Coldcard Donanım Cüzdanı Saldırısı 2026: 130 Milyon Dolarlık Firmware Açığının Tam Analizi

30 Temmuz 2026'da, Bitcoin donanım cüzdanları tarihinin en büyük hırsızlığı olarak kayıtlara geçecek bir güvenlik olayı yaşanmaya başladı. Takip eden hafta boyunca saldırganlar, 'paranoyaklar için altın standart' olarak pazarlanan Coldcard cihazlarından 1.596 ila 2.055 BTC (yaklaşık 100 milyon ila 130 milyon dolar) arasında para çaldı . Olayın temelinde, Mart 2021'de firmware'e eklenen ve kriptografik rastgeleliği 128 bitten sadece ~40 bit'e düşüren bir önişlemci makro hatası yatıyor . Bu makale, Galaxy Research, TRM Labs, Forbes, TechCrunch ve diğer kaynakların raporlarına dayanarak saldırının kapsamlı bir analizini sunuyor.

Saldırının Boyutu: BTC ve Dolar Cinsinden Kayıplar

Saldırı en az dört dalga halinde gerçekleşti. İlk üç dalgada doğrulanan kayıp, yaklaşık 7.300 adresten çalınan 1.596 BTC. Dördüncü bir dalganın da dahil edilmesiyle toplamın yaklaşık 2.000–2.055 BTC'ye çıkabileceği belirtiliyor . Farklı blockchain analiz firmaları, sayım kesintileri ve dördüncü dalganın dahil edilip edilmemesine bağlı olarak farklı rakamlar bildirdi:

Kaynak	Çalınan BTC	Dolar karşılığı
Galaxy Research (doğrulanan)	~1.596 BTC	~100 milyon dolar+
Galaxy Research (4. dalga dahil)	~2.000 BTC	~130 milyon dolar
TRM Labs	~1.816 BTC	~116 milyon dolar
K33	—	~114 milyon dolar
CryptoQuant / diğerleri	1.432–1.367 BTC	~89 milyon dolar–100 milyon dolar

Galaxy Research, güvenlik açığını aynı anda kullanan en az 15 farklı saldırgan tespit etti . Çalınan BTC'nin %90'ı Ağustos başı itibarıyla hâlâ hareket ettirilmemiş durumda ve Galaxy, saldırgan adreslerini ABD federal kolluk kuvvetlerine teslim etti .

Temel Neden: Mart 2021'den Beri Var Olan Bir Firmware Hatası

Güvenlik açığı, Mart 2021'de yayınlanan Coldcard firmware v4.0.1 ile tanıtılan bir önişlemci makro hatasıydı . C önişlemci koruması, bir makronun değerini kontrol etmek yerine tanımlı olup olmadığını test ediyordu. Bu, bağlayıcının tohum oluşturmayı STM32 donanım rastgele sayı üreteci (TRNG) yerine deterministik bir yazılım sözde rastgele sayı üretecine (PRNG) yönlendirmesine neden oldu . Hata, açık kaynak kodunda beş yıldan fazla fark edilmeden kaldı .

Rastgelelik çöküşü: Mk2 ve Mk3 cihazlarda (v4.0.1 ile v4.1.9 arası firmware sürümleri), etkin rastgelelik 128 bitten yaklaşık ~40 bite düştü . Mk4, Mk5 ve Q modellerinde ise yaklaşık 72 bit seviyesindeydi ki bu da belirtilen değerin altındaydı . Yaklaşık 40 bit rastgelelikle oluşturulan tohumlar, cihaza fiziksel erişim olmadan kaba kuvvet saldırısıyla kırılabiliyor .

Saldırı Zaman Çizelgesi

Saldırı endişe verici bir hızla ilerledi:

• 30 Temmuz 2026, ~01:10–01:56 UTC: İlk saldırgan, yaklaşık 25 dakika içinde ~500 tek imzalı cüzdandan yaklaşık 594 BTC (~38 milyon dolar) çaldı . Saldırgan, zayıf tohumları 41 dakikada kaba kuvvetle kırdı .
• 1 Ağustos'a kadar: Kayıplar ~1.082 BTC'ye ulaştı. İkinci bir saldırı dalgası ~284 BTC çaldı .
• 2–4 Ağustos: Üçüncü dalga vurdu ve Galaxy Research dördüncü bir dalgayı tespit etti .
• Etkilenen toplam adres: 5.200'den (Forbes/TRM) 7.300'e kadar (Galaxy Research) .

Etkilenen tüm cüzdanlar tek imzalı konfigürasyonlardı. Çok imzalı cüzdanlar etkilenmedi .

Coinkite'in Firmware Yamaları ve Kritik Sınırlaması

Coinkite, gelecekteki tohum oluşturma için doğru donanım RNG yolunu geri getiren yamalı bir firmware yayınladı . Ancak yama, zaten tehlikeye atılmış firmware ile oluşturulan tohumları geriye dönük olarak düzeltemiyor. Cüzdanları Mart 2021 ile yamanın yayınlanması arasında oluşturulan kullanıcılara, fonları hemen yeni bir tohumla oluşturulmuş yeni cüzdanlara taşımaları tavsiye edildi . Şirket, 2019'a kadar uzanan müşterilere hata hakkında e-posta gönderdi ve kalan hassas envanterini imha etti .

Coinkite'in Veri Silme Politikasını Tersine Çevirmesi

Saldırıdan önce Coinkite, müşteri verilerini (e-postalar, satın alma kayıtları) 90–120 gün sonra otomatik olarak silme gibi katı bir gizlilik politikasına sahipti . Saldırıdan sonra şirket bu politikayı tersine çevirdi ve olası yasal işlemlere hazırlık olarak müşteri kayıtlarını saklayacağını duyurdu . Bu karar, Coldcard'ı kısmen veri minimizasyonu politikası nedeniyle seçen gizlilik odaklı kullanıcılar arasında büyük bir tepkiye yol açtı . Coinkite, verilerin kısıtlı erişimle saklanacağını ve müşterilerin standart silme işlemini talep edebileceğini belirtti . 117 Partners'tan Thomas Braziel'in, Coinkite'a karşı ürün sorumluluğu taleplerini ve olası bir toplu dava açılmasını araştırdığı bildiriliyor .

Sektör Tepkisi: Bitcoin ETF Girişlerinde Artış

Saldırı, mağdurların kalan fonlarını taşıması ve piyasanın öz-saklama riskini yeniden değerlendirmesiyle 2026'nın en yüksek zincir içi aktivitesine yol açtı . ABD spot Bitcoin ETF'lerine haftalık net giriş, saldırının ardından yaklaşık 853 milyon dolara fırladı; kurumsal yatırımcılar Coldcard'daki başarısızlık nedeniyle düzenlenmiş saklama çözümlerine yöneldi .

Daha Geniş Güvenlik ve Öz-Saklama Çıkarımları

Coldcard saldırısı, Bitcoin öz-saklama topluluğu için birkaç rahatsız edici gerçeği gün yüzüne çıkardı:

• Tek imzalı risk arttı: Olay, tek imzalı kurulumların kullanıcıları anahtar oluşturmada tek bir hata noktasına maruz bıraktığını gösterdi. Çok imzalı veya eşik şemaları zayıf RNG'den bile etkilenmezdi .
• Açık kaynak şeffaflığı iki ucu keskin bir kılıç: Hata, kamuya açık kodda beş yıldan fazla bir süre fark edilmeden kaldı; bu, 'kod denetlenebilir' ile 'kod fiilen denetleniyor' arasındaki boşluğu vurguladı .
• Donanım RNG'si vs. yazılım yedeği: Bu vaka, bir derleme yapılandırma hatasının donanım rastgeleliğini sessizce nasıl devre dışı bırakarak 'soğuk' bir cüzdanı 'sıcak' bir cüzdan zafiyetine dönüştürebileceğini gösterdi .
• Düzenlenmiş saklamaya geçiş: 853 milyon dolarlık haftalık ETF girişi, büyük ölçekli yatırımcılar arasında öz-saklama donanım cüzdanlarından kurumsal düzeyde saklama çözümlerine doğru ölçülebilir bir kaçış olduğunu gösterdi .
• Donanım cüzdanı üreticileri için yasal sorumluluk: Coinkite'in veri saklama politikasını tersine çevirmesi ve kullanıcı davalarının beklenmesi, donanım cüzdanı üreticilerinin firmware hatalarından sorumlu tutulabileceğini ve bunun da sektördeki garanti koşullarını ve sigortayı potansiyel olarak yeniden şekillendirebileceğini gösterdi .