığıyla ilgili zarar tahminlerinin 100 milyon doların üzerinde farklılaştığı da daha önce aktarılmıştı.

Çalınan fonların hareketi de farklılaştı. Galaxy Research, 1531 BTC'nin hâlâ saldırgan kontrolündeki adreslerde durduğunu, yaklaşık 246 BTC'nin ise hareket ettiğini bildirdi.

Hareket eden fonların yüzde 65'i CoinJoin işlemlerine yönlendirilirken, yüzde 35'i karmaşık şekilde kurgulanmış 'peeling chain' yöntemleri gibi tekniklerle zincir üzerinde hareket etmeye devam etti. Borsa veya zincirler arası köprü yatırımlarına kadar izlenebilen miktarın son derece sınırlı olduğu belirtildi.

CoinJoin, birden fazla kullanıcının girdi ve çıktısını tek bir işlemde birleştirerek zincir üstü takibi zorlaştıran bir yöntem. Fon akışını tamamen gizlemese de işlemler arasındaki bağlantıyı zayıflatarak takip zorluğunu artırıyor.

Galaxy Research, saldırgan adres listesini kripto borsalarına, uyum (compliance) araştırma kurumlarına ve kolluk kuvvetlerine ilettiğini açıkladı. Amaç, söz konusu adreslerin merkezi platformlara ulaşması durumunda dondurulabilmesini sağlamak.

6 Ağustos'tan bu yana yeni bir saldırı faaliyeti tespit edilmedi. Galaxy Research, açığa maruz kalan kullanıcıların fonlarını taşımış olabileceğini veya geride kalan fonların büyük bölümünün zaten çekilmiş olabileceğini değerlendiriyor.

Galaxy Research, tek imzalı (single-sig) Coldcard cüzdan kullanıcılarına fonlarını yeni bir adrese taşımalarını önerdi. Bu olay, kendi kendine saklamanın (self-custody) borsa riskini azaltsa da cihaz, yazılım ve anahtar üretim sürecine dair riskleri ortadan kaldırmadığını bir kez daha gösterdi.

Doğrulama kaynakları: Foresight News'in orijinal haberi (https://foresightnews.pro/news/detail/110899), Galaxy Research'ün raporu (https://www.galaxy.com/insights/research/your-keys-not-your-coins-coldcard-wallets-hacked-for-130m-and-counting), Galaxy Research'ün haftalık brifingi (https://www.galaxy.com/insights/research/coldcard-hardware-wallet-hack-bitcoin-resilience-ethereum-solana-inflation-proposals) ve Techmeme derlemesi (https://www.techmeme.com/260801/p15).