Saldırının Boyutu: BTC ve Dolar Cinsinden Kayıplar

Saldırı en az dört dalga halinde gerçekleşti. İlk üç dalgada doğrulanan kayıp, yaklaşık 7.300 adresten çalınan 1.596 BTC. Dördüncü bir dalganın da dahil edilmesiyle toplamın yaklaşık 2.000–2.055 BTC'ye çıkabileceği belirtiliyor . Farklı blockchain analiz firmaları, sayım kesintileri ve dördüncü dalganın dahil edilip edilmemesine bağlı olarak farklı rakamlar bildirdi:

Galaxy Research, güvenlik açığını aynı anda kullanan en az 15 farklı saldırgan tespit etti . Çalınan BTC'nin %90'ı Ağustos başı itibarıyla hâlâ hareket ettirilmemiş durumda ve Galaxy, saldırgan adreslerini ABD federal kolluk kuvvetlerine teslim etti .

Temel Neden: Mart 2021'den Beri Var Olan Bir Firmware Hatası

Güvenlik açığı, Mart 2021'de yayınlanan Coldcard firmware v4.0.1 ile tanıtılan bir önişlemci makro hatasıydı . C önişlemci koruması, bir makronun değerini kontrol etmek yerine tanımlı olup olmadığını test ediyordu. Bu, bağlayıcının tohum oluşturmayı STM32 donanım rastgele sayı üreteci (TRNG) yerine deterministik bir yazılım sözde rastgele sayı üretecine (PRNG) yönlendirmesine neden oldu . Hata, açık kaynak kodunda beş yıldan fazla fark edilmeden kaldı .

Rastgelelik çöküşü: Mk2 ve Mk3 cihazlarda (v4.0.1 ile v4.1.9 arası firmware sürümleri), etkin rastgelelik 128 bitten yaklaşık ~40 bite düştü . Mk4, Mk5 ve Q modellerinde ise yaklaşık 72 bit seviyesindeydi ki bu da belirtilen değerin altındaydı . Yaklaşık 40 bit rastgelelikle oluşturulan tohumlar, cihaza fiziksel erişim olmadan kaba kuvvet saldırısıyla kırılabiliyor .

Saldırı Zaman Çizelgesi

Saldırı endişe verici bir hızla ilerledi:

• 30 Temmuz 2026, ~01:10–01:56 UTC: İlk saldırgan, yaklaşık 25 dakika içinde ~500 tek imzalı cüzdandan yaklaşık 594 BTC (~38 milyon dolar) çaldı . Saldırgan, zayıf tohumları 41 dakikada kaba kuvvetle kırdı .
• 1 Ağustos'a kadar: Kayıplar ~1.082 BTC'ye ulaştı. İkinci bir saldırı dalgası ~284 BTC çaldı .
• 2–4 Ağustos: Üçüncü dalga vurdu ve Galaxy Research dördüncü bir dalgayı tespit etti .
• Etkilenen toplam adres: 5.200'den (Forbes/TRM) 7.300'e kadar (Galaxy Research) .

Etkilenen tüm cüzdanlar tek imzalı konfigürasyonlardı. Çok imzalı cüzdanlar etkilenmedi .

Coinkite'in Firmware Yamaları ve Kritik Sınırlaması

Coinkite, gelecekteki tohum oluşturma için doğru donanım RNG yolunu geri getiren yamalı bir firmware yayınladı . Ancak yama, zaten tehlikeye atılmış firmware ile oluşturulan tohumları geriye dönük olarak düzeltemiyor. Cüzdanları Mart 2021 ile yamanın yayınlanması arasında oluşturulan kullanıcılara, fonları hemen yeni bir tohumla oluşturulmuş yeni cüzdanlara taşımaları tavsiye edildi . Şirket, 2019'a kadar uzanan müşterilere hata hakkında e-posta gönderdi ve kalan hassas envanterini imha etti .

Coinkite'in Veri Silme Politikasını Tersine Çevirmesi

Saldırıdan önce Coinkite, müşteri verilerini (e-postalar, satın alma kayıtları) 90–120 gün sonra otomatik olarak silme gibi katı bir gizlilik politikasına sahipti . Saldırıdan sonra şirket bu politikayı tersine çevirdi ve olası yasal işlemlere hazırlık olarak müşteri kayıtlarını saklayacağını duyurdu . Bu karar, Coldcard'ı kısmen veri minimizasyonu politikası nedeniyle seçen gizlilik odaklı kullanıcılar arasında büyük bir tepkiye yol açtı . Coinkite, verilerin kısıtlı erişimle saklanacağını ve müşterilerin standart silme işlemini talep edebileceğini belirtti . 117 Partners'tan Thomas Braziel'in, Coinkite'a karşı ürün sorumluluğu taleplerini ve olası bir toplu dava açılmasını araştırdığı bildiriliyor .

Sektör Tepkisi: Bitcoin ETF Girişlerinde Artış

Saldırı, mağdurların kalan fonlarını taşıması ve piyasanın öz-saklama riskini yeniden değerlendirmesiyle 2026'nın en yüksek zincir içi aktivitesine yol açtı . ABD spot Bitcoin ETF'lerine haftalık net giriş, saldırının ardından yaklaşık 853 milyon dolara fırladı; kurumsal yatırımcılar Coldcard'daki başarısızlık nedeniyle düzenlenmiş saklama çözümlerine yöneldi .

Daha Geniş Güvenlik ve Öz-Saklama Çıkarımları

Coldcard saldırısı, Bitcoin öz-saklama topluluğu için birkaç rahatsız edici gerçeği gün yüzüne çıkardı:

• Tek imzalı risk arttı: Olay, tek imzalı kurulumların kullanıcıları anahtar oluşturmada tek bir hata noktasına maruz bıraktığını gösterdi. Çok imzalı veya eşik şemaları zayıf RNG'den bile etkilenmezdi .
• Açık kaynak şeffaflığı iki ucu keskin bir kılıç: Hata, kamuya açık kodda beş yıldan fazla bir süre fark edilmeden kaldı; bu, 'kod denetlenebilir' ile 'kod fiilen denetleniyor' arasındaki boşluğu vurguladı .
• Donanım RNG'si vs. yazılım yedeği: Bu vaka, bir derleme yapılandırma hatasının donanım rastgeleliğini sessizce nasıl devre dışı bırakarak 'soğuk' bir cüzdanı 'sıcak' bir cüzdan zafiyetine dönüştürebileceğini gösterdi .
• Düzenlenmiş saklamaya geçiş: 853 milyon dolarlık haftalık ETF girişi, büyük ölçekli yatırımcılar arasında öz-saklama donanım cüzdanlarından kurumsal düzeyde saklama çözümlerine doğru ölçülebilir bir kaçış olduğunu gösterdi .
• Donanım cüzdanı üreticileri için yasal sorumluluk: Coinkite'in veri saklama politikasını tersine çevirmesi ve kullanıcı davalarının beklenmesi, donanım cüzdanı üreticilerinin firmware hatalarından sorumlu tutulabileceğini ve bunun da sektördeki garanti koşullarını ve sigortayı potansiyel olarak yeniden şekillendirebileceğini gösterdi .

Saldırının Boyutu: BTC ve Dolar Cinsinden Kayıplar

Saldırı en az dört dalga halinde gerçekleşti. İlk üç dalgada doğrulanan kayıp, yaklaşık 7.300 adresten çalınan 1.596 BTC. Dördüncü bir dalganın da dahil edilmesiyle toplamın yaklaşık 2.000–2.055 BTC'ye çıkabileceği belirtiliyor . Farklı blockchain analiz firmaları, sayım kesintileri ve dördüncü dalganın dahil edilip edilmemesine bağlı olarak farklı rakamlar bildirdi:

Galaxy Research, güvenlik açığını aynı anda kullanan en az 15 farklı saldırgan tespit etti . Çalınan BTC'nin %90'ı Ağustos başı itibarıyla hâlâ hareket ettirilmemiş durumda ve Galaxy, saldırgan adreslerini ABD federal kolluk kuvvetlerine teslim etti .

Temel Neden: Mart 2021'den Beri Var Olan Bir Firmware Hatası

Güvenlik açığı, Mart 2021'de yayınlanan Coldcard firmware v4.0.1 ile tanıtılan bir önişlemci makro hatasıydı . C önişlemci koruması, bir makronun değerini kontrol etmek yerine tanımlı olup olmadığını test ediyordu. Bu, bağlayıcının tohum oluşturmayı STM32 donanım rastgele sayı üreteci (TRNG) yerine deterministik bir yazılım sözde rastgele sayı üretecine (PRNG) yönlendirmesine neden oldu . Hata, açık kaynak kodunda beş yıldan fazla fark edilmeden kaldı .

Rastgelelik çöküşü: Mk2 ve Mk3 cihazlarda (v4.0.1 ile v4.1.9 arası firmware sürümleri), etkin rastgelelik 128 bitten yaklaşık ~40 bite düştü . Mk4, Mk5 ve Q modellerinde ise yaklaşık 72 bit seviyesindeydi ki bu da belirtilen değerin altındaydı . Yaklaşık 40 bit rastgelelikle oluşturulan tohumlar, cihaza fiziksel erişim olmadan kaba kuvvet saldırısıyla kırılabiliyor .

Saldırı Zaman Çizelgesi

Saldırı endişe verici bir hızla ilerledi:

• 30 Temmuz 2026, ~01:10–01:56 UTC: İlk saldırgan, yaklaşık 25 dakika içinde ~500 tek imzalı cüzdandan yaklaşık 594 BTC (~38 milyon dolar) çaldı . Saldırgan, zayıf tohumları 41 dakikada kaba kuvvetle kırdı .
• 1 Ağustos'a kadar: Kayıplar ~1.082 BTC'ye ulaştı. İkinci bir saldırı dalgası ~284 BTC çaldı .
• 2–4 Ağustos: Üçüncü dalga vurdu ve Galaxy Research dördüncü bir dalgayı tespit etti .
• Etkilenen toplam adres: 5.200'den (Forbes/TRM) 7.300'e kadar (Galaxy Research) .

Etkilenen tüm cüzdanlar tek imzalı konfigürasyonlardı. Çok imzalı cüzdanlar etkilenmedi .

Coinkite'in Firmware Yamaları ve Kritik Sınırlaması

Coinkite, gelecekteki tohum oluşturma için doğru donanım RNG yolunu geri getiren yamalı bir firmware yayınladı . Ancak yama, zaten tehlikeye atılmış firmware ile oluşturulan tohumları geriye dönük olarak düzeltemiyor. Cüzdanları Mart 2021 ile yamanın yayınlanması arasında oluşturulan kullanıcılara, fonları hemen yeni bir tohumla oluşturulmuş yeni cüzdanlara taşımaları tavsiye edildi . Şirket, 2019'a kadar uzanan müşterilere hata hakkında e-posta gönderdi ve kalan hassas envanterini imha etti .

Coinkite'in Veri Silme Politikasını Tersine Çevirmesi

Saldırıdan önce Coinkite, müşteri verilerini (e-postalar, satın alma kayıtları) 90–120 gün sonra otomatik olarak silme gibi katı bir gizlilik politikasına sahipti . Saldırıdan sonra şirket bu politikayı tersine çevirdi ve olası yasal işlemlere hazırlık olarak müşteri kayıtlarını saklayacağını duyurdu . Bu karar, Coldcard'ı kısmen veri minimizasyonu politikası nedeniyle seçen gizlilik odaklı kullanıcılar arasında büyük bir tepkiye yol açtı . Coinkite, verilerin kısıtlı erişimle saklanacağını ve müşterilerin standart silme işlemini talep edebileceğini belirtti . 117 Partners'tan Thomas Braziel'in, Coinkite'a karşı ürün sorumluluğu taleplerini ve olası bir toplu dava açılmasını araştırdığı bildiriliyor .

Sektör Tepkisi: Bitcoin ETF Girişlerinde Artış

Saldırı, mağdurların kalan fonlarını taşıması ve piyasanın öz-saklama riskini yeniden değerlendirmesiyle 2026'nın en yüksek zincir içi aktivitesine yol açtı . ABD spot Bitcoin ETF'lerine haftalık net giriş, saldırının ardından yaklaşık 853 milyon dolara fırladı; kurumsal yatırımcılar Coldcard'daki başarısızlık nedeniyle düzenlenmiş saklama çözümlerine yöneldi .

Daha Geniş Güvenlik ve Öz-Saklama Çıkarımları

Coldcard saldırısı, Bitcoin öz-saklama topluluğu için birkaç rahatsız edici gerçeği gün yüzüne çıkardı:

• Tek imzalı risk arttı: Olay, tek imzalı kurulumların kullanıcıları anahtar oluşturmada tek bir hata noktasına maruz bıraktığını gösterdi. Çok imzalı veya eşik şemaları zayıf RNG'den bile etkilenmezdi .
• Açık kaynak şeffaflığı iki ucu keskin bir kılıç: Hata, kamuya açık kodda beş yıldan fazla bir süre fark edilmeden kaldı; bu, 'kod denetlenebilir' ile 'kod fiilen denetleniyor' arasındaki boşluğu vurguladı .
• Donanım RNG'si vs. yazılım yedeği: Bu vaka, bir derleme yapılandırma hatasının donanım rastgeleliğini sessizce nasıl devre dışı bırakarak 'soğuk' bir cüzdanı 'sıcak' bir cüzdan zafiyetine dönüştürebileceğini gösterdi .
• Düzenlenmiş saklamaya geçiş: 853 milyon dolarlık haftalık ETF girişi, büyük ölçekli yatırımcılar arasında öz-saklama donanım cüzdanlarından kurumsal düzeyde saklama çözümlerine doğru ölçülebilir bir kaçış olduğunu gösterdi .
• Donanım cüzdanı üreticileri için yasal sorumluluk: Coinkite'in veri saklama politikasını tersine çevirmesi ve kullanıcı davalarının beklenmesi, donanım cüzdanı üreticilerinin firmware hatalarından sorumlu tutulabileceğini ve bunun da sektördeki garanti koşullarını ve sigortayı potansiyel olarak yeniden şekillendirebileceğini gösterdi .