Bitcoin (BTC) Coldcard Saldırısında Kayıp 111 Milyon Dolar Olarak Doğrulandı

Bitcoin Haberleri

Bitcoin (BTC) kullanıcılarının Coldcard donanım cüzdanlarında (hardware wallet) yaşadığı koordineli hırsızlık, doğrulanmış 111 milyon dolarlık kayıpla sonuçlandı. Araştırmacılar nihai rakamın daha da yüksek olabileceği konusunda uyarıyor. Analistlerin incelediği 250 mağdur raporuna göre çalınan coin'ler büyük ölçüde uzun süredir hareketsiz duran eski varlıklardı. Tipik bir coin, boşaltılmadan önce 3,5 yıl boyunca hareket etmemişti ve etkilenen fonların yüzde 88'i en az bir yıldır uyku durumundaydı. Kayıp dağılımı oldukça dengesizdi: adres bazında medyan kayıp 0,014 BTC olurken, ortalama kayıp 0,212 BTC'ye ulaştı. Bireysel mağdurlar açısından bakıldığında medyan kayıp 1,022 BTC, ortalama kayıp ise 4,04 BTC olarak hesaplandı. Örneklemdeki bir hesap tek başına 58,97 BTC kaybetti. İlk dalga geçen perşembe günü 35 milyon doların üzerinde bir miktarla başladı ve hafta sonu boyunca güvenlik araştırmacıları kullanıcıları fonlarını taşımaya çağırırken boşaltma işlemi devam etti. Toronto merkezli Coldcard üreticisi Coinkite, sorunun Mart 2021'de Mk3 cihazlarına 4.0.1 sürümüyle gelen yazılım güncellemesinden (firmware) kaynaklandığını açıkladı. Bu sürümlerde tohum oluşturma (seed creation) işlemi, cihazın donanımsal gerçek rastgelelik kaynağını atlayarak yazılım tabanlı bir sözde rastgele sayı üretecine (pseudorandom generator) düşebiliyordu; bu da kurtarma ifadelerini tahmine daha açık hale getiriyordu. Coinkite, kusurun birden fazla sürüm boyunca tespit edilemediğini kabul ederek potansiyel etkinin zamanla genişlediğini doğruladı. Olay, günler süren bir müdahale sürecine dönüştü; topluluk üyeleri ve cüzdan üreticisi, savunmasız adresler boşaltılmadan önce kullanıcıları defalarca fonlarını taşımaya çağırdı. Bu aciliyetin nedeni saldırının alışılmadık doğasıydı: saldırganların cihazlara fiziksel erişimine gerek yoktu, yalnızca yıllar önce üretilmiş zayıf tohumları yeniden oluşturabilmeleri yeterliydi. Ölçek netleştikçe kullanıcılar coin'lerini alternatif depolama çözümlerine, aralarında borsaların da bulunduğu platformlara taşımaya başladı. Coinkite ise etkilenen kullanıcılara yazılımı güncellemelerini veya varlıklarını savunmasız tohumlardan uzaklaştırmalarını söyledi. Bitcoin saklama (custody) açısından bu olay, yazılım seviyesindeki entropi hatalarının çevrimdışı depolamayı bile nasıl zayıflatabileceğini çarpıcı biçimde ortaya koydu.

Coldcard hırsızlığıyla bağlantılı bir cüzdan, 7 Ağustos'ta sessizliğini bozarak 30,185 BTC'yi — o tarihte yaklaşık 1,94 milyon dolar değerinde — yeni bir adrese aktardı. Bu transfer, haftalar süren cüzdan hareketsizliğinin ardından geldi ve uyku durumundaki diğer saldırgan bakiyelerinin de aktif hale gelip gelmeyeceği sorusunu gündeme getirdi. Zincir üstü (on-chain) takip verileri, bu işlemin ilk boşaltmadan bu yana saldırganın kontrolündeki cüzdanından yapılan ilk hareket olduğunu gösteriyor; bu da onu, çalınan fonların nihayetinde nakde çevrilip çevrilmeyeceğini izleyen araştırmacılar için kritik bir odak noktası haline getiriyor. Söz konusu miktar, istismarla ilişkilendirilen tahmini 2.055 BTC'nin yaklaşık yüzde 1,5'ini temsil ediyor. Daha önceki zincir üstü analizler, yaklaşık 7.300 adresten 1.596 BTC'nin çıkarıldığı üç doğrulanmış dalga tespit etmiş; olası bir dördüncü dalga ise toplamı yaklaşık 2.055 BTC'ye, yani 130 milyon dolara yakın bir seviyeye yükseltmişti. Bu işlemden önce çalınan coin'lerin yaklaşık yüzde 90'ı orijinal hedef cüzdanlarında kalmaya devam ediyordu; dolayısıyla yeni transfer, saldırganın değeri hareket ettirmeye hazırlandığına dair şu ana kadarki en net sinyal niteliğinde. Ancak bu işlem yakın bir satışı kanıtlamıyor. Hırsızlık vakalarında aktörler genellikle varlıkları katmanlı cüzdanlar üzerinden taşıyarak diğer token'lara veya itibari para birimlerine dönüştürmeye çalışır. Her Bitcoin işlemi halka açık bir deftere (public ledger) kaydedildiğinden, tespit edilen saldırgan adresleri fonlar hareket ettikçe izlenebilir. Aynı şeffaflık, borsaların ve araştırmacıların lekelenmiş coin'leri işaretlemesine de olanak tanıyor. Coinkite'ın olay sonrası rehberliği, daha fazla hasarın sınırlandırılmasında merkezi bir rol oynuyor. Şirketin yönergeleri, savunmasız tohumların sahiplerine varlıklarını taşımalarını, yeni kurtarma ifadeleri oluşturmalarını ve düzeltilmiş yazılımı yüklemelerini söylüyor. Ayrıca etkilenen cihazda üretilen her tohum ifadesinin — henüz fon hareket etmemiş olsa bile — ele geçirilmiş kabul edilmesi gerektiği konusunda uyarıyor. Müdahale süreci bugüne kadar saldırgan ve mağdur adres verilerinin ABD kolluk kuvvetleri, kripto para borsaları ve siber soruşturma ekipleriyle paylaşılmasını içerdi; ek saldırgan cüzdanlarının tespiti için çalışmalar hâlâ sürüyor.

COINOTAG'ın değerlendirmesi her iki gelişmeyi tek bir temaya bağlıyor: Coldcard ihlali bir piyasa olayı değil, anahtar üretimi (key generation) hatasıydı ve halka açık defter artık denetim izini sağlıyor. Coinkite'ın olay sonrası raporu (post-mortem), kök nedeni Mk3 yazılımının zayıf bir sözde rastgele sayı üretecine geri düşmesi olarak belirliyor. Zincir üstü kayıtlar ve doğrulanmış toplam, 111 milyon dolarlık kaybın yanı sıra ilk 30,185 BTC'lik transferi ortaya koyuyor. Düzeltme adımları açık: yazılımı güncelleyin, yeni tohumlar oluşturun ve fonları taşıyın. Saldırgan bir altcoin, itibari para veya borsa üzerinden çıkış yapsa da yanıt aynı: savunmasız tohumları ele geçirilmiş kabul edin — coin'ler ister tüm zamanların en yüksek seviyesine yakın satın alınmış olsun, ister ayı piyasasında biriktirilmiş olsun.