Coldcard'ın X Hesabı Ele Geçirildi: Bitcoin (BTC) Mk4, Mk5 ve Q için Sahte Firmware Uyarısı

Bitcoin (BTC) donanım cüzdanı üreticisi Coldcard'ın resmi X hesabı, 11 Ekim 2026 Pazar günü ele geçirildi ve markanın adına bir dolandırıcılık gönderisi yayımlandı. Mesajda Mk4, Mk5 ve Q cihazlarını etkilediği iddia edilen kritik bir donanım yazılımı (firmware) açığından söz ediliyor ve kullanıcıların varlıklarını acilen taşıması için sahte bir sayfaya yönlendiren bağlantı paylaşıldı. Gönderi sonrasında silindi; şirket de iç soruşturma başlattı. Coldcard yaptığı açıklamada hesabın 2017'den bu yana çevrimdışı iki aşamalı doğrulamayla çalıştığını ve erişimin sıkı biçimde kısıtlandığını belirtti, yine de hesabın ihlal edilememiş olabileceğini tamamen dışlayamadıklarını söyledi. Şirket, coldcard.com'un tek resmi web adresi olduğunu doğruladı ve kullanıcıların paylaşılan bağlantıya girmemesi ile onunla etkileşime geçmemesi yönünde uyardı. Coldcard, X destek ekibiyle temasa geçtiğini, hesabın tüm erişim izinlerini gözden geçirdiğini ve soruşturma tamamlandığında bulguları paylaşacağını açıkladı. Dikkat çeken nokta, şirketin kendi sistemlerine yetkisiz giriş bulgusuna rastlamadığını bildirmesi; gönderinin yalnızca sosyal ağ tarafındaki yetkisiz erişim ya da platformun yönetici paneli üzerinden yayınlanmış olabileceği değerlendirmesi. Saldırının hedefi, kullanıcıların soğuk cüzdan varlıklarıydı; borsa bakiyeleri değil. Bitcoin fiyatı da vektör değildi: sahte sayfa, kurtarma bilgilerini ele geçirmek için kurulmuştu. Ele geçirilen @coldcardwallet hesabı uzun süredir markanın birincil halka açık kanalı; tek bir sahte gönderiyi bu kadar tehlikeli kılan da tam olarak buydu.

Olayın zaman çizelgesi ve topluluktaki yeni tepkiler de netleşti. Dolandırıcılık gönderisi Pazar günü saat 2:00 UTC civarında yayınlandı; Coldcard ise saat 5:46 UTC'de konuyu kamuya duyurarak hesabın neden bir bağlantı paylaştığını araştırdıklarını ve gönderinin kaldırıldığını doğruladı. Yaklaşık 20 dakika sonra şirket, X'ten acil inceleme talep etti; kendi incelemesinin hesapta karşılık gelen hiçbir giriş, oturum ya da erişim kaydı bulamadığını belirtti. Pazar günkü saldırıdan kaynaklanan doğrulanmış bir finansal kayıp bildirilmedi. Olay, 9 Ekim'deki kurcalamaya karşı şeffaf kasa tanıtım gönderisini de yeniden gündeme taşıdı; topluluk üyeleri, Temmuz'daki yazılım açığı göz önüne alındığında bu gönderiyi zevksiz buldu. Bazı müşteriler, şirket ve ortak kurucu Rodolfo Novak'ın X'te eleştirmenleri ve kendini mağdur olarak tanımlayanları engellediğini öne sürdü.

Pazar günkü olayın piyasa bağlamı da şekillendi. Donald Trump'ın Truth Social üzerinden duyurduğu derhal yürürlüğe girecek Rusya-Ukrayna enerji ateşkesi sonrasında Bitcoin (BTC), Cuma günkü 80.300 doların üzerindeki dibe yakın seviyeden 11 Ekim'de yüzde 4,3 yükselişle 83.935 dolara çıktı; Ukrayna Devlet Başkanı Volodimir Zelenski ise anlaşmayı doğrulayan detayların henüz ulaşmadığını söyledi. Ralli, Coldcard ihlaline ve Ledger olayına ilişkin güncellenmiş kayıp tahminine rağmen geldi: zincir üstü veri firması Bitquery, beş ağda 311 cüzdandan çekilen fonları yaklaşık 92,9 milyon dolar olarak hesapladı; bunun yaklaşık 70,5 milyonu çoğunlukla USDT üzerinden TRON'da, 16,8 milyonu ise Bitcoin'de. Likidasyon verileri, Cuma'da short'lardan 100,9 milyon doların, Pazar'da ise 100,29 milyon doların zorla kapatıldığını gösterdi; long likidasyonları 22 milyon ve 37,57 milyon dolarda kaldı. 29 Ekim'deki FOMC toplantısında faiz oranının sabit tutulması olasılığı Polymarket'te yüzde 84'e çıktı; on gün önce bu oran yüzde 34'tü.

Saldırganlar Temmuz'un Yama Numaralarını Kullandı

Sahte duyuru, güvenilirliğini Coldcard'ın Temmuz sonunda yaşadığı gerçek krizden aldı. Cihaz kodundaki bir binder hatası, bazı cüzdanların zayıf entropiyle üretilmesine yol açtı; gerçek rastgele sayı üreteci yerine kırılabilir bir yazılım algoritmasına geri düşüldü. İlk hırsızlık dalgası 30 Temmuz 2026'da başladı ve toplam kaybın 1.600 ile 1.800 Bitcoin (BTC), o günkü değerle kabaca 100 ile 130 milyon dolar olduğu tahmin ediliyor; bu, yılın en büyük bireysel saklama (custody) başarısızlıklarından biri. Güvenlik araştırmacıları, açığa bağlı en az 7.300 cüzdan tespit etti; üç doğrulanmış saldırı dalgası 100 milyon doların üzerinde çaldı, şüpheli dördüncü dalga ise toplamı yaklaşık 130 milyon dolara taşıdı. Sektör geneli zincir üstü veriler, Temmuz'daki hırsızlığı 247,4 milyon dolar olarak kaydetti; Nisan'daki 644 milyon doların ardından yılın en kötü ikinci ayı oldu ve Coldcard açığı, ayın en büyük tek olayıydı. Üretici Coinkite acil sürümlerle yanıt verdi: Mk3 için 4.2.0, Mk4 ve Mk5 için 5.6.0 ve Q modeli için 1.5.0Q. Bu güncellemeler mevcut cüzdanları otomatik olarak güvene almıyordu; kullanıcıların yeni bir seed phrase üretmesi ve fonlarını elle yeni cüzdanlara taşıması gerekiyordu. Pazar günkü dolandırıcılık girişimi tam da bu süreci kopyaladı ve sahte duyurusunda aynı düzeltilmiş sürüm numaralarını kullanarak panik halindeki kullanıcıları saldırganların kontrolündeki adreslere yönlendirdi. Olay, daha geniş bir donanım cüzdanı aksaklıkları dizisine de eklemleniyor: Eylül sonunda Güneydoğu Asyalı bir distribütörün tedarik zinciri üzerinden ele geçirilen Ledger cihazları 86 milyon doların üzerinde hırsızlığa yol açmış, şirket son 90 gün içinde cihaz satın alan herkesten varlıklarını taşımasını istemişti.

Bu Kez Zincir Üstünde Boşalma Yok

İki olayı birlikte okuduğumuzda, 11 Ekim saldırısının Temmuz'daki açıktan temelden farklı bir tehdit olduğu ortaya çıkıyor. Burada otomatik bir zincir üstü boşaltma mekanizması söz konusu değil; risk, 24 kelimelik kurtarma ifadesini sahte sayfaya kendi eliyle yazan kullanıcılarla sınırlı. Bu da tabloyu teknik bir açık yerine sosyal mühendislik hamlesine işaret ediyor. Coldcard'ın kendi açıklaması da bu çerçeveyi destekliyor; gönderinin platform tarafı erişimi ya da yönetici paneli üzerinden güvenlik katmanlarını aştığı öngörüsü, X'in iç sistemlerine ulaşan araçların karanlık piyasalarda dolaştığına dair raporlarla uyumlu, ama bu olayla doğrulanmış bir bağlantı kurulmuş değil. Hesabın hangi yolla ele geçirildiğinden bağımsız pratik sonuç aynı: donanım yazılımı güncellemeleri, yazılım indirmeleri ya da acil cüzdan taşıma duyurularının tamamı doğrudan üreticinin resmi sitesinden doğrulanmalı; sosyal medyada paylaşılan bağlantıdan asla işlem yapılmamalı.