Trezor, Yetkili Bayi Ağını 1 Ocak 2027'den İtibaren Daraltıyor

Güncelleme 22:19 UTC: Trezor kesiminin nasıl işleyeceğine dair ayrıntıları genişletti.

Trezor, Bayi Ağını Daraltıyor

Trezor, donanım cüzdanlarını satmaya yetkili bayilerin sayısını küçültüyor. Şirket salı günü X üzerinden yaptığı açıklamada bu adımı, “yakın dönemde yaşanan tedarik zinciri olayları” sonrasında alınmış önleyici bir hamle olarak sundu. Karar, rakip üretici Ledger'in boşaltılan cüzdanlara yönelik soruşturma başlatmasının dört günü geldi. Açıklamada kaç ortağın sistemden çıkarıldığı belirtilmedi, isim verilmedi ve paylaşımda bir takvim de yer almadı. Trezor, daha küçük bir satış ağının “çalıştığımız tarafları daha etkin biçimde kontrol etmemize” imkan tanıdığını savundu. Şirket kendi donanımı konusunda net konuştu: hiçbir Trezor cihazının ele geçirildiğine dair “tek bir kanıt dahi” görmediğini söyledi ve kararı “aşırı ihtiyatlılıkla alınmış önleyici bir adım” diye niteledi. Ayrılan ortaklara, “Trezor'u insanların ellerine yıllarca taşıdıkları” için teşekkür etti. Okuyucuların ilk soracağı sorular ise açıklamada boş bırakıldı: kaç aracı erişimini kaybediyor, hangi ülkelerde ve hangi takvime göre? Bu detaylar etkilenen distribütörlere gönderilen ayrı bir mektupta ve şirketin bir gün önce yayımladığı yanıtta ortaya çıktı.

@Trezor · X gönderisi

X üzerinde duyuruldu.

X'te görüntüle

CryptoBilis Zarfı

Arka planda, alışılmadık derecede doğrudan bir saldırı yolu sunan bir donanım zarfı var. Ledger, Güneydoğu Asya'da faaliyet gösteren bir bayi olan CryptoBilis üzerinden satılan cihazlarda gizli bir çip bulunduğunu doğruladı. Ledger ekibinin güvenlik güncellemesine göre zarf, kurulum sırasında cihaz ekranında görünen ve cüzdanın ana özel anahtarı işlevini gören 24 kelimelik kurtarma ifadesini okuyor, ardından bu bilgiyi hücresel bağlantı üzerinden dışarı aktarıyor. Bitquery'nin zincir üstü analistleri şüpheli kayıpları 93 milyon doların üzerinde hesaplıyor; diğer izleme tahminleri 103 milyon doları aşıyor. Ledger bir toplam rakamı doğrulamış değil. Şirketin doğruladığı her vaka CryptoBilis'e geri izlendi ve 9 Ekim Cuma günü Ledger, bayiden cihaz satışını ve sevkiyatı durdurmasını istedi. Daha sonra etkilenen bir kullanıcının cihazında yetkisiz bir donanım zarfı bulunduğunu açıkladı. Kullanıcılar kurcalanmış ünitelerin Avrupa'ya da ulaştığını öne sürdü; Ledger bu iddiayı henüz teyit etmedi. Kendi soruşturmasının ötesinde Ledger, tüm cüzdan üreticilerini kapsayan ortak kurcalama önleme standartları için çağrı yaptı.

Ledger'in kendi güncellemeleri rakamlara ek ihtiyat getirdi. Şirket “etkilenen kullanıcıların toplam sayısını ya da kaybedilen toplam değeri doğrulamadığını” belirtti; internette dolaşan rakamların üçüncü taraflardan geldiğini ve tam olarak doğrulanmadığını kaydetti. Bununla birlikte zincir inceleyicisi Specter kaybı 86 milyon dolar olarak hesapladı. Ledger, CryptoBilis'ten cihaz satın alan herkesin cihazı kurmamasını ve bunun yerine destek ekibiyle iletişime geçmesini de tavsiye etti ve bayinin cihaz satışını durdurduğunu doğruladı. Soruşturma başladıktan sonra sosyal medyada kurcalanmış ünite iddiaları arttı; ancak Ledger salı günü yaptığı açıklamada, şimdiye kadar kayıp fonlara yalnızca CryptoBilis üzerinden satılan cihazların bağlandığını söyledi.

Kararın çevresini netleştiren iki ayrı açıklama var. Mektupta Sanders, sistemden çıkarılan ortaklardan doğrudan özür diledi ve “Üzgünüm. Bu karar emeğinizle ya da bizi temsil biçiminizle ilgili hiçbir şey söylemiyor” dedi; tasfiyeyi herhangi bir bayinin suçlanması değil, bir denetim önlemi olarak çerçevelendi. Ayrıca Ledger Donjon, CryptoBilis kaynaklı cüzdanlarda bulunan yetkisiz çipin ilk kurulumda gösterilen 24 kelimelik kurtarma ifadesini yakaladığını açıkladı: mikrodenetleyici kelimeleri çözüyor ve sağlanmış bir eSIM üzerinden LTE ile iletiyor; Secure Element, işletim sistemi ve işlem imzalama ise dokunulmamış kalıyor. Tether, olaya bağlı 10 milyon dolarlık USDT'yi dondurdu. OneKey de CryptoBilis ile ilişkisini kesti ve 1 Mart Pazar ile 12 Ekim Pazartesi 2026 arasında oradan ürün satın alan herkese ücretsiz değişim sundu.

Trezor kesiminin nasıl işleyeceğine dair ayrıntıları genişletti. Kararın, etkilenen ortakların işletmelerine ya da sattıkları cihazların güvenliğine yönelik bir yargı olarak okunmaması gerektiğini söyleyen şirket, denetimi dışındaki kanalların kullanıcı fonlarını riske attığını vurguladı; ağın, kalan her ortağın denetlenebileceği bir boyuta küçülmesinin nedeni bu. İncelemeden geçen bayileri güncellenmiş hukuki şartlar ile tedarik, depolama ve taşıma üzerinde daha sıkı kontroller bekliyor; Trezor ayrıca kendi dahil tedarik zincirindeki herkesten ek önlemler talep ediyor. Şirket, koşullar değişirse kararı yeniden değerlendireceğini söyledi.

1 Ocak 2027 Kesim Tarihi

Kesintinin mekaniği salı günü yapılan açıklamadan daha somut. Trezor, pazartesi günü X üzerinden verdiği yanıtta CryptoBilis'in bayi listesinden çıkarıldığını ve bu aracı üzerinden satışın durduğunu doğruladı; o kanalla bağlantılı “kurcalanmış Trezor bildirimi” olmadığını ekledi. Etkilenen distribütörlere yazılan mektupta Baş Ticari Sorumlu Danny Sanders, yetkilerinin 1 Ocak 2027 Cuma günü sona ereceğini bildirdi. Bu taraflara yeni stok sevkiyatı zaten durdu; ancak ellerindeki mevcut stoğu Black Friday ve tatil dönemi boyunca satmaya devam edebilecekler. Trezor kaç ortağın etkilendiğini ve hangi bölgeleri kapsadığını açıklamadı; Sanders, her ülkenin gelir, dağıtım ve Trezor'un o ülkedeki erişimi esas alınarak değerlendirildiğini söyledi. Sistemde kalan ortaqları güncellenmiş bir hukuki çerçeve ve cihazların tedarik, depolama ve taşıma süreçlerine ilişkin daha sıkı denetimler bekliyor. Şirketin ihtiyatlılığının içeride de emsali var: Ağustos'ta sevkiyat sağlayıcısı ShipMonk'te yetkisiz erişimi açıkladı, Eylül güncellemesinde etkilenen müşteri sayısını 80.689'a yükseltti; ayrıca Eylül'de e-posta sağlayıcısı Brevo'daki ihlal yaklaşık 347.000 bülten adresini ortaya çıkardı ve saldırganlar bu adresleri kimlik avında kullandı. Her iki durumda da Trezor, cüzdanlarının ve sistemlerinin etkilenmediğini belirtti.

@Trezor · X gönderisi

Pazartesi günü X üzerinde verilen yanıt.

X'te görüntüle

Cihazdan Satış Kanalına

Bu dosyada asıl belirleyici belgeler Trezor'un kendi paylaşımları ve ifşa blogu; birlikte okunduklarında güvenlik çevresinin cihazdan satış kanalına kaydığını anlatıyorlar. Kurulum sırasında kurtarma ifadesini yakalayan bir zarf, soğuk depolamanın temel vaadini geçersiz kılıyor; yani donanım cüzdanlarının karşılaştığı güvenlik tehditleri artık yazılımın ötesine geçip lojistiğe ve bayilere uzanıyor. Trezor'un kesintisi bilinçli olarak rakamsız bırakıldı ve bu durum ispat yükünü şirkete yüklüyor: sistemde tuttuğu ortaklar için kullandığı denetim ölçütlerini yayımlaması, hamlenin basın cümlesinin ötesine geçip geçmediğinin sınavı olacak. Cihaz yerine müşteri verisine dokunan ShipMonk ve Brevo ihlalleri, tedarikçi riskinin satış noktasının çok ötesine uzandığını gösteriyor. Ledger'in ortak kurcalama önleme standartları çağrısı ise açık soru olarak masada duruyor; henüz imza atılmış bir cüzdan üreticisi yok.