Bitcoin (BTC) Coldcard Açığından Kaynaklanan Kayıplar 100 Milyon Doları Aştı

Bitcoin Haberleri

Bitcoin (BTC) varlıklarını Coldcard donanım cüzdanlarında saklayan kullanıcılar, yazılım bellenimindeki bir kusur nedeniyle özel anahtar üretiminin tahmin edilebilir hale gelmesi sonucu 100 milyon doların üzerinde kayıp yaşadı. Bu olay, Bitcoin'in temel vaatlerinden biri olan kendi kendine saklama (self-custody) modelinin ciddi bir sınavı olarak değerlendiriliyor. Sorunun kökeni 2021 yılında yapılan bir kod göçüne dayanıyor. Bu göç sırasında, cihazın donanımsal rastgele sayı üreteci yerine, böyle bir çipe sahip olmayan makineler için tasarlanmış yazılımsal bir yedek mekanizmaya sessizce yönlendirme yapılmış. Derleme sürecinde bir yapılandırma bayrağı (build flag), sıfır değerini tanımlı olarak kabul ettiği için yedek mekanizma aktif kalmaya devam etmiş. Bunun sonucunda eski Mk2 ve Mk3 modellerinde entropi, hedeflenen 128 bitten yaklaşık 40 bite düşmüş. Zincir üstü analizler, üç doğrulanmış dalga ve 14 küçük olayda toplam 1.596 BTC'nin ele geçirildiğini ortaya koyuyor. Şüpheli bir dördüncü dalganın da eklenmesiyle tahmini toplam 2.055 BTC'ye, yani yaklaşık 130 milyon dolara yükseliyor.

Şu anda en az 15 farklı saldırgan, savunmasız Coldcard cüzdanlarını taramaya devam ediyor ve bu sayı her geçen gün artıyor. Bir gece yarısı vakasında, bir kullanıcı bir BTC'den az kaybettiğini bildirdi; ancak blokzincir analizi, daha önce kataloglanmamış bir aktörün 126 adresten 12 BTC çektiğini ortaya çıkardı. Araştırmacılar her saldırgan kümesini alfabetik olarak etiketliyor ve en son tespit edilen ayak izine "O" designation'ı verildi. Kusur kamuya açık olduğu için teknik kapasiteye sahip herhangi bir taraf, Bitcoin defterini zayıf anahtarlar açısından tarayabilir ve kaba kuvvet (brute-force) yöntemiyle bu anahtarları kırabilir. Coinkite, hatayı kabul ettiğini, etkilenen bellenim sürümleri için düzeltmeler yayınladığını ve tehdidin hâlâ aktif olduğunu açıkladı. Şirket ayrıca, bellenimi güncellemenin zaten üretilmiş bir seed'i (tohum kelime grubunu) onarmadığını özellikle vurguladı.

Coldcard'ın yayınladığı son güvenlik duyurusu, kullanıcıların bu açığı henüz çözülmemiş olarak değerlendirmesini ve fonlarını tamamen yeni oluşturulmuş cüzdanlara taşımasını tavsiye ediyor. Şirket, varlıkların yeni oluşturulmuş kurtarma ifadelerine aktarılması, bellenimin güncellenmesi ve eski türetim yollarından elde edilen adreslerin artık kullanılmaması gerektiğini belirtti. Ayrıca mevcut düzeltmenin cihazları kalıcı olarak devre dışı bıraktığı yönündeki iddiaları reddederek, geçici bir gerçek rastgele sayı üreteci hatasının gücün kesilip cihazın yeniden başlatılmasıyla giderilebileceğini açıkladı. Şirketin açıklamasına göre bu tür bir hata flaş belleğe veri yazmıyor ve sistem güvenli bir şekilde kapanacak şekilde tasarlanmış durumda. Geliştiriciler, sınırlı yeniden deneme, seed hata tespiti ve önceki rastgele sayı üreteci çıktısının silinmesini içeren ek bir yama üzerinde çalışıyor; Mk3 desteği ise ayrı bir güncellemeyle gelecek.

Güvenlik krizi, aynı zamanda uzun süredir hareketsiz duran bir Bitcoin adresinden gelen nadir bir hareketle de çakıştı. Blokzincir kayıtları, 500 BTC tutan ve yaklaşık 32 milyon dolar değerinde olan eski bir cüzdanın, 12 yıllık hareketsizliğin ardından tüm bakiyesini yalnızca 191 satoshi — yaklaşık 0,12 dolar — işlem ücreti ödeyerek transfer ettiğini gösteriyor. Bazı gözlemciler bu zamanlamayı Coldcard olayıyla ilişkilendirdi; ancak zincir üstü veriler tek başına, cüzdan sahibinin açığa tepki olarak mı yoksa yalnızca saklama düzenlemesi mi yaptığını kanıtlayamıyor. Uzun süre hareketsiz kalan coin'ler genellikle kayıp anahtarlar veya balina satışları hakkında spekülasyon yaratır; ancak bu tür transferler daha yeni depolama çözümlerine yapılan rutin konsolidasyonları da yansıtabilir. Bu olay, aktif bir güvenlik açığı sırasında kendi kendine saklama varsayımlarının ne kadar hızlı değişebileceğini açıkça gösteriyor.

Çalınan BTC'lerin tutulduğu düşünülen ve yaklaşık 36 milyon dolar değerinde varlığa sahip olduğu tahmin edilen bir cüzdan, adeta doğaçlama bir mesaj panosuna dönüşmüş durumda. Hırsızlık olayından bu yana bu adrese 23 küçük mevduat gönderildi; bunların 14'ü OP_RETURN veya benzeri meta veri mekanizmaları aracılığıyla yazılı notlar taşıyor. Göndericiler toplamda yaklaşık 81.527 satoshi — ücretler sonrası yaklaşık 52 dolar değerinde — transfer ederken, yaklaşık 9.706 satoshi ağ ücreti ödedi. Mesajlar kısmi iade taleplerinden pazarlık notlarına, haiku'lardan özlü sözlere, fonları aklama tekliflerinden dolandırıcılık reklamlarına kadar geniş bir yelpazeye yayılıyor. Bir giriş, cüzdanın kendini boşaltmasını talep ederek hırsızı bir insan saldırgan yerine bir Yapay Zeka Kripto Cüzdanı gibi ele almaya çalıştı.

Doğrulanmış kayıp bilançosu hızla tırmanarak araştırmacılara hareketli bir hedef sunuyor. Beş gün içinde tahmin, ilk tarama dalgası ortaya çıktığında 38 milyon dolardan Cumartesi günü 88,6 milyon dolara, ardından 100 milyon doların üzerine yükseldi. Doğrulanmış kapsam, üç büyük dalga ve 14 küçük olayda yaklaşık 7.300 adresten 1.596 BTC'yi kapsıyor; şüpheli dördüncü dalganın eklenmesiyle toplam 2.055 BTC'ye, yani yaklaşık 130 milyon dolara ulaşıyor. Yetmiş üç mağdur araştırmacılara başvurarak fırsatçı ayak izlerinin belirlenmesine yardımcı oldu. Çalınan BTC'lerin yaklaşık yüzde 90'ı hâlâ hareket ettirilmedi ve adres verileri ABD federal kolluk kuvvetleri, borsalar ve siber soruşturma şirketleriyle paylaşıldı. Düzeltilmiş bellenim 31 Temmuz'da yayınlandı; ancak bu güncelleme, ele geçirilmiş seed'leri geri yükleyemiyor.

COINOTAG'ın 42 göstergeli tescilli destek/direnç puanlama motoru, son verilere göre Bitcoin (BTC) fiyatını 64.059,53 dolar olarak gösteriyor; yüzde 0,14 yükselişle fiyat yatay seyrediyor. 63.712 dolar desteği 73/100 puan almış olup Fibo 0,236 ve SMA 50 tarafından destekleniyor; 64.359 dolar direnci flip S→R ve SMA 20'den 77/100 puan alırken, 66.878 dolar seviyesi Keltner Üst Bandı ve EMA 100 ile 79/100 puan alıyor. Fonlama oranı (funding rate) yüzde 0,0026, açık pozisyon (open interest) 12,82 milyar dolar ve uzun/kısa oranı 1,38 olup mütevazı bir uzun pozisyon eğilimine işaret ediyor. Korku ve Açgözlülük Endeksi 25 ile Aşırı Korku bölgesinde. 64.359 doların geri kazanılması 66.878 doları hedefler; 63.712 doların kaybedilmesi ise yükseliş temelini geçersiz kılarak 62.480 doları açar. Bitcoin'in yüzde 69,7'lik izlenen piyasa payı, altcoin alanına kıyasla savunmacı bir duruşu destekliyor; ancak Aşırı Korku tek başına bir ayı piyasasını teyit etmez.