Bitcoin için geliştirilen soğuk cüzdan markası Coldcard’da güvenlik açığı tespit edildi. Galaxy Research’ün tahminine göre Coldcard soğuk cüzdan açığı nedeniyle yaşanan kayıp 1.367 BTC’ye, yani 88,6 milyon dolara ulaştı.
Coldcard Soğuk Cüzdan Açığında Ne Oldu?
Coldcard açığı, bazı cihazların seed phrase (kurtarma kelimeleri) üretirken yeterince rastgele davranmamasıyla ortaya çıktı. Normalde bu kelimelerin tahmin edilmesi neredeyse imkânsız olmalı. Burada olasılık sayısı küçüldü ve saldırganların işi kolaylaştı. Cihazı güncellemek, daha önce üretilen zayıf kelimeleri düzeltmiyor.
Üretici Coinkite, sorunu resmî güvenlik duyurusunda kabul etti ve yeni yazılımları yayımladı. Cointelegraph’ın aktardığı araştırmaya göre olayla bağlantılı olabilecek 4.585 adres inceleniyor. Ancak 88,6 milyon dolarlık rakamın henüz kesinleşmiş toplam kayıp olmadığını unutmamak gerekiyor.
Hangi Coldcard Soğuk Cüzdan Modelleri Etkilendi?
Coinkite’a göre aşağıdaki sürümlerden önce oluşturulan kurtarma kelimeleri risk altında olabilir:
| Model | Düzeltilmiş sürüm |
|---|---|
| Mk2 / Mk3 | 4.2.0 ve sonrası |
| Mk4 / Mk5 standart | 5.6.0 ve sonrası |
| Q standart | 1.5.0Q ve sonrası |
| Mk4 / Mk5 Edge | 6.6.0X ve sonrası |
| Q Edge | 6.6.0QX ve sonrası |
Güncelleme yalnız yeni oluşturulan kelimeleri düzeltir. Eski kelimeleri daha güvenli hale getirmez. TAPSIGNER, OPENDIME ve SATSCARD ürünleri ise bu sorundan etkilenmedi.
Coldcard Kullanıcıları Ne Yapmalı?
Üreticinin önerdiği yol kısa ama dikkat istiyor:
- Cihaza modeline uygun güncellemeyi kurun.
- Güncellenmiş cihazda yeni kurtarma kelimeleri oluşturun.
- Yeni adresi cihaz ekranından kontrol edin.
- Önce küçük bir test gönderin; ulaştığını görünce kalan bakiyeyi taşıyın.
Seed oluştururken en az 50 gizli zar atışı ekleyenler için bir istisna var. Kaç atış yapıldığından emin değilseniz Coinkite yine yeni cüzdana geçilmesini istiyor. Kripto cüzdan açma rehberi, kurtarma kelimelerini ve test işlemini daha sade biçimde anlatıyor.
Neden Önemli?
Soğuk cüzdanlar, kripto varlıkların özel anahtarlarını internetten uzak tutar. Ancak bu olay, cihazın güvenliği kadar kurtarma kelimelerinin nasıl üretildiğinin de önemli olduğunu gösterdi.
CryptoQuant’a göre bir Bitcoin’den küçük işlemlerde tek günde 39.600 BTC taşındı. Bu işlemlerin tamamının Coldcard ile bağlantılı olduğu doğrulanmadı. Yüksek işlem hacmi, kullanıcıların güvenlik duyurusunun ardından cüzdanlarını kontrol etmeye başladığını gösteriyor.