Soğuk Cüzdanlar Gerçekten Güvenli mi?

Bitcoin’lerinizi internete bağlı olmayan bir donanım cüzdanında sakladığınızı düşünün. Seed kelimelerinizi kimseyle paylaşmadınız, şüpheli bir bağlantıya tıklamadınız ve cihazınızı fiziksel olarak da korudunuz. Buna rağmen bir sabah cüzdanınızı kontrol ettiğinizde tüm varlıklarınızın başka bir adrese gönderildiğini görüyorsunuz.

Coldcard kullanıcılarının yaşadığı olay tam olarak buydu.

31 Temmuz 2026’da başlayan saldırıda yüzlerce Bitcoin cüzdanı dakikalar içinde boşaltıldı. İlk incelemelerde yaklaşık 500 cüzdandan 594 BTC’nin yalnızca 25 dakika içerisinde transfer edildiği açıklandı. Saldırının ardından devam eden zincir üstü analizlerde ise olayın yaklaşık 4.500 Bitcoin adresine yayıldığı ve toplam kaybın 89 milyon dolara yaklaştığı bildirildi.

Ancak bu vakayı diğer kripto saldırılarından ayıran önemli bir detay vardı: Kullanıcılar dolandırılmadı, cihazlar çalınmadı ve Bitcoin ağı hacklenmedi. Sorun, cüzdanların özel anahtarları oluşturduğu ilk anda ortaya çıkmıştı.

Coldcard Güvenlik Açığı Nasıl Ortaya Çıktı?

Kripto varlık cüzdanlarının güvenliği özel anahtarlara dayanır. Bu anahtarlar, tahmin edilmesi mümkün olmayan rastgele veriler kullanılarak oluşturulur. Anahtar üretimindeki rastgelelik seviyesi ise “entropi” olarak adlandırılır.

Basitçe anlatmak gerekirse, entropi ne kadar güçlüyse özel anahtarın tahmin edilmesi o kadar zor olur. Rastgelelik zayıfladığında ise ortaya çıkan anahtar güvenli görünse bile belirli hesaplama yöntemleriyle tahmin edilebilir hale gelebilir.

Coldcard firmware’inde bulunduğu bildirilen hata, bazı cihazların seed ve özel anahtar üretirken donanımsal rastgele sayı üreticisini gerektiği gibi kullanmamasına neden oldu. Sistem bunun yerine cihaz seri numarası gibi gizli olmayan ve öngörülebilir bazı donanım verilerine dayandı.

Böylece teoride son derece güçlü olması gereken özel anahtarların olası kombinasyonları ciddi ölçüde azaldı. Saldırganlar Bitcoin’in şifreleme algoritmasını kırmak yerine, zayıf rastgelelik kullanılarak oluşturulan anahtarları hesaplayarak ilgili cüzdanlara ulaştı.

Yüzlerce Cüzdan 25 Dakikada Boşaltıldı

İlk saldırı dalgasında yaklaşık 594 BTC, üç Bitcoin bloğu içerisinde yüzlerce farklı cüzdandan çıkarıldı. Transfer edilen varlıkların büyük bölümü daha sonra tek bir adreste birleştirildi.

Etkilenen adreslerin bir kısmının uzun süredir herhangi bir işlem gerçekleştirmemiş olması da dikkat çekti. Bazı cüzdanların 2021 yılından bu yana kullanılmadığı belirtiliyor. Bu durum, saldırganların zayıf anahtarlarla oluşturulan adresleri daha önceden belirlemiş ve harekete geçmek için doğru zamanı beklemiş olabileceği ihtimalini gündeme getiriyor.

İlk teknik değerlendirmeler, anahtar üretimindeki hatalı sürecin 2021 yılında yayımlanan bir firmware sürümüyle ortaya çıkmış olabileceğini gösteriyor. Eğer bu değerlendirme doğrulanırsa güvenlik açığının yaklaşık beş yıl boyunca fark edilmeden cihazlarda bulunduğu anlaşılacak.

Bu süre boyunca kullanıcılar varlıklarının çevrimdışı ve güvende olduğunu düşünürken, cüzdanların temelini oluşturan özel anahtarlar daha oluşturuldukları anda risk taşıyor olabilir.

Bitcoin mi Hacklendi?

Hayır. Bu olay Bitcoin ağında veya Bitcoin’in kullandığı şifreleme sisteminde tespit edilen bir güvenlik açığından kaynaklanmadı.

Saldırganlar Bitcoin protokolünü kırmadı. Coldcard cihazlarının belirli koşullarda kullandığı anahtar üretim sürecindeki zayıflıktan yararlandı. Bu nedenle olay, Bitcoin ağına yönelik bir saldırıdan çok donanım cüzdanı ve tedarik zinciri güvenliği vakası olarak değerlendiriliyor.

Aradaki fark oldukça önemli. Çünkü sorun blokzincirin kendisinde değil, blokzincir üzerindeki varlıklara erişim sağlayan özel anahtarların nasıl üretildiğinde yatıyor.

Firmware Güncellemesi Neden Yeterli Olmayabilir?

Coldcard vakasında dikkat edilmesi gereken konulardan biri de firmware güncellemesinin mevcut riski her zaman ortadan kaldırmaması.

Bir cihaz güncellendiğinde yazılımdaki hata giderilebilir. Ancak özel anahtar daha önce zayıf bir rastgelelik mekanizmasıyla oluşturulduysa güncelleme bu anahtarı yeniden üretmez veya güvenli hâle getirmez. Aynı seed kullanılmaya devam edildiği sürece risk de devam edebilir.

Böyle bir durumda yalnızca cihazı güncellemek yerine, güvenilir bir yöntemle tamamen yeni bir seed ve özel anahtar oluşturulması gerekir. Varlıkların da eski cüzdandan yeni oluşturulan güvenli adrese aktarılması önem taşır.

Kullanıcıların üreticinin yayımladığı resmi güvenlik duyurularını takip etmesi, etkilenen cihaz ve firmware sürümlerini kontrol etmesi ve doğrulanmamış yönlendirmelere karşı dikkatli olması gerekiyor. Güvenlik olaylarını fırsata çevirmek isteyen saldırganların sahte güncelleme dosyaları, destek hesapları veya cüzdan taşıma bağlantıları paylaşabileceği de unutulmamalı.

Soğuk Cüzdan Kullanıcıları Nelere Dikkat Etmeli?

Soğuk cüzdan kullanmak, çevrim içi saldırıların önemli bir bölümüne karşı güçlü koruma sağlar. Fakat bir cihazın internete bağlı olmaması, içindeki tüm bileşenlerin hatasız olduğu anlamına gelmez.

Donanım cüzdanı kullanan kişilerin şu kontrolleri düzenli olarak yapması önemlidir:

• Cihazın firmware sürümü yalnızca üreticinin resmi kanallarından kontrol edilmeli.

• Güvenlik güncellemeleri ve üretici duyuruları düzenli olarak takip edilmeli.

• Seed kelimeleri hiçbir internet sitesine, mobil uygulamaya veya destek formuna girilmemeli.

• Cüzdan taşıma işlemleri sırasında yeni seed’in gerçekten güvenilir bir yöntemle oluşturulduğundan emin olunmalı.

• Yüksek tutarlı varlıklar tek bir cihaz, seed veya üreticiye bağlı tutulmamalı.

• Mümkün olan durumlarda çoklu imza gibi tek bir anahtarın ele geçirilmesiyle varlık kaybını önleyen modeller tercih edilmeli.

• Şüpheli bir güvenlik duyurusunda sosyal medya paylaşımları yerine üreticinin doğrulanmış resmî açıklamaları esas alınmalı.

Özellikle böyle büyük vakaların ardından “cüzdanınızı hemen doğrulayın” veya “varlıklarınızı güvenli adrese taşıyın” şeklindeki sahte mesajlarda artış görülebilir. Gerçek bir teknik açık kadar, açığın oluşturduğu panik ortamı da kullanıcılar açısından risklidir.

Kurumlar İçin Coldcard Vakasından Çıkarılacak Dersler

Coldcard güvenlik açığı yalnızca bireysel yatırımcıları ilgilendiren bir donanım cüzdanı vakası değil. Olay, kripto varlık saklama hizmeti sunan kuruluşlar için anahtar yönetiminin ne kadar geniş bir çerçevede ele alınması gerektiğini de gösteriyor.

Özel anahtar güvenliği yalnızca anahtarların nerede saklandığıyla ölçülemez. Anahtarın hangi cihazda, hangi firmware sürümüyle, hangi rastgelelik kaynağı kullanılarak ve kimlerin gözetiminde oluşturulduğu da en az saklama ortamı kadar önemlidir.

Kurumsal yapılarda anahtar üretim süreçlerinin kayıt altına alınması, kullanılan donanım ve yazılımların bağımsız güvenlik değerlendirmelerinden geçirilmesi, tek bir üreticiye bağımlılığın azaltılması ve acil anahtar rotasyonu senaryolarının önceden test edilmesi gerekir.

Çünkü zayıf oluşturulmuş bir anahtar; HSM içinde, çevrimdışı bir cihazda veya fiziksel olarak korunan bir kasada saklansa bile zayıf kalmaya devam eder.

Sonuç

Coldcard vakası, kripto varlık güvenliğinde uzun süredir doğru kabul edilen önemli bir varsayımı yeniden sorgulatıyor: Çevrimdışı olan her şey güvenli değildir.

Bir donanım cüzdanı internete hiç bağlanmasa, fiziksel olarak korunsa ve güçlü bir PIN ile kullanılsa bile özel anahtarı oluşturan rastgelelik yeterince güçlü değilse tüm güvenlik zinciri daha ilk adımda kırılmış olur. Bu olayda da saldırganların kullanıcıları kandırmasına veya Bitcoin ağını hacklemesine gerek kalmadı. Anahtar üretimindeki görünmeyen bir hata, yıllarca güvenli olduğu düşünülen cüzdanları hedef hâline getirdi.

Kullanıcılar açısından en önemli nokta paniğe kapılmadan resmî açıklamaları takip etmek, kullanılan cihaz ve firmware sürümünü kontrol etmek ve seed kelimelerini isteyen hiçbir bağlantıya güvenmemektir. Kurumlar açısından ise anahtar güvenliğini yalnızca saklama aşamasıyla sınırlamadan üretimden imhaya kadar bütün yaşam döngüsü boyunca yönetmek gerekir.

Coldcard olayı bize çok açık bir ders bıraktı: Kriptografik güvenlik, anahtarın saklandığı yerde değil, üretildiği ilk anda başlar.

Yazar: Meltem Erdem
Editör: Gate TR Akademi Ekibi