Bitcoin (BTC) Coldcard Açığı 1.082,65 BTC'yi Sürükledi

Bitcoin (BTC) donanım cüzdanı Coldcard'da tespit edilen kritik bir güvenlik açığı, 30 Temmuz'da 1.196 adresten toplam 1.082,65 BTC'nin boşaltılmasına neden oldu. COINOTAG'ın incelediği zincir üstü verilere göre bu olay, tek bir cihaz ailesine bağlı en büyük öz saklama (self-custody) ihlallerinden biri olarak kayıtlara geçti. Transferler yalnızca 41 dakikalık bir pencerede gerçekleşti ve tüm işlemlerde aynı işlem ücreti kullanıldı; bu durum, ele geçirilen özel anahtarların otomatik bir sistem tarafından kontrol edildiğine işaret ediyor. Etkilenen cihazlar arasında Coinkite'ın eski nesil Coldcard Mk3 modeli ile Mk4, Mk5 ve Q serilerinin eski firmware sürümlerini çalıştıran bazı üniteler bulunuyor. Bu cihazlarda tohum (seed) üretiminin zayıflamış olabileceği belirtiliyor. Çalınan varlıklar dört kümelenme adresine aktarılırken, mağdur profilinin bireysel yatırımcılardan oluştuğu, borsa ya da kurumsal cüzdanların hedef alınmadığı görülüyor. Olay, Bitcoin saklama modeline ilişkin zor soruları da gündeme taşıyor; çünkü yıllar önce kurulan cüzdanlar, fonlar zaten gitmiş olana kadar izlenmeden kalabiliyor. Bazı kullanıcılar eski kurtarma ifadelerini (recovery phrase) zamanında bularak varlıklarını kurtarmayı başardı, ancak diğerleri kayıplarını ancak bir sonraki tüm zamanların en yüksek seviyesi (all-time high) geldiğinde bakiyelerini kontrol ettiklerinde fark edebilir. Bu durum, uzun süredir hareketsiz kalan uzun vadeli yatırımcıların düzenlenmiş saklama ürünlerine daha fazla güvenip güvenmemesi gerektiği tartışmasını da yeniden alevlendirdi. Bitcoin sahipleri için pratik ders net: firmware geçmişini doğrulayın, savunmasız tohumları yeni üretilmiş adreslere taşıyın ve soğuk depolamayı aktif olarak yönetilen bir güvenlik süreci olarak ele alın.

Aynı Coldcard istismarına ilişkin blok zinciri analizi, saldırganın kasıtlı bir sıralama stratejisi izlediğini ortaya koyuyor. En büyük bakiyeler önceliklendirilmiş, ardından listede aşağıya doğru ilerlenmiş. İncelemeye göre ilk 10 dakikada yaklaşık 30 milyon dolar değerinde varlık çekildi ve ilk 25 dakikalık örneklemde yaklaşık 500 cüzdandan 38 milyon doların üzerinde bir miktar boşaltıldı. Erken hedeflerden biri yaklaşık 1,8 milyon dolar tutarken, en çok etkilenen 10 cüzdanın üçünde 10 BTC'den fazla bakiye bulunuyordu. Bu profil, kampanyanın önceden planlandığını ve fırsatçı bir saldırı olmadığını düşündürüyor. Coinkite'ın yayınladığı güvenlik duyurusu, savunmasız Mk3 firmware sürümlerinin 4.0.1 ile 4.1.9 arasını kapsadığını belirtiyor ve yalnızca bir hotfix kurulumunun zaten zayıflamış bir tohumu kurtarmayacağı konusunda uyarıyor. Etkilenen firmware üzerinde kurtarma ifadesi oluşturmuş kullanıcıların, yamalı donanımda yeni bir tohum üretmeleri ve güçlü bir BIP-39 parolası eklemeleri tavsiye ediliyor; bu, kaba kuvvet (brute-force) saldırılarının etkin maliyetini artırabilir. Çalınan fonlar hâlâ hareket açısından izleniyor ve araştırmacılar, ilgili adreslerin otomatik süpürmelere karşı savunmasız kalmaya devam edebileceğini belirtiyor. Bu da cüzdan hijyeninin tek seferlik bir kurulum değil, sürekli bir operasyonel görev olduğunu gösteriyor. Öz saklama kullanıcıları için kontrol listesi şunları içeriyor: cihaz firmware tarihlerini doğrulama, savunmasız dönemde oluşturulmuş herhangi bir tohumu döndürme ve çevrimdışı kurtarma yedeklerini ağa bağlı makinelerden ayrı tutma.

Coldcard kayıplarının arkasındaki teknik neden, tohum oluşturma sırasındaki zayıf entropiye dayanıyor. Daha derinlemesine yapılan zincir üstü ve firmware incelemesine göre, 2021 yılına ait bazı eski firmware sürümleri — 4.0.0 ve 4.0.1 civarındaki versiyonlar dahil — cihazın donanımsal rastgele sayı üretecini (hardware random-number generator) devre dışı bırakarak daha öngörülebilir bir yazılım yoluna başvurmuş. Bu durum, etkin tohum entropisini beklenen 128 bitten yaklaşık 40 ila 72 bite düşürmüş ve yeterli hesaplama gücüne sahip bir saldırgan için özel anahtar türetimini son derece kolaylaştırmış. Süpürülen adreslerin ezici çoğunluğu Native SegWit hesaplarından oluşuyor; boşaltılan 1.196 adresin 1.183'ü BIP-84 formatını kullanıyordu. Boşaltılan cüzdanların çoğunda 1 BTC'den az bakiye bulunmasına rağmen, ekonomik zarar 1 ile 50 BTC arasındaki bakiyelerde yoğunlaşmıştı; bu profil, borsa cüzdanları yerine bireysel öz saklama ile tutarlı. Her kötü amaçlı işlem, haftalık medyanın çok üzerinde olan sabit 30 sat/vB ücret ödedi ve hiçbirinde para üstü (change output) bulunmuyordu; bu da otomatik harcamanın bir başka imzası. Aktivite altı blok boyunca sürdü ve üç blokta süpürme işlemi görülmedi; bu da toplu yayınlama (batched broadcasting) yapıldığını düşündürüyor. Süpürme işlemi, kamuya açık güvenlik uyarısından yaklaşık 30 saat önce başlamış ve bu aralıkta habersiz kullanıcıları savunmasız bırakmış. Coinkite, kullanıcılara çok sayıda zar atışı veya güçlü bir BIP-39 parolası gibi ek entropi kaynakları eklemenin maruziyeti azaltabileceğini bildirdi, ancak yeni üretilmiş bir tohuma geçiş en güvenli çözüm olmaya devam ediyor.

Toplam kayıp, erken raporlarda belirtilen 38 milyon dolarlık rakamın neredeyse iki katına, yaklaşık 70 milyon dolara revize edildi. Binance'in kurucusu ve eski CEO'su Changpeng Zhao, uzun süredir güvenilen donanım cüzdanlarının bile gizli hatalar barındırabileceği konusunda kamuoyuna uyarıda bulunarak, varlık sahiplerine fonlarını birden fazla cihaza dağıtmalarını tavsiye etti; ancak bu yaklaşımın kendi içinde ödünleşimler (trade-off) taşıdığını da kabul etti. Ayrı bir gelişme olarak Block'un mühendislik ekibi, bir blok zinciri veri sağlayıcısındaki ücretli abonelik üzerinden operatörü tespit etti ve bulgularını kolluk kuvvetlerine iletti. Block ayrıca eski Coldcard Mk2 modelini de potansiyel olarak savunmasız olarak işaretledi; bu model Coinkite'ın kendi duyurusunda yer almıyordu. En son zincir üstü verilere göre çalınan varlıklar hâlâ dört kümelenme adresinde hareketsiz duruyor, ancak araştırmacılar zayıf tohumlar bakiye tutmaya devam ettiği sürece ek süpürmelerin mümkün olduğu konusunda uyarıyor.

Kök neden, belirli bir kod seviyesindeki hataya kadar izlendi: dahili bir derleme bayrağı (build flag) donanımsal rastgele sayı üretecini devre dışı bırakmış ve destekleyici bir kütüphane bu bayrağın yalnızca varlığını doğrulamış, aktif olup olmadığını teyit etmemiş. Bu durum, tohum türetiminin çipin fabrika seri numarası ve saat kayıtlarından anahtarlanan bir yazılım yedeğine varsayılan olarak düşmesine yol açmış. Mk4, Q ve Mk5 modelleri için araştırmacılar, ortaya çıkan numaralandırılabilir anahtar uzayını yaklaşık dört milyar aday olarak belirledi; bu, ticari donanımla kolayca taranabilir bir büyüklük. Galaxy Research ayrıca boşaltılan cüzdanların üç farklı adres formatına yayıldığını ve bunun hedefli bir hırsızlık yerine kapsamlı bir numaralandırma taramasıyla tutarlı olduğunu belirtti. Bir sahibin tohumunun tehlikeye atılmış aralıkta olup olmadığını doğrulamasını sağlayan herhangi bir öz tanı aracı bulunmuyor; bu nedenle etkilenen firmware üzerinde anahtar üretmiş herkes, varlıklarını tehlikeye atılmış saymalı ve derhal geçiş yapmalı.

(20:56 UTC itibarıyla) COINOTAG'ın tescilli 42 göstergeli bileşik destek/direnç puanlama motoru, Bitcoin'in (BTC) son anlık görüntüde günlük yüzde 0,45'lik düşüşle 62.651 dolar civarında işlem gördüğünü gösteriyor. 63.161 dolar direnç seviyesi, Fibo 0,214, HVN, SMA 50 ve Pivot Point birleşiminden 100 üzerinden 70 puan alıyor. 62.309 dolardaki en güçlü destek ise Ichimoku Senkou A, Ichimoku bulut tabanı, Donchian alt ve Swing Low sinyallerinden 100 üzerinden 83 puanla derecelendiriliyor. Türev piyasası pozisyonlanması uzun ağırlıklı kalmaya devam ediyor; fonlama oranı (funding rate) yüzde 0,0029 seviyesinde, açık pozisyon (open interest) 12,7 milyar dolar ve uzun/kısa hesap oranı 2,22. Korku ve Açgözlülük Endeksi 27 ile "Korku" bölgesinde okunuyor. 63.161 doların geri kazanılması 64.155 dolar testini açabilir, ancak 62.309 doların kaybı düşüş trendini teyit eder ve 61.044 doları gündeme getirir. Bitcoin'in yüzde 69,7'lik izlenen piyasa payı, olası bir yeni ayı piyasası (bear market) ayağında altcoin (altcoin) kompleksini savunmasız bırakmaya devam ediyor.