Whitehat'ler Coldcard Sömürüsündeki 52,37 Bitcoin'i (BTC) İyileştirme Güvenine Taşıdı

Zincir üstü takip verileri, whitehat (etik hacker) operatörlerinin Temmuz ayındaki Coldcard donanım cüzdanı sömürüsüyle boşaltılan adreslerden 52,37 Bitcoin (BTC) çıkardığını ve bu paraları, doğrulanmış sahiplerine iade etmek için kurulan bir iyileştirme trust'ına bağlı yepyeni bir adreste topladığını gösteriyor. Galaxy Digital araştırma başkanı Alex Thorn taramayı ayrıntılarıyla anlattı: fonlar, takip edilen Wave 2 kümesinden birlikte, AA, AU ve AX olarak etiketlenmiş izlerden geldi. Konsolidasyon Bitcoin'in 967.948 numaralı bloğunda doğrulandı ve varış işlemi "claim:cryptorecoverytrust dot com" mesajını taşıyan bir OP_RETURN kaydı içeriyordu. Thorn'a göre 52,37 BTC, ekibinin takip ettiği sömürü fonlarının yüzde 2,8'ine denk geliyor; Wave 2'nin de yaklaşık yüzde 40'ı artık hırsızlık değil whitehat aktivitesi olarak tanımlanmış durumda. Aynı işlemle birlikte daha önce takip geçmişi bulunmayan ilave 3,0134 BTC de trust adresine ulaştı — Thorn bunu büyük olasılıkla kurtarılmış daha fazla coin olarak işaretledi ama teyit etmedi. Varış noktası, tüzel kişiliği Wyoming eyaleti nezdindeki Recovered Digital Asset Statutory Trust olan Crypto Recovery Trust; vasî (trustee) olarak Agentic LLC, yani Agentic Trace LLC kayıtlı. Kurumun beyan edilmiş görevi, blokzincir analizi, mülkiyet kanıtı kontrolleri ve yaptırım taramasını kapsayan resmi bir talep süreciyle kurtarılan Bitcoin varlıklarını gerçek sahipleriyle yeniden buluşturmak. Ayrıca ayrı bir kurtarma aracı olan Digital Asset Recovery Trust (DART), bu haftaki konsolidasyondan önce, 17 Ağustos itibarıyla bağımsız whitehat'lerle birlikte açık adreslerden 50 BTC'nin biraz üzerinde bir tutarı güvence altına aldığını ve bu paraları araştırmacı kontrollü cüzdanlar yerine trust vesayetine aldığını açıklamıştı. Rekabet eden taleplere, yaptırım kısıtlarına veya ceza soruşturmalarına bağlı fonlar ise ayrı hukuki süreçlerden geçebilir; bu boyuttaki hareketler normalde kurtarma değil balina transferi (whale transfer) olarak etiketlenirdi. Thorn'un yüzde 2,8 rakamı Galaxy'nin takip ettiği toplama atıfta bulunuyor ve Coinkite'ın resmi kayıp rakamı olarak okunmamalı.

Boşaltmanın arkasındaki tohum üretim kusuru

Olay 30 Temmuz'da, saldırganların etkilenen firmware'in ürettiği zayıflatılmış cüzdan tohumlarını (seed) sömürmeye başlamasıyla başladı. Coinkite'ın olay kaydına göre firmware entegrasyon hatası, tohum üretim sürecinin amaçlanan donanım rastgele sayı üreteci yerine MicroPython'ın Yasmarang yazılımsal sözde rastgele üretecine (pseudorandom generator) yönelmesine yol açtı. Saldırganların cihazları uzaktan kontrol etmesine gerek yoktu: azalan rastgelelik, etkilenen tohum ifadelerini aramayı kolaylaştırınca, kırılgan özel anahtarları çevrimdışı olarak yeniden ürettiler. Bağımsız teknik araştırmalar zafiyetin 2021'e uzanan firmware değişikliklerinden kaynaklandığını tespit etti ve etkilenen koşullarda eski Mk3 cihazların kabaca 40 bit etkin entropi üretebileceğini, Mk4, Mk5 ve Q modellerinin ise yaklaşık 72 bit'te kaldığını hesapladı — tasarlanan güvenlik düzeyinin çok altında. İlk kayıplar, sonradan ortaya çıkan toplamlara göre sınırlıydı: ilk dalga yaklaşık 25 dakikada 500 cüzdan civarından 594 BTC aldı; analistler kapsamı dört saldırı dalgasına genişlettikçe takip, 5.200'ün üzerindeki adresten hareket eden yaklaşık 1.816 BTC'ye ulaştı ve tahmini kayıplar 100 milyon doları aştı. Coinkite, 31 Temmuz'da acil yamaları yayımladı — Mk4/Mk5 için 5.6.0, Q cihazları için 1.5.0Q, birlikte eski Mk2/Mk3 donanımlarını da kapsayan yamalarla. Şirketin güncel önerilen sürümleri ise 3 Eylül'de çıkan 5.6.2 ve 1.5.2Q. Puan önemli: yamalar yalnızca gelecekteki tohum üretimini düzeltiyor; kırılgan firmware altında oluşturulmuş bir cüzdan, tamamen güncel bir cihazda bile açık kalıyor, çünkü zafiyet tohumun kendisinde yatıyor. Etkilenen tohum sahiplerinden, belirtilen bağımsız zar istisnasını (en az 50 atışlık adil, özel kayıtlı altı yüz zar atışı en az 128 bit entropi ekler) karşılamıyorlarsa düzeltilmiş bir yedek tohum üretmeleri ve fonlarını taşıması isteniyor; emin olamayanlara tavsiye basit: taşıyın. Her kurtarma konsolidasyonu artık Bitcoin'in iş kanıtı (proof-of-work) defterinde izlenebilir durumda ve bu defter, temizlik işleminin ortak kanıt katmanı olarak iş görüyor.

Zincir üstü iz, talep sürecini doğruluyor

COINOTAG okuması: bu olayı ayırt eden şey doğrulanabilirliği. Araştırmacı 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47 işlem kimliğini yayımladı; böylece herkes taramayı 967.948 bloğunda bağımsız olarak teyit edebilir, öte yandan Coinkite'ın kendi güvenlik durum sayfası sorunun kökenini savunmaya geçmeden açıkça belirtiyor. Birincil zincir üstü kanıt ile yaptırım taramalı resmi bir trust yapısının bu bileşimi, donanım cüzdanı olay müdahalesi için bir şablon oluşturuyor. Kendi anahtarlarını tutup hodl yapmayı tercih eden yatırımcılar için tohum üretiminin artık saldırı yüzeyinin parçası olduğu kanıtlandı; bu yüzden saklama (custody) tercihlerini borsa çözümlerine karşı yeniden tartmakta fayda var — en iyi kripto borsaları rehberimiz iyi bir başlangıç noktası. Trust talepleri geldikçe Bitcoin haberlerimizde takip etmeye devam edeceğiz.