Coldcard Güvenlik Açığı 2026: 89 Milyon Dolarlık Bitcoin Çalındı

Coldcard donanım cüzdanı güvenlik açığı, tek bir dramatik soygunla başlamadı. Dalgalar hâlinde geldi — ve çoğu kullanıcı ne olduğunu anladığında, hasar çoktan dokuz haneli rakamlara ulaşmıştı. Ağustos başı itibarıyla 4.585 adrese yayılmış yaklaşık 1.367 BTC’nin çalındığı doğrulandı; kayıplar 88-89 milyon doları aşarken dördüncü bir saldırı dalgasının hâlâ sürdüğü tahmin ediliyor. Milyonlarca Bitcoin kullanıcısının tam da «kırılamaz» olduğu için güvendiği bir cihaz için bu, yalnızca finansal bir felaket değil — aynı zamanda öz-saklama hareketinin kimlik krizidir.

Beş Yıllık Bir Hata Nasıl 89 Milyon Dolarlık Coldcard Güvenlik Açığına Dönüştü?

30 Temmuz’da donanım üreticisi Coinkite acil bir uyarı yayımladı: etkilenen Coldcard yazılım sürümleriyle oluşturulan cüzdanlar boşaltılmaya karşı savunmasız durumdaydı. Sorunun kaynağı neredeyse alay konusu olacak kadar basitti. Cointelegraph’ın Kraken güvenlik şefi üzerine yaptığı habere göre, bir yazılım hatası cihazın rastgele sayı üreticisinin (RNG) amaçlananın çok altında entropi değeriyle seed phrase üretmesine yol açıyordu. RNG bileşeni teknik olarak vardı — denetçiler bunu doğruladı — ama kimse onun gerçekten çağrılıp çağrılmadığını doğrulamamıştı. Bir bileşenin var olması ile gerçekten çalışması arasındaki bu fark, yıllar sonra istismar edilen boşlukların tam da böyle oluştuğunu gösteriyor.

Beş yıl. Açık, beş yıl boyunca yazılımın içinde uyudu. Ya doğru araçlara sahip kimse yeterince derine bakmadı, ya da birisi bu bilgiyi saklıyordu. Her iki ihtimal de son derece rahatsız edici.

Açık kamuoyuna duyurulunca saldırganlar zaman kaybetmedi. Decrypt’in doğruladığına göre Galaxy Research, 4.585 adrese yayılan üçüncü saldırı dalgasında yaklaşık 1.367 BTC’nin çalındığını takip etti. Ardından Galaxy Research başkanı Alex Thorn, ek 448 BTC’yi süpüren dördüncü bir dalganın şüphesini işaretledi. Thorn, bazı onaylanmamış işlemlerin etkilenen kullanıcılara fonlarını saldırgandan önce taşımak için dar bir pencere sunabileceğini de belirtti — Cointelegraph’ın Thorn analizini aktardığı habere göre bu yarışı bireysel kullanıcıların kazanma ihtimali oldukça düşük.

39.600 BTC Küçük İşlemlerle Hareket Etti — Kimsenin Görmezden Gelemeyeceği Panik Sinyali

Bu olayın zincir üzerindeki izi gerçekten çarpıcı. CryptoQuant araştırmacılarının tespitine göre saldırı sürerken Bitcoin kullanıcıları 39.600 BTC’yi 1 BTC altındaki küçük işlemlerle taşıdı — bu, FTX çöküşünden bu yana görülen en büyük bu tür hareket. Karşılaştırma önemli. FTX, merkezi borsa güvenine yönelik bir güvensizlik yarattı. Bu ise tam tersi: soğuk depolama başarısızlığının öz-saklama güvenine verdiği hasar. Psikolojik etki tamamen farklı ve «anahtarların sende değilse coinler de senin değil» dogmasına, on yıldır Bitcoin kültürünün temel taşı olan bu anlayışa, potansiyel olarak çok daha derin zarar veriyor.

CryptoSlate’in dikkat çektiği üzere bu kriz yalnızca cüzdanları boşaltmakla kalmadı — zincir üstü sinyallerin tamamını bulanıklaştırdı. Ticaret kararına değil paniğe dayalı 39.600 BTC’lik parçalı küçük işlemler, birikim ya da dağıtım trendini okumaya çalışan her analistin bozulmuş verilerle çalıştığı anlamına geliyor. UTXO yaş bantlarına ve borsa akış metriklerine dayalı duygu modelleri günlerce yanlış sinyal verdi. Bu, daha az göz önünde olan ama gerçek bir yan hasar.

Dikkat çeken bir diğer nokta: bu panik davranışsal açıdan FTX sonrasına hiç benzemiyor. CoinDesk’in vurguladığı gibi FTX çöküşü kullanıcıları borsalardan uzaklaştırıp öz-saklamaya yöneltmişti — bu olay ise yatırımcıları yeniden borsalara itiyor. Soğuk cüzdan başarısızlığına verilen refleks tepkinin bir saklama hizmeti sağlayıcısına güvenmek olduğu görülüyor. Bunun rasyonel bir tercih mi yoksa saf korku mu olduğu, üzerinde durulmaya değer bir soru.

Kimsenin Konuşmak İstemediği Denetim Sorunu

Kraken’ın güvenlik şefi yapısal sorunu açıkça ortaya koydu: denetçiler rastgele sayı üreticisinin var olduğunu kontrol etti, gerçekten çağrılıp çağrılmadığını değil. Bu cümle donanım cüzdanı sektöründeki herkesin aklını meşgul etmeli. Kripto güvenlik denetimlerinde test edilenler ile üretimde gerçekten çalışanlar arasında her zaman bir boşluk oldu. Yazılım karmaşık, denetim süreleri kısa ve çoğu üçüncü taraf denetçi aradıklarını bulmaya, aramadıklarını değil, teşvik ediliyor.

Coldcard’ın itibarı, paranoyak seçenek olmak üzerine kuruluydu — hava boşluklu, açık kaynak kodlu yazılım, Ledger’ın veri ihlali geçmişinden sonra o markaya yaklaşmak istemeyen ciddi Bitcoin kullanıcılarının gözdesi. Piyasadaki en güvenlik bilincine sahip tüketici Bitcoin cihazında beş yıllık bir entropi açığının hayatta kalması, ya kara bir komedi ya da itibar temelli donanım güvenliğinin sınırlarına dair gerçek bir uyarı niteliği taşıyor. Büyük ihtimalle ikisi birden.

Kendinizi ileriye dönük nasıl koruyacağınızı merak ediyorsanız, şu an çoklu imza (multi-sig) kurulumlarını yeniden değerlendirme ve elinizdeki cüzdanların etkilenen yazılım sürümleriyle oluşturulup oluşturulmadığını doğrulama zamanı. Fonlarınızı kısa vadede nerede tutacağınızı — doğrulanmış yazılımla yeni oluşturulmuş zincir üstü bir cüzdanda mı yoksa geçici olarak düzenlenmiş bir borsada mı — yeniden değerlendiriyorsanız, özellikle işlem hacminiz varsa borsa kampanyaları ve komisyon karşılaştırmalarına göz atmak beş dakikanızı almaz.

Bitcoin Fiyatı Size Ne Söylüyor — Ve Ne Söylemiyor?

BTC şu an yaklaşık 62.766 dolar civarında, günlük bazda yaklaşık %1 düşüşte. Bu bir çöküş değil. Soğuk depodan gün ortasında, birden fazla saldırı dalgasıyla 89 milyon dolarlık Bitcoin çıkışı yaşandığını düşünürsek, çok daha sert bir fiyat düşüşü beklenebilirdi. Görece denge dikkat çekici — ya gerçek bir piyasa olgunluğunu yansıtıyor, ya da taşınan BTC’nin tek seferde piyasaya dökülmek yerine kademeli biçimde likide edildiğini gösteriyor.

Cointelegraph’ın haftalık özeti, bu olayın soğuk depolama sahiplerinde yarattığı havayı «mide bulandırıcı» olarak tanımlarken bazı analistlerin konsolidasyonu «boğa işareti» olarak okuduğunu da aktardı. Bu boğa yorumlarına temkinli yaklaşmanızı öneririm. Öz-saklama başarısızlığından kaynaklanan duygu hasarı, borsa hack’lerinden kaynaklananlardan daha kalıcı olma eğilimindedir — çünkü Bitcoin saklamak için mantıklı iki yerden birini devre dışı bırakır. Gelişmeleri takip etmek için kripto haber merkezimizi düzenli olarak ziyaret edin.

Gerçek Değerlendirmem

Yıllardır donanım cüzdanı kültürünü izliyorum ve bu olay uzun süredir şüphelendiğim bir şeyi doğrulad: donanım cüzdanı sektörü, sistemik önemine kıyasla güvenlik araştırmalarına yeterince kaynak ayırmıyor. Coldcard «ciddi» seçenekti. Beş yıllık bir entropi açığı onların yazılımında hayatta kalabildiyse, topluluk denetiminin daha az yoğun olduğu cihazlarda neler gizleniyor olabilir?

Yamanın çıktığı tarihten önce oluşturulmuş bir Coldcard cüzdanında Bitcoin tutuyorsam, beşinci bir saldırı dalgasını beklemezdim. Fonlarımı hemen taşırdım — doğrulanmış yazılımla yeni oluşturulmuş bir cüzdana ya da tek bir cihaz arızasının felakete yol açmadığı bir multi-sig kurulumuna. Thorn’un onaylanmamış işlemler için tarif ettiği «dar pencere» bir teselli değil — saldırgan ve kurban aynı yarışı koşuyor, ama saldırgan adresinizi zaten biliyor.

Uzun vadede bu kriz, «bu bileşen var mı?» kontrol listelerinin ötesine geçen zorunlu üçüncü taraf yazılım denetimlerine dair ciddi tartışmaları hızlandırmalı. Donanım cüzdanı sektörü, itibar ve topluluk güveniyle idare ediyordu. Bu bir güvenlik modeli değil — bu bir dua. Ve şu an 1.367 BTC’lik kayıp yaşayan hodlerlar, bu dersin bedelini ödüyor.