Trezor, Yetkili Bayi Ağını 1 Ocak 2027'den İtibaren Daraltıyor

Trezor Bayi Ağını Küçültüyor

Trezor, donanım cüzdanlarını satmaya yetkili aracı sayısını azaltıyor. Şirket hamleyi Salı günü X üzerinden duyurdu ve adımı “yaşanan son tedarik zinciri olayları” ardından alınan önleyici bir tertibat olarak tanımladı. Karar, rakip üretici Ledger'in kurutulan cüzdanlara ilişkin soruşturmasının başlamasından dört gün sonra geldi. Duyuruda kaç ortağın eleneceği, kimlerin listeden çıkacağı ya da bir takvim belirtilmedi. Daha dar bir satış ağına geçmenin gerekçesi ise netti: şirket, bu sayede “çalıştığımız tarafları daha etkili denetleyebileceğini” söylüyor. Trezor kendi donanımı konusunda emin konuştu; hiçbir cüzdanının ele geçirildiğine dair “tek bir kanıt” görmediğini, kesintiyi de “aşırı ihtiyatla alınmış önleyici bir adım” olarak nitelendirdi. Ayrılan iş ortaklarına “Trezor'u insanların ellerine yıllarca taşıdıkları için” teşekkür etti. İlan, okuyucuların ilk soracağı soruları açık bıraktı: kaç aracı devreden çıkacak, hangi ülkelerde ve hangi takvimle. Cevaplar ayrı bir dağıtıcı mektubunda ve şirketin bir gün önce verdiği yanıtta ortaya çıktı.

@Trezor · X gönderisi

X üzerinden duyurdu.

X'te görüntüle

CryptoBilis'teki Donanım İmplantı

Olayın arka planında alışılmadık derecede doğrudan bir saldırı yolu var. Ledger, Güneydoğu Asya'da faaliyet gösteren bir bayi olan CryptoBilis üzerinden satılan cihazlarda gizli bir çip bulunduğunu doğruladı. Ledger ekibinin güvenlik güncellemesine göre implant, kurulum sırasında ekrandan 24 kelimelik kurtarma ifadesini, yani cüzdanın ana özel anahtarını okuyor ve bu bilgiyi hücresel bağlantı üzerinden dışarıya iletiyor. Bitquery'nin zincir üstü analistleri şüpheli kayıpları 93 milyon doların üzerinde tutuyor; diğer takip tahminleri 103 milyon doların üstüne çıkıyor. Ledger bir toplam rakamı doğrulamış değil. Şirketin doğruladığı her olay CryptoBilis'e geri izleniyor ve 9 Ekim Cuma günü Ledger, bayiden satışları ile sevkiyatları duraklatmasını istedi. Şirket daha sonra, etkilenen bir kullanıcının cihazında yetkisiz bir donanım implantı bulunduğunu açıkladı. Kullanıcılar kurcalanmış cihazların Avrupa'ya da ulaştığını iddia ediyor; Ledger bu iddiayı henüz teyit etmedi. Kendi soruşturmasının ötesine geçen Ledger, tüm cüzdan üreticilerini kapsayan ortak kurcalama karşıtı standartlar için çağrı yaptı.

1 Ocak 2027 Kesim Tarihi

Kesintinin mekanizması Salı günkü duyurudan daha somut. Trezor, Pazartesi günü X'te verdiği bir yanıtta CryptoBilis'in bayi listesinden zaten çıkarıldığını ve bu aracı üzerinden satışların durduğunu doğruladı; kanala bağlı “kurcalanmış Trezor bildirimi almadıklarını” da ekledi. Etkilenen dağıtıcılara gönderilen bir mektupta Ticari Operasyonlar Direktörü Danny Sanders, yetkilerinin 1 Ocak 2027'de sona ereceğini yazdı. Bu dağıtıcılara yeni stok sevkiyatı şimdiden durdu; ancak ellerindeki stoğu Black Friday ve tatil dönemi boyunca satmaya devam edebilecekler. Trezor kaç ortağın etkilendiğini ve hangi bölgeleri kapsadığını açıklamadı. Sanders, her ülkenin gelir, dağıtım ve Trezor'un o pazardaki erişimi üzerinden ayrı ayrı değerlendirildiğini söyledi. Kalan ortakları daha güncel bir hukuki çerçeve ve cihazların tedarik, depolama ve kullanımına dair daha sıkı denetimler bekliyor. Şirketin temkinliliğinin içeriden de bir emsali var: Ağustos'ta kargo tedarikçisi ShipMonk'ta yetkisiz erişim açıklandı, Eylül'deki bir güncelleme etkilenen müşteri sayısını 80.689'a yükseltti ve Eylül'de e-posta sağlayıcısı Brevo'daki ayrı bir ihlal yaklaşık 347.000 bülten adresini açığa çıkardı; saldırganlar bu adresleri dolandırıcılık amaçlı kullandı. Trezor her iki olayda da cüzdanlarının ve sistemlerinin zarar görmediğini belirtti.

@Trezor · X gönderisi

X'te verdiği bir yanıtta.

X'te görüntüle

Cihazdan Satış Kanalına Kayan Güvenlik Perdesi

Burada belirleyici belgeler Trezor'un kendi paylaşımları ve açıklama blogu; birlikte okunduğunda güvenlik perdesinin cihazdan satış kanalına kaydığını anlatıyorlar. Kurulum sırasında kurtarma ifadesini yakalayan bir casus çip, soğuk depolamanın (cold storage) temel vaadini geçersiz kılıyor; bu da donanım cüzdanlarını bekleyen güvenlik tehditlerinin artık yazılım sürümünden (firmware) lojistiğe ve bayilere kadar uzandığı anlamına geliyor. Trezor'un kesintisi bilinçli olarak rakamsız bırakıldı ve bu, ispat yükünü şirketin omzuna bırakıyor: elenmeyen ortaklar için yayınlanmış bir denetim kriteri seti, sürecin bir basın metninden ibaret olup olmadığının sınavı olur. Cihazlardan çok müşteri verisine dokunan ShipMonk ve Brevo ihlalleri, tedarikçi riskinin satış noktasının çok ötesine uzandığını gösteriyor. Ledger'in ortak kurcalama karşıtı standartlar çağrısı ise açık soru olarak duruyor; henüz imza atan bir cüzdan üreticisi yok.