Coldcard hack saldırısında kayıplar artıyor: Analistler çalınan toplam Bitcoin miktarı konusunda fikir ayrılığında

Saldırganların Coldcard donanım cüzdanlarından Bitcoin boşaltmaya başlamasından yaklaşık iki hafta sonra, blokzinciri araştırmacıları analistlerin Bitcoin tarihindeki en büyük bireysel saklama başarısızlığı olarak adlandırdığı olayın tam boyutunu belirlemeye çalışıyor. Toplam kayıp tahminleri 100 milyon dolar ile 130 milyon dolar arasında değişiyor, ancak mağdurların kendi bildirimlerine dayanılması nedeniyle nihai rakamın belirsiz kalması bekleniyor.

Araştırmacılar Kayıp Rakamlarında Ayrışıyor

Galaxy Research, Salı günü itibarıyla yüksek güven aralığında en az 1,730 BTC, potansiyel olarak ise 1,816 BTC civarında bir kayıp öngörüyor. Firma araştırma başkanı Alex Thorn, Cointelegraph'a verdiği demeçte, 450 BTC'den fazlasının mağdur raporlarıyla doğrudan doğrulandığını, bunun da toplamda 730 BTC'den fazla varlığa sahip ek mağdurların tespit edilmesine yardımcı olduğunu belirtti. TRM Labs ise bağımsız olarak, saldırganların dört dalga halinde 5,200'den fazla adresten yaklaşık 1,816 BTC boşalttığını tahmin ediyor. Politika direktörü Ari Redbord, bu sayının daha da artabileceği konusunda uyardı.tradingview+1

CryptoQuant ise daha katı, bildirim odaklı bir yaklaşım benimsiyor. Araştırma başkanı Julio Moreno, platformun teyit edilmiş rakamının 1,432 BTC olduğunu ve bunun bir alt sınır teşkil ettiğini belirtti. Moreno, "Çalınan Bitcoin bireylere ait olduğu ve borsa gibi merkezi bir yapıya ait olmadığı için, yalnızca her mağdurun kamuoyuna açıkladığı verileri doğrulayabiliyoruz" dedi.crypto-economy+1

Açık Nasıl Çalıştı?

Söz konusu güvenlik açığı, Mart 2021'deki bir yazılım güncellemesine dayanıyor. Bu güncelleme, Coldcard'ın tohum (seed) üretiminin cihazın donanım tabanlı rastgele sayı üretecini devre dışı bırakmasına ve bunun yerine 128 bit yerine sadece 40 bitlik etkili entropiye sahip tahmin edilebilir bir yazılım fonksiyonu kullanmasına neden oldu. Bu azalma, fiziksel erişim olmaksızın anahtar kurtarmayı hesaplama açısından mümkün kıldı. 30 Temmuz'dan itibaren en az 15 bağımsız saldırgan bu zayıflığı kullanarak binlerce tek imzalı cüzdandan fonları hızla boşalttı.forbes+3

Bitcoin geliştiricisi James O'Beirne, hatalı rastgelelik kodunu Mayıs 2025'te, yani istismar ortaya çıkmadan on dört ay önce Coinkite'a bildirdiğini açıkladı. Phemex'in haberine göre Coinkite, sorunun gerçek olması durumunda zaten çoktan ortaya çıkmış olacağını savunarak yanıt verdi.phemex

Sonrası ve Sektörün Tepkisi

Coinkite 31 Temmuz'da yamalı bir yazılım yayınladı ancak güncellemenin halihazırda üretilmiş tohumların entropisini iyileştiremeyeceği konusunda uyardı. Etkilenen kullanıcılar tamamen yeni tohumlar oluşturmalı ve fonlarını taşımalıdır. Şirket ayrıca, 6 ve 7 Ağustos tarihlerinde, henüz kamuya açık bir dava açılmamış olmasına rağmen "devam eden ve beklenen yasal süreçleri" gerekçe göstererek müşteri verilerini otomatik silme politikasını geri çekti.etfdb+1

Olay, bireysel saklama ile kurumsal çözümler arasındaki tartışmayı yeniden alevlendirdi. Bloomberg Crypto'da konuşan Thorn, Bitcoin'in bu ihlali "atlatacağını" belirterek, durumu bir protokol hatasından ziyade üretici başarısızlığı olarak nitelendirdi. Bitcoin finansal hizmetler firması River da bu ayrımı destekleyerek, "Coldcard güvenlik açığı Bitcoin protokolünü veya Bitcoin'in çalışma şeklini etkilemiyor" açıklamasını yaptı.bloomberg+2

Yine de bu olay, sermayeyi borsa yatırım ürünlerine yöneltti. Spot Bitcoin ETF'leri, 7 Ağustos'ta sona eren haftada 853 milyon dolarlık net giriş kaydederek Nisan ortasından bu yana en güçlü haftalık rakama ulaştı. BlackRock'ın ↗ 1.05% iShares Bitcoin Trust'ı bu girişlerin çoğunu topladı.cryptorank+1

Etkilenen cihazları kullananlar için araştırmacıların mesajı net: sadece yazılımı güncellemek yeterli değil. Kalan fonları güvence altına almanın tek yolu, yamalı yazılım üzerinde yeni oluşturulmuş bir tohum kullanmaktır.phemex+1