Whitehat'ler Coldcard Sömürüsündeki 52,37 Bitcoin'i (BTC) İyileştirme Güvenine Taşıdı

Zincir üstü veriler, whitehat (etik hacker) operatörlerin Temmuz'daki Coldcard donanım cüzdanı açığıyla boşaltılan adreslerden 52,37 Bitcoin (BTC) çıkardığını ve bu paraları, doğrulanmış sahiplerine iade edilmek üzere kurulan bir recovery trust'a bağlı yeni bir adreste topladığını gösteriyor. Sweep'in (toplu taşıma) izini açıklığa kavuşturan isim, Galaxy Digital araştırma başkanı Alex Thorn oldu: fonların takip edilen Wave 2 kümesi ile AA, AU ve AX olarak etiketlenmiş ayak izlerinden geldiğini belirtti. Toplama işlemi Bitcoin'in 967.948 numaralı bloğunda onaylandı ve varış noktasındaki işlem, "claim:cryptorecoverytrust dot com" mesajını taşıyan bir OP_RETURN kaydı içeriyordu. Thorn'un hesaplamasına göre bu 52,37 BTC, ekibinin takip ettiği açık fonlarının yüzde 2,8'ine karşılık geliyor; Wave 2'nin yaklaşık yüzde 40'ı ise artık hırsızlık değil whitehat faaliyeti olarak tanımlanmış durumda. Aynı işlemde önceden takip geçmişi bulunmayan 3,0134 BTC daha trust adresine ulaştı; Thorn bunun muhtemelen kurtarılan paralar olduğunu belirtti ancak doğrulamadı. Varış noktası, yasal kimliği Recovered Digital Asset Statutory Trust of Wyoming olan ve vekaletini Agentic Trace LLC'nin üstlendiği Crypto Recovery Trust. Kurumun beyan edilen görevi, blok zincir analizi, mülkiyet kanıtı kontrolleri ve yaptırım taramasını kapsayan resmi bir talep süreciyle kurtarılan Bitcoin (BTC) varlıklarını hak sahipleriyle buluşturmak. Ayrı bir iyileştirme aracı olan Digital Asset Recovery Trust (DART) da bu haftaki toplamadan önce, 17 Ağustos itibarıyla kendisinin ve bağımsız whitehat'lerin savunmasız adreslerden 50 BTC'nin hemen üzerinde para güvence altına aldığını açıklamıştı; paralar araştırmacı cüzdanlarında değil trust emanetinde tutuluyor. Rakip taleplere, yaptırım kısıtlarına veya cezai soruşturmalara konu fonlar ayrı hukuki prosedürlerden geçebilir; bu boyuttaki hareketler normalde kurtarma değil balina transferi olarak etiketlenirdi. Thorn'un yüzde 2,8 rakamının Galaxy'nin takip ettiği toplama işaret ettiğini ve bunun resmi bir Coinkite kayıp sayısı olarak okunmaması gerektiğini de ekleyelim.

Boşaltmanın arkasındaki tohum üretim açığı

Coldcard olayı 30 Temmuz'da, saldırganların etkilenen üretici yazılımının ürettiği zayıflatılmış cüzdan tohumlarını sömürmeye başlamasıyla başladı. Coinkite'nin olay kaydı, entegrasyon hatasının tohum üretim yolunu donanım rastgele sayı üreteci yerine MicroPython'ın Yasmarang yazılım tabanlı sözde rastgele üretecinne yönlendirdiğini açıklıyor. Saldırganlar cihazları uzaktan kontrol etmek zorunda kalmadı: azalan rastgelelik, etkilenen tohum ifadelerini aramayı kolaylaştırdığında, savunmasız özel anahtarları çevrimdışı olarak yeniden ürettiler. Bağımsız teknik araştırmalar zafiyeti 2021'e uzanan üretici yazılımı değişikliklerine bağladı ve etkilenen koşullarda eski Mk3 cihazlarının yaklaşık 40 bit efektif entropi üretebileceğini, Mk4, Mk5 ve Q modellerinin ise yaklaşık 72 bitin gerisinde kaldığını öngörüyor; bu, hedeflenen güvenlik düzeyinin çok altında. İlk kayıplar sonradan ortaya çıkan toplara kıyasla mütevazıydı: ilk dalga, yaklaşık 25 dakikada 500 civarındaki cüzdandan tahmini 594 BTC'den arındırdı. Analistler dört saldırı dalgası boyunca kapsamı genişlettikçe, takip 5.200'den fazla adresten taşınan yaklaşık 1.816 BTC'ye ve 100 milyon doların üzerindeki tahmini kayıplara ulaştı. Coinkite 31 Temmuz'da acil düzeltmeleri yayınladı — Mk4/Mk5 için 5.6.0, Q cihazları için 1.5.0Q, birlikte eski Mk2/Mk3 donanımları kapsayan yamalar — ve güncel önerilen sürümler 3 Eylül'de çıkan 5.6.2 ile 1.5.2Q. Şirket, yamaların yalnızca gelecekteki tohum üretimini düzelttiğini vurguluyor: savunmasız üretici yazılımıyla oluşturulan bir cüzdan, tamamen güncellenmiş bir cihazda bile açık kalıyor, çünkü zafiyet tohumun kendisinde yatıyor. Etkilenen tohum sahiplerinden, belirtilen bağımsız zar istisnasına uymadıkları sürece düzeltilmiş bir yedek üretip paralarını taşıması isteniyor; bu istisnada en az 50 adet adil, özel kayıtlı altı yüzlü zar atışı en az 128 bit entropi ekliyor. Emin olmayan herkesin taşınması tavsiye ediliyor. Her kurtarma toplaması artık Bitcoin'in proof-of-work defterinde izlenebilir durumda; bu defter aynı zamanda temizlik operasyonunun ortak kanıt katmanı işlevi görüyor.

Zincir üstü iz, talep sürecini destekliyor

Kurtarma çabası hakkında daha yeni detaylar da gün yüzüne çıktı. Galaxy Digital, toplam açık kaybını şimdi 1.789,28 BTC'ye, güncel fiyatlarla yaklaşık 154,1 milyon dolara yerleştiriyor; swept 52,37 Bitcoin (BTC) ise 4,5 milyon doların üzerinde değerlendiriliyor. Evrensel piyasa protokolü Ump Labs'tan Nick Bax operasyondaki rolünü aleniyetle doğruladı ve X'te, Temmuz sonunda entropi açığı nedeniyle "çalınmak üzere" olan yaklaşık 50 BTC'yi kurtardığını ve fonların hak sahiplerine iadeyi güvence altına almak için Wyoming merkezli bir trust'ta tutulduğunu yazdı. Coinkite, hatanın "sessizce gözden kaçtığını" ve potansiyel etkisinin her sürümle büyüdüğünü kabul etti. Saldırıdan bu yana temkinli yatırımcılar paraları borsalar dahil başka saklama çözümlerine kaydırıyor. Piyasayı gerçek zamanlı takip eden okuyucular spot ve vadeli fiyatları MEXC üzerinden izleyebilir.

Ayrı bir toplama da görünür hale geldi: Galaxy Research'ün takibi, 21 Eylül'de "claims: cryptorecoverytrust.com" notunu taşıyan tek bir OP_RETURN işlemiyle yaklaşık 3,31 milyon dolar değerinde 40,71 BTC'nin hareket ettiğini gösteriyor. Bu transfer 20 girdi ve 480 çıktı üzerinden 11 adrese yayıldı; paralar saldırganlara atfedilen "Footprint AA" etiketiyle, hack'in ikinci dalgasından bir hop ile birlikte işaretlendi. Galaxy'nin verileri daha geniş tabloyu da çiziyor: açık, tepe noktasında yaklaşık 130 milyon dolara ulaştı ve çalınan Bitcoin'in büyük kısmı toplama operasyonlarından önce haftalarca saldırgan adreslerinde hareketsiz durdu, bu da paraların hiç hareket edip etmeyeceğine dair spekülasyonlara yol açmıştı. Trust etiketli hareketler, en azından bazı tarafların fonları hareketsiz bırakmak yerine mağdurlara geri taşımak için aktif çalıştığını gösteriyor.

(18:31 UTC itibarıyla) COINOTAG okuması: bu bölüm öne çıkan yanı doğrulanabilirliği. Araştırmacı 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47 işlem kimliğini yayınladı; herkes 967.948 numaralı bloktaki toplamayı bağımsız olarak doğrulayabilir, üstelik Coinkite'nin kendi güvenlik durum sayfası kök nedeni savunmaya geçmeden açıkça belirtiyor. Bu ikili — birincil zincir üstü kanıt ile yaptırım taramalı resmi trust yapısı — donanım cüzdanı olay müdahalesi için bir şablon oluşturuyor. Kendi anahtarlarını hodl etmeyi tercih eden yatırımcılar için tohum üretimi artık kanıtlanmış bir saldırı yüzeyi; borsa çözümleriyle saklama dengesine en iyi kripto borsaları rehberimizde göz atılmasında fayda var. Güven payout taleplerini Bitcoin kapsamımızda izlemeye devam edeceğiz.