Bitcoin Hırsızının Cüzdanı Mağdurların Mesajlarıyla Doldu: Coldcard Hacki Sonrası Çağrılar

Kripto para dünyasının en güvenli saklama yöntemlerinden biri olarak bilinen donanım cüzdanlarını hedef alan büyük bir siber saldırı, Coldcard kullanıcılarını mağdur etti. Temmuz ayının sonlarında ortaya çıkan bu güvenlik ihlalinde, 100 milyon doları aşan değerde Bitcoin (BTC) çalındığı belirtiliyor. Hackerın elindeki cüzdanda şu anda yaklaşık 36 milyon dolarlık Bitcoin bulunduğu tespit edilirken [1, 2, 3], mağdurlar ve hatta bazı fırsatçılar, Bitcoin blokzincirinin ‘OP_RETURN’ özelliğini kullanarak bu adrese sürekli mesajlar gönderiyor [1, 2, 6].

Bu olay, 30 Temmuz'da Coldcard donanım cüzdanı üreticisi Coinkite Inc.'in bir güvenlik açığını bildirmesiyle başladı. Şirket, 2021 Mart ayından bu yana bazı Coldcard Mk2 ve Mk3 modellerinde bulunan bir yazılım hatasının, cüzdanların ‘seed phrase’ (kurtarma kelimeleri) oluşturma sürecinde zayıf rastgele sayılar üretmesine neden olduğunu açıkladı [9, 14, 20]. Normalde kriptografik güvenliğin temelini oluşturan güçlü rastgelelik yerine, cihazın seri numarası gibi öngörülebilir değerlere dayalı bir yedek mekanizma kullanılması, saldırganların özel anahtarları yeniden oluşturarak cüzdanlara erişmesine olanak tanıdı [16, 21]. Galaxy Research’ün analizlerine göre, saldırılar üç ana dalga halinde gerçekleşti ve toplamda 7.300'den fazla adresten Bitcoin çalındı [17].

Saldırının piyasalar üzerindeki doğrudan etkisi sınırlı kalsa da, Bitcoin’in en güvenli saklama yöntemlerinden biri olarak görülen ‘soğuk cüzdan’ kavramına olan güveni sarstı. Bazı mağdurlar tüm birikimlerini kaybederken [4, 8], bu durum kripto para birimlerinin temel güvenlik prensipleri hakkında ciddi soruları gündeme getirdi. Bitcoin’in fiyatı, olaylar sırasında 64.300 dolar seviyelerinde işlem görmeye devam etti [9], ancak bu tür büyük ölçekli güvenlik ihlalleri, yatırımcıların donanım cüzdanı seçimi ve kendi kendine saklama (self-custody) pratikleri konusunda daha dikkatli olmaları gerektiğini gösterdi [9, 14].

Bu hack, kripto ekosistemindeki güvenlik zaafiyetlerinin ne kadar karmaşık olabileceğini ve en gelişmiş görünen teknolojilerin bile insan hatası veya yazılım kusurları nedeniyle tehlikeye girebileceğini gözler önüne serdi. Coldcard’ın üreticisi Coinkite, durumu kabul ederek etkilenen tüm Coldcard modelleri için düzeltilmiş yazılım güncellemeleri yayınladı ve kullanıcıları fonlarını derhal yeni, güvenli adreslere taşımaya çağırdı [8, 15, 21]. Ancak şirket, mağdurlara herhangi bir tazminat ödemesi teklif etmedi [8, 9].

Analistler ve piyasa uzmanları, bu tür olayların uzun vadede kripto para birimlerinin benimsenmesi üzerinde olumsuz bir etki yaratabileceği konusunda uyarıyor. Özellikle donanım cüzdanlarının “offline” (çevrimdışı) olma avantajının, hatalı ‘seed phrase’ üretimi gibi temel zayıflıklar karşısında yetersiz kalabileceği vurgulanıyor [20]. Önümüzdeki dönemde, donanım cüzdanı üreticilerinin güvenlik protokollerini daha da sıkılaştırması ve bağımsız denetimlerin artırılması bekleniyor. Kripto yatırımcılarının ise sadece donanım cüzdanı kullanmakla kalmayıp, aynı zamanda cüzdanların seed phrase oluşturma süreçleri ve güncellemeleri hakkında da detaylı bilgi sahibi olmaları gerektiği belirtiliyor.