Coldcard Saldırısı Temmuz Ayı Kripto Kayıplarını 247 Milyon Dolara Yükseltti

Coldcard donanım cüzdanlarında ortaya çıkan ciddi bir güvenlik açığı, Temmuz 2026'da kripto para piyasasında 247 milyon dolarlık rekor bir kayba yol açtı. Bu miktar, DefiLlama verilerine göre 2026 yılının en yüksek ikinci aylık kaybı olarak kayıtlara geçti ve nisan ayındaki 644 milyon dolarlık kayıptan sonra geldi. Coldcard saldırısı tek başına bu toplamın 100 milyon doların üzerindeki önemli bir kısmını oluşturdu.

Kanadalı Coinkite firması tarafından üretilen Coldcard donanım cüzdanlarındaki güvenlik açığı, Mart 2021'den bu yana var olan eski bir yazılım hatasından kaynaklanıyordu. Bu hata, bazı cihazlarda tohum kelimesi (seed phrase) oluşturma sürecinde donanım tabanlı gerçek rastgele sayı üreteci (TRNG) yerine zayıf bir yazılım tabanlı sözde rastgele sayı üretecinin (PRNG) kullanılmasına neden oldu. Sonuç olarak, anahtar gücü tasarlanan 128 bitten 40 ila 72 bite kadar düşerek, saldırganların cihazlara fiziksel erişim sağlamadan kaba kuvvet (brute-force) saldırılarıyla özel anahtarları yeniden oluşturmasına olanak tanıdı. Saldırılar 30 Temmuz 2026'da başlayarak dört dalga halinde gerçekleşti ve yaklaşık 5.200 ila 7.300 adresten 1.816 BTC'nin (yaklaşık 116 milyon dolar) çalınmasına neden oldu. Bazı raporlar ise toplam kaybın 2.055 BTC ile 130 milyon dolara ulaşabileceğini belirtiyor. Coinkite, 31 Temmuz'da acil bir yazılım güncellemesi yayınlayarak kullanıcıları etkilenen cihazlarda yeni tohum kelimeleri oluşturmaya ve fonlarını taşımaya çağırdı.

Coldcard saldırısının büyüklüğüne rağmen Bitcoin (BTC) fiyatı üzerinde önemli bir etki gözlemlenmedi; piyasa bu olayı daha çok bir cüzdan güvenlik sorunu olarak değerlendirdi. Ancak olay, kripto para birimlerinin kendi kendine saklanması (self-custody) konusundaki riskleri yeniden gündeme getirdi ve yatırımcıların düzenlemeye tabi Bitcoin borsa yatırım fonlarına (ETF'ler) ve nitelikli saklayıcılara yönelme eğilimini güçlendirebileceği belirtildi. Coldcard olayının yanı sıra, Temmuz ayında Bonzo Lend'den 9 milyon dolar, SecondFi'den 2,6 milyon dolar, Arbitrum tabanlı AFX'ten 24 milyon dolar ve Verus Ethereum Köprüsü'nden 7,5 milyon dolar gibi başka önemli kripto saldırıları da yaşandı.

Bu olay, 'soğuk depolama' olarak bilinen çevrimdışı cüzdanların bile teknolojik risklere karşı tamamen bağışık olmadığını gösterdi. Güvenlik uzmanları, bu kusurun Bitcoin protokolünün kendisinde değil, Coldcard cihazlarının tohum kelimelerini nasıl oluşturduğuna özgü bir kusur olduğunu vurguladı. Bu durum, kriptografik güvenliğin temelini oluşturan rastgele sayı üretimi süreçlerinin kritik önemini bir kez daha ortaya koydu.

Analistler ve piyasa beklentileri, bu tür olayların ardından operasyonel güvenliğin ve dağıtılmış anahtar yönetiminin öneminin artacağını gösteriyor. Kullanıcılara, etkilenen eski yazılım sürümleriyle oluşturulmuş tohum kelimelerinin güvensiz kabul edilmesi ve fonların yeni, güvenli tohumlara taşınması yönünde tavsiyelerde bulunuluyor. Genel olarak, Coldcard saldırısı, kripto ekosisteminde güvenlik uygulamalarının sürekli olarak gözden geçirilmesi ve geliştirilmesi gerektiğini bir kez daha hatırlattı.