Soğuk Cüzdan (Cold Wallet) Nedir?

Soğuk cüzdan ne işe yarar?

Bir kripto cüzdanın asıl değeri, içindeki özel anahtardır: anahtarı ele geçiren, adresteki varlıkları da ele geçirir. Anahtar internete bağlı bir telefonda, bilgisayarda veya tarayıcı eklentisinde duruyorsa kötü amaçlı yazılım, oltalama veya uzaktan erişim yoluyla çalınabilir. Bu tür cüzdanlara sıcak cüzdan denir.

Soğuk cüzdan bu riski, anahtarı çevrimiçi dünyadan fiziksel olarak ayırarak azaltır. İşlem imzalanırken bile anahtar çevrimdışı ortamdan çıkmaz; dışarıya yalnızca imzalı işlem gönderilir. Bu nedenle soğuk cüzdan:

• uzun süre hareket ettirilmeyecek birikimler,
• yüksek tutarlı varlıklar,
• kurumların ve borsaların müşteri varlıklarının büyük kısmını tuttuğu rezervler

için standart saklama yöntemidir. Birçok ülkede düzenleyiciler, borsaların müşteri varlıklarının belirli bir bölümünü soğuk cüzdanda tutmasını şart koşar.

Soğuk cüzdan nasıl çalışır?

Soğuk saklamanın temel fikri, işlemi hazırlamak ile işlemi imzalamak adımlarını ayırmaktır:

1. İnternete bağlı bir cihazda (bilgisayar veya telefon) gönderilecek miktar ve alıcı adresiyle imzasız bir işlem hazırlanır.
2. İşlem USB, Bluetooth, QR kod veya microSD kart ile çevrimdışı cihaza aktarılır.
3. Çevrimdışı cihaz, alıcı adresini ve tutarı kendi ekranında gösterir; kullanıcı cihaz üzerindeki tuşla onay verir.
4. Cihaz işlemi içerideki özel anahtarla imzalar ve yalnızca imzalı işlemi geri verir.
5. Çevrimiçi cihaz imzalı işlemi ağa yayınlar.

Bu akışta bilgisayar ele geçirilmiş olsa bile saldırgan özel anahtarı göremez. Tek risk, kullanıcının cihaz ekranında gösterilen adresi kontrol etmeden onaylamasıdır; bu yüzden onayı her zaman cihazın kendi ekranından vermek soğuk saklamanın temel kuralıdır.

Soğuk cüzdan kurulurken cihaz bir seed phrase (kurtarma kelimeleri) üretir. Cihaz kaybolur veya bozulursa aynı kelimelerle yeni bir cihazda tüm anahtarlar yeniden oluşturulabilir. Kelimeler de çevrimdışı saklanmadığı sürece soğuk cüzdanın güvenliği anlamını yitirir.

Soğuk cüzdan türleri

Bireysel kullanıcılar için en yaygın çözüm donanım cüzdanı ile çelik veya kâğıt kurtarma yedeğinin birlikte kullanılmasıdır. Kâğıt cüzdanlar, anahtarı harcama anında çevrimiçi ortama taşıma zorunluluğu nedeniyle bugün daha az önerilir.

Soğuk cüzdanların kısa tarihçesi

• 2014: SatoshiLabs'in geliştirdiği Trezor, genellikle ilk ticari Bitcoin donanım cüzdanı olarak anılır. Özel anahtarı ayrı bir cihazda tutup işlemi o cihazda imzalama fikri bu dönemde yaygınlaştı.
• 2016: Ledger, Nano S modelini piyasaya sürdü; daha küçük ve uygun fiyatlı cihazlar donanım cüzdanlarını bireysel kullanıcılar arasında yaygınlaştırdı.
• 2017–2018: ICO döneminde ve borsa kaynaklı kayıpların ardından birçok kullanıcı varlıklarını borsalardan çekip kendi kontrolündeki cüzdanlara taşıdı. 2014'teki Mt. Gox iflası, borsada tutulan varlıkların riskine dair en sık anılan ders oldu.
• 2020: Ledger'ın e-ticaret ve pazarlama veri tabanına Haziran 2020'de yetkisiz erişim sağlandı; Aralık 2020'de müşteri verilerinin bir kısmı internette yayımlandı. Şirkete göre cihazlar ve kripto varlıklar etkilenmedi, ancak ad, adres ve telefon bilgileri sızan kullanıcılar uzun süre kimlik avı (phishing) mesajlarının hedefi oldu.
• 2023: Ledger'ın, kurtarma kelimelerinin şifrelenmiş parçalarını kimlik doğrulamasıyla üçüncü taraflarda yedekleyen isteğe bağlı Ledger Recover hizmetini duyurması, "anahtar cihazdan hiç çıkmaz" beklentisiyle çeliştiği gerekçesiyle toplulukta tartışma yarattı; şirket hizmetin çıkışını erteledi ve kodunu açık kaynak hâle getirme taahhüdü verdi.

Bu olaylardan çıkan ders, soğuk cüzdanın güvenliğinin yalnızca cihaza değil, kullanıcının kişisel verilerine, satın alma kanalına ve üreticinin sonradan eklediği özelliklere de bağlı olduğudur.

Soğuk cüzdan ile sıcak cüzdan arasındaki fark

Pek çok kullanıcı iki yöntemi birlikte kullanır: harcanacak küçük bir tutar sıcak cüzdanda, birikimin büyük kısmı soğuk cüzdanda durur. Borsadaki bakiye ise anahtarı kullanıcıda olmayan emanetçi bir hesaptır; ne sıcak ne soğuk kişisel cüzdan yerine geçer.

Soğuk cüzdan kullanırken dikkat edilecekler

• Cihazı resmî kanaldan edinin. İkinci el veya kutusu açılmış cihazlar, önceden yüklenmiş kurtarma kelimeleriyle gelebilir. Kurtarma kelimeleri her zaman kurulum sırasında cihazın kendisi tarafından üretilmelidir.
• Kurtarma kelimelerini çevrimdışı saklayın. Fotoğraf, bulut notu, e-posta veya parola yöneticisi soğuk saklamanın amacını ortadan kaldırır. İki ayrı fiziksel konumda saklanan çelik veya kâğıt yedek yaygın bir yöntemdir.
• Kurtarmayı test edin. Büyük tutar göndermeden önce cihazı sıfırlayıp kurtarma kelimeleriyle geri yüklemek, yedeğin doğru olduğunu gösterir.
• Küçük bir deneme transferi yapın. Adresin ve ağın doğru olduğunu küçük bir tutarla doğrulayın.
• Ek parola (passphrase) seçeneğini değerlendirin. Bazı cüzdanlar kurtarma kelimelerine ek bir parola ekleyerek, kelimeler bulunsa bile fonlara erişimi zorlaştırır. Parola unutulursa fonlara da erişilemez.
• İmzaladığınız şeyi okuyun. Soğuk cüzdan, kontrata verdiğiniz izni korumaz; kör imzalama ile verilen sınırsız harcama izni cihaz ne kadar güvenli olursa olsun fonları riske atar.
• Miras planı yapın. Kurtarma bilgilerine güvendiğiniz birinin sizin yokluğunuzda nasıl ulaşabileceğini önceden düşünün.

Güvenlik yelpazesi: Anahtarların saklandığı yere göre cüzdanlar kabaca en güvenliden en pratiğe şöyle sıralanır: hava boşluklu cihazlar, donanım cüzdanları, yazılım (sıcak) cüzdanlar ve borsa hesapları. Borsa hesabında anahtarlar kullanıcıda değil borsadadır; "anahtarlar sizde değilse coinler de sizin değildir" (not your keys, not your coins) sözü bu farkı anlatır. Günlük işlemler için küçük bir tutarı sıcak cüzdanda, uzun vadeli birikimi soğuk cüzdanda tutmak yaygın bir ayrımdır.

Hangi varlıklar soğuk cüzdanda saklanır?

Soğuk cüzdanlar, Bitcoin, Ethereum ve Ethereum uyumlu tokenlar, Solana, XRP gibi birçok ağın varlıklarını destekler. Desteklenen ağlar cihaza ve yazılıma göre değişir. NFT'ler ve DeFi pozisyonları da soğuk cüzdanın kontrol ettiği adreste tutulabilir; bu durumda her kontrat etkileşimi cihaz üzerinden onaylanır.