Coldcard cüzdanlarındaki açık nedeniyle 70 milyon dolar çalındı

Kullanıcıların varlıklarını güvenli bir şekilde kendi cüzdanlarında sakladığını düşündüğü Bitcoinler hedef alındı. Güvenlik açığı hızla kapatılmış olmasına rağmen etkileri devam ediyor. Bir blok zinciri araştırma kuruluşunun paylaştığı verilere göre, şu ana kadar yaklaşık 1.200 adresten 1.000'in üzerinde Bitcoin başka adreslere aktarıldı ve çalınan fonların toplam değeri yaklaşık 70 milyon dolara ulaştı. Söz konusu araştırma kuruluşu, açığın yapısından ötürü Coldcard ile üretilmiş diğer adreslere yönelik yeni saldırı riskinin de devam ettiği konusunda uyarıda bulundu.

Coinkite'ın İcra Kurulu Başkanı Rodolfo Novak, yayımladığı açık mektupla kullanıcıların dikkatini çekti. Novak açıklamasında, bir Coldcard cüzdanıyla tohum üretenlerin, detayları incelemeden önce güncellenmiş en iyi uygulamaları takip ederek varlıklarını derhal başka bir yere taşıması gerektiğini ifade etti. Yönetici, yapılan yazılım güncellemesinin yalnızca bundan sonra üretilecek tohumları güvence altına aldığını, savunmasız yazılım versiyonlarında daha önceden oluşturulmuş anahtarları korumadığını belirtti. Bu nedenle etkilenen tüm kullanıcıların sıfırdan yeni cüzdanlar açarak fonlarını bu cüzdanlara aktarması zorunlu tutuluyor, zira yalnızca yazılımı güncellemek mevcut riski tamamen ortadan de etmiyor. Novak, yaşananlardan ötürü firma olarak tüm sorumluluğu üstlendiklerini ve mevcut inceleme sürecinin bu açığı tespit edemediğini dile getirdi. Ayrıca bu açığın yapay zeka araçları yardımıyla keşfedilmiş olabileceğini vurgulayan Novak, bunun yeni yapay zeka döneminin çarpıcı bir gerçeği olduğunu kaydetti.

BİR RİSKİ BAŞKA BİR RİSKLE DEĞİŞTİRMEK

Bitcoin savunucuları uzun yıllardır, özel anahtarları bireysel olarak elinde tutmanın merkezi kripto para borsalarının barındırdığı karşı taraf riskini ortadan kaldırdığını savunuyordu. FTX gibi büyük borsa çökmeleri de bu tezi destekleyen örnekler arasındaydı. Ancak uzman analistler, bireysel kullanıcıların artık bir risk kümesini tamamen farklı bir risk kümesiyle takas ettiğini dile getiriyor. ARK Invest dijital varlık araştırmaları direktörü Lorenzo Valente, donanım tabanlı öz saklama yönteminin tam anlamıyla bir felakete dönüştüğünü ve sektöre bugüne kadarki en büyük itibar kayıplarından birini yaşattığını belirtti. Valente'ye göre tüketiciler artık klasik karşı taraf riskini; yazılım, donanım, tedarik zinciri, kimlik avı, yedekleme riskleri ve tek bir hatayla tüm birikimi kaybetme ihtimaliyle değiştirmiş durumda.

Yaşanan Coldcard açığı da bu karmaşık zorluğu net bir şekilde gözler önüne serdi. Yapılan incelemelerde, belirli yazılım sürümlerinin cüzdan tohumlarını normalde olması gerekenden çok daha az rastgelelikle oluşturduğu ve bu durumun cüzdanları deneme yanılma yoluyla yapılan saldırılara karşı savunmasız bıraktığı anlaşıldı. Üretici firma tarafından önerilen güvenlik çözümleri bile sektörde eleştirilere neden oldu. Casa İcra Kurulu Başkanı Nick Neuman, kullanıcıların cüzdan tarafından üretilen rastgeleliği fiziksel zar atışlarıyla desteklemesi yönündeki tavsiyelere dikkat çekerek, sıradan insanlardan güvenlik adına zar atmasının beklenemeyeceğini ve bunun kullanıcıların büyük çoğunluğu için pratik olarak imkansız olduğunu savundu.

GÜVENLİK ARTIK PASİF BİR SÜREÇ DEĞİL

Bu olay, yapay zekanın yazılım açıklarını bulma maliyetini önemli ölçüde düşürmesiyle birlikte siber güvenlik tehditlerinin ne denli hızlı bir değişim içinde olduğunu bir kez daha kanıtladı. Sosyal medyada geniş bir kitlesi bulunan geliştirici Udi Wertheimer, Bitcoin'in güvenli bir köşede sessizce beklerken kullanıcının hayatın keyfini sürmesi fikrinin artık geçerliliğini yitirdiğini ifade etti. Wertheimer'a göre Bitcoin sahiplerinin ya sürekli olarak yeni tehditleri yakından takip etmesi gerekiyor ya da bu işi profesyonel olarak yürüten ve özel güvenlik ekiplerine sahip saklama şirketlerine güvenmek zorunda kalıyor. Geliştirici durumu, kendi endişelenmek istemeyenlerin bu işi yapması için başkalarına ödeme yapmak zorunda olduğu sözleriyle özetledi.

Coldcard saldırısı, kripto ekosistemindeki genel saldırı eğilimleriyle de örtüşüyor. Blok zinciri güvenlik şirketi Blockaid'in verilerine göre, 2026 yılının ilk yarısında yaşanan kayıpların çok büyük kısmı karmaşık akıllı sözleşme saldırılarından değil, doğrudan ele geçirilen anahtarlardan ve operasyonel güvenlik açıklarından kaynaklandı. Şirketin kurucu ortağı ve İcra Kurulu Başkanı Ido Ben-Natan, Coldcard olayının bu genel tabloyla uyumlu olduğunu, açığın doğrudan tohum üretim aşamasında ortaya çıktığını belirtti. Ben-Natan'a göre bir donanım cüzdanının güvenliği, en nihayetinde kullanıcıların doğrudan etkileşime girdiği ancak arka planda hiçbir zaman göremediği yazılımlara ve sistemlere dayanıyor. Diğer taraftan donanım cüzdanı üreticileri, yaşanan bu durumun öz saklama modelinin kendisindeki temel bir kusurdan ziyade güvenli mühendislik süreçlerinin önemini ortaya koyduğunu savunuyor. Tangem teknoloji direktörü Andrew Lazutkin ise açık kaynaklı kodların otomatik olarak daha üstün bir güvenlik anlamına gelmediğini, gerçek güvenliğin güçlü mimari, ayrıntılı testler ve bağımsız doğrulamalarla sağlandığını vurguladı.

OLAY KURUMSAL SAKLAMA VE ETF'LERE YARAYABİLİR

Ortaya çıkan bu güvenlik açığı, spot Bitcoin borsa yatırım fonlarının (ETF) geleneksel yatırımcıları çektiği bir dönemde kurumsal saklama argümanını daha da güçlendirebilir. Amicus kurucu ortağı David Lawrence, Coldcard örneğinde olduğu gibi yaşanan sıkıntıların, yeni yatırımcıları özel anahtarları kendi başlarına yönetmek yerine BlackRock'ın iShares Bitcoin Trust (IBIT) gibi yasal denetime tabi kurumsal ürünlere yönlendirmesinin kuvvetle muhtemel olduğunu belirtti. Lawrence'a göre bu tür krizlerin ardından dijital varlık tutmak isteyen yeni yatırımcılar daha güvenli bir seçenek olarak bu fonları tercih edebilir.

Lawrence, bu olayın Bitcoin'in temel ideallerinden biri açısından kırılma noktası olabileceğini de öne sürdü. Gelecekte milyarlarca insanın kendi Bitcoin'ini soğuk cüzdanlarda saklayacağını hayal edenler için bu gelişmenin oldukça sarsıcı olduğunu kaydetti. Önde gelen bazı Bitcoin yorumcuları da yaşananları sektör tarihindeki en büyük öz saklama başarısızlıklarından biri olarak değerlendirdi. Bitcoin analisti Guy Swann, durumun klasik bir merkezi borsa sıcak cüzdan hacklenmesi olmadığını, binlerce bilgili ve bilinçli kullanıcının özel anahtarlarının kendi cihazlarında yeniden üretilerek ele geçirildiğini, bunun da Bitcoin tarihindeki en donanımlı kullanıcılara yöneltilen en ağır darbe olduğunu ifade etti.