70 milyon dolarlık Coldcard vurgununun ardından CZ’den cüzdan çeşitlendirme çağrısı

Binance ↗ 0.54% kurucusu Changpeng Zhao, Coldcard donanım cüzdanlarındaki bir yazılım hatasının saldırganların yaklaşık 40 dakika içinde tahminen 70 milyon dolarlık Bitcoin ↘ 0.29% boşaltmasına imkan tanıması üzerine kripto varlık sahiplerini fonlarını birden fazla cüzdana dağıtmaya çağırdı.

"Donanım cüzdanlarında bile hatalar olabilir. Eski cüzdanlar bile (uzun bir geçmişe sahip olsa da) hata barındırabilir," ifadelerini kullandı Zhao Cumartesi günü X'te. "Risk nasıl azaltılır? Belki de fonlarınızı birkaç cüzdana bölerek? Bunun da farklı riskleri var. Hiçbir şey yüzde 100 değildir. Bilgilenmeye devam edin. Güvende kalın (SAFU)!"cryptonews+1

Saldırı

Hırsızlık, 30 Temmuz'da bir saldırganın belirli Coldcard modellerinin kriptografik anahtarlarını oluşturma biçimindeki bir açıktan yararlanmasıyla başladı. CoinDesk'e göre yapılan ilk zincir üstü analizler, 25 dakikalık bir zaman diliminde yaklaşık 500 cüzdandan yaklaşık 594 bitcoin'in (yaklaşık 38 milyon dolar) çekildiğini ortaya koydu. Galaxy Digital tarafından yapılan müteakip araştırmalar ise kapsamı genişleterek, yaklaşık 41 dakika içinde 1.196 adresten yaklaşık 70 milyon dolar değerinde 1.082 bitcoin alındığını belirledi.coindesk+2

Söz konusu güvenlik açığı, Mart 2021'de yayınlanan ve kurtarma kelimesi üretiminin donanımın gerçek rastgele sayı üreticisi yerine zayıf bir yazılımsal sahte rastgele sayı üreticisine düşmesine neden olan 4.0.1 donanım yazılımı sürümüne dayanıyordu. Bitcoin Magazine'e göre bu durum, tek imzalı cüzdanların özel anahtarlarının bir saldırgan tarafından çevrim dışı olarak yeniden oluşturulabilecek kadar öngörülebilir olmasına yol açtı. Etkilenen cüzdanların çoğu yıllardır hareketsiz durumdaydı.bitcoinmagazine+1

Coinkite'tan Yanıt

Forbes'un bildirdiğine göre, Coldcard üreticisi Coinkite başlangıçta hatanın yalnızca Mk3 cihazlarını etkilediğini söyledi, ancak ek hırsızlıklar ortaya çıktıkça tüm modellerin savunmasız olduğunu kabul etti. Şirket, acil yazılım güncellemeleri yayınladı ve etkilenen kullanıcılara güncellenmiş cihazlarda tamamen yeni kurtarma kelimeleri oluşturmalarını ve fonlarını dikkatli bir şekilde taşımalarını tavsiye etti.forbes

"Yazılımın güncellenmesi, etkilenen yazılım tarafından oluşturulmuş bir kurtarma kelimesini düzeltmez," diye yazdı Coinkite. "Yeni bir kurtarma kelimesi oluşturulmalı ve fonlar yeni cüzdana taşınmalıdır."forbes

Jack Dorsey tarafından kurulan ödeme şirketi Block'taki mühendisler, saldırganın varlıkları çekerken hedef adresleri sorgulamak için büyük olasılıkla bir blok zinciri hizmet sağlayıcısındaki ücretli bir hesabı kullandığını tespit ettiklerini belirttiler.bitcoinmagazine

Daha Geniş Kapsamlı Etkileri

Bu olay, kripto paralarda bireysel saklamanın (self-custody) sınırları hakkındaki tartışmaları yeniden alevlendirdi. Donanım cüzdanları, dijital varlıkları çevrim dışı olarak güvenceye almanın en güçlü seçeneklerinden biri olarak kabul ediliyor; ancak Coldcard vakası, köklü cihazların bile yıllarca tespit edilemeyen hatalar barındırabileceğini gösteriyor. Zhao'nun çeşitlendirme çağrısı bu dengeyi kabul ediyor: Fonları bölmek tek bir hata noktası riskini azaltır ancak daha karmaşık bir anahtar yönetimini beraberinde getirir.tradersunion+1

Galaxy Digital'in araştırma birimi, Bitcoin sahiplerine fonlarını tek imzalı Coldcard adreslerinden çıkararak daha güvenli saklama çözümlerine taşımalarını tavsiye etti.bitcoinmagazine