Bitcoin Red Team'in Yapay Zeka Denetimi: 116 Milyon Dolarlık Coldcard Saldırısının Ardından 85 Kritik Güvenlik Açığı Bulundu

Coldcard Cüzdan Saldırısına Nasıl Tepki Verdi?

Kampanya, doğrudan Temmuz 2026 Coldcard donanım cüzdanı istismarına bir yanıttı . Saldırıyla ilgili detaylar şöyle:

• Güvenlik açığı: Coldcard donanım yazılımı sürümü 4.0.0'a (Mart 2021) eklenen bir hata, cihazın tohum (seed) cümlesi oluşturma sırasında özel donanımsal rastgele sayı üretecini atlamasına neden oldu . Bu, cüzdan tohum ifadelerini tahmin edilebilir hale getirdi; anahtar gücü 128 bitten 40 bit'e kadar düştü .
• Saldırı: 30 Temmuz 2026'dan itibaren saldırganlar bu hatayı kullanarak binlerce cüzdandan fon çekmeye başladı. İlk dalga, sadece 41 dakikada 1.196 adrese saldırarak o anki değeriyle yaklaşık 70 milyon dolar olan 1.082,65 BTC çaldı .
• Toplam kayıp: Birden fazla dalga ile toplam kayıp 5.200'den fazla adreste 116 milyon doları aştı; saldırı devam ettikçe bazı tahminler 130 milyon doların üzerine çıktı . En az bir düzine farklı bilgisayar korsanı olaya karıştı .
• Coinkite'in yanıtı: Şirket, kullanıcıları donanım yazılımını güncellemeye ve fonları taşımaya çağırdı, ancak o zamana kadar hasarın büyük kısmı çoktan oluşmuştu .

Buna karşılık Bitcoin Red Team, saldırganlar istismar etmeden önce benzer rastgele sayı üreteci hatalarını, zayıf kriptografik uygulamaları ve diğer sistemik kusurları bulmak için denetimini başlattı .

Temel Bulgular ve Yöntemler

Bulgular

Neredeyse bir günde 5.000 raporluk bu hacim, alt sistem bakımcıları için büyük bir triyaj sorunu yarattı . Bulguların yalnızca yaklaşık beşte biri tekrarlanabilir olarak onaylandı, ancak grup, Coldcard saldırısının ciddiyeti göz önüne alındığında sınırda olan sorunları işaretlemenin haklı olduğunu savundu .

Yöntemler

• Ekip, kod tabanlarını bilinen güvenlik açığı modelleri, kriptografik zayıflıklar ve mantık hataları için taramak üzere açık ağırlıklı yapay zeka modellerini kullandı .
• İnsan araştırmacılar, yapay zekayı yönlendirdi, sonuçları doğruladı ve sorumlu ifşa (responsible disclosure) raporları dosyaladı .
• Grup, daha geniş topluluğun otomatik taramaya devam edebilmesi için yapay zeka güvenlik koşum takımını (AI security harness) açık kaynak olarak yayınlamayı planlıyor .
• Odaklandıkları alanlar; cüzdanlar, kriptografik kütüphaneler ve Bitcoin altyapı projeleriydi; yani kusurlu olması halinde bir başka Coldcard ölçeğinde kayba yol açabilecek kod türleri .

OpenAI Neden Araştırmacının Erişimini Proje Ortasında İptal Etti?

Rob Hamilton (AnchorWatch CEO'su ve kampanya eş-lideri), güvenlik araştırmacılarına sübvansiyonlu API erişimi sağlayan OpenAI'ın "Trust Cyber" programına kaydolmuştu . 8-9 Ağustos 2026'da, programı iş akışına tamamen entegre etmiş ve geçerli ifşalarda bulunmuş olmasına rağmen OpenAI hiçbir açıklama yapmadan erişimini iptal etti .

• Hamilton, "sorumlu bir şekilde ifşada bulunduğu ve meşru bulguları olduğu onaylanan bir kod tabanında ek analiz yapmasının engellendiğini" kamuoyuna açıkladı .
• Bu iptal, Bitcoin Red Team'i Çin merkezli açık ağırlıklı alternatifler de dahil olmak üzere daha az kısıtlayıcı yapay zeka modellerine yönelmeye zorladı. Bu durum, ABD'nin güvenlik araştırmalarındaki yapay zeka rekabetçiliği açısından bir gerileme olarak geniş çapta eleştirildi .
• OpenAI, kararının gerekçesini kamuoyuna detaylandırmadı. Şirketin Araştırmacı Erişim Programı SSS bölümü, kredilerin kendi takdirlerine bağlı olarak verildiğini ve geri çekilebileceğini belirtiyor, ancak Hamilton için belirtilmiş herhangi bir spesifik politika ihlali bulunmuyor .