Bitcoin sahiplerinin korktuğu senaryo gerçekleşti

Kullanıcıların güvenle kendi cüzdanında sakladığını sandığı Bitcoinler hedef alındı. Açık hızlı bir şekilde kapatıldı ancak etkileri sürüyor. Bir blok zinciri araştırma kuruluşuna göre şu ana kadar yaklaşık 1.200 adresten 1.000'in üzerinde Bitcoin boşaltıldı ve çalınan miktar yaklaşık 70 milyon dolara ulaştı. Söz konusu kuruluş, açığın niteliği gereği Coldcard ile üretilmiş herhangi bir adrese yönelik yeni saldırıların da mümkün olduğu uyarısında bulundu.

Coinkite'ın İcra Kurulu Başkanı Rodolfo Novak, açık bir mektupla kullanıcıları uyardı. Novak şöyle yazdı: "Bir Coldcard cüzdanıyla tohum ürettiyseniz, devamını okumadan önce güncellenmiş en iyi uygulamalarımızı kullanarak fonlarınızı hemen taşıyın." Yöneticiye göre düzeltme yalnızca bundan sonra üretilecek tohumları koruyor, savunmasız yazılımda daha önce üretilmiş olanları değil. Etkilenen kullanıcıların tümüyle yeni cüzdanlar oluşturup fonlarını taşıması gerekiyor. Çünkü yalnızca yazılımı güncellemek riski ortadan kaldırmıyor. Novak, firma hatasının tüm sorumluluğunu üstlendiğini ve inceleme sürecinin bu açığı yakalayamadığını söyledi. Yönetici ayrıca açığın yapay zeka kullanılarak keşfedilmiş olabileceğini, bunun da "yeni yapay zeka çağının ayıltıcı bir gerçeği" olduğunu belirtti.

Bitcoin savunucuları yıllardır, özel anahtarları elde tutmanın merkezi borsaların karşı taraf riskini ortadan kaldırdığını savundu. FTX gibi çöküşler de bu dersi pekiştirmişti. Ancak analistler artık kullanıcıların bir risk kümesini bir başkasıyla değiştirdiğini öne sürüyor. ARK Invest'in dijital varlık araştırmaları direktörü Lorenzo Valente, donanım tabanlı öz saklama alanının bir felaket halini aldığını ve sektöre başka her şeyden çok kötü bir itibar kazandırdığını söyledi. Valente'ye göre tüketiciler karşı taraf riskini yazılım, donanım, tedarik zinciri, kimlik avı ve yedekleme riskiyle, ayrıca tek bir hatayla her şeyi kaybetme olasılığıyla takas etti.

Coldcard açığı da bu zorluğu gözler önüne serdi. Araştırmacılar, belirli yazılım sürümlerinin cüzdan tohumlarını amaçlanandan çok daha az rastgelelikle ürettiğini ve bunun onları deneme yanılma saldırılarına açık hale getirdiğini buldu. Önerilen çözüm bile eleştiri çekti. Casa'nın İcra Kurulu Başkanı Nick Neuman, kullanıcıların cüzdanın ürettiği rastgeleliği fiziki zar atışlarıyla desteklemesi yönündeki tavsiyeye işaret ederek insanlardan güvenlik için zar atmasının istenemeyeceğini ve bunun çoğu kullanıcı için baştan imkânsız olduğunu söyledi.

Olay, yapay zekanın yazılım açıklarını bulma maliyetini düşürmesiyle siber güvenlik tehditlerinin ne kadar hızlı evrildiğini de gösterdi. Sosyal medyada geniş bir takipçi kitlesi olan geliştirici Udi Wertheimer, Bitcoin'in gizli bir yerde güvenle beklerken kullanıcının hayatının tadını çıkardığı fikrinin artık gerçekçi olmadığını yazdı. Wertheimer'a göre Bitcoin sahiplerinin ya yeni tehditleri sürekli kendileri izlemesi ya da özel güvenlik ekiplerine sahip profesyonel saklama şirketlerine güvenmesi gerekiyor. Geliştirici şöyle dedi: "Kendiniz endişelenmek istemiyorsanız, endişelenmesi için başka birine para ödemeniz gerekir."

Coldcard saldırısı, kripto saldırılarındaki daha geniş bir eğilime de uyuyor. Blok zinciri güvenlik şirketi Blockaid'e göre 2026'nın ilk yarısındaki kayıpların çoğu akıllı sözleşme saldırılarından çok, ele geçirilen anahtarlardan ve operasyonel güvenlik açıklarından kaynaklandı. Şirketin kurucu ortağı ve İcra Kurulu Başkanı Ido Ben-Natan, Coldcard olayının bu örüntüye uyduğunu ve açığın tohum üretimi aşamasında ortaya çıktığını söyledi. Ben-Natan'a göre bir donanım cüzdanının güvenliği, nihayetinde kullanıcıların etkileşime girdiği ama hiçbir zaman göremediği yazılıma ve sistemlere dayanıyor. Donanım cüzdanı üreticileri ise olayın, öz saklamanın kendisindeki bir kusurdan çok güvenli mühendisliğin önemini gösterdiğini savunuyor. Tangem'in teknoloji direktörü Andrew Lazutkin, açık kaynaklı yazılımın otomatik olarak daha iyi güvenlikle eşdeğer sayılmaması gerektiğini, güvenliğin güçlü mimari, kapsamlı test ve bağımsız doğrulamadan geldiğini belirtti.

Bu açık, spot Bitcoin borsa yatırım fonlarının (ETF) ana akım yatırımcıları çektiği bir dönemde kurumsal saklama argümanını da güçlendirebilir. Amicus'un kurucu ortağı David Lawrence, Coldcard gibi olayların yeni yatırımcıları özel anahtarları kendileri yönetmek yerine BlackRock'ın iShares Bitcoin Trust (IBIT) gibi düzenlemeye tabi ürünlere yönlendirmesinin olası olduğunu söyledi. Lawrence'a göre bu tür olayların ardından Bitcoin tutmak isteyen yeni yatırımcılar "sadece IBIT almak daha güvenli" diyebilir.

Lawrence, olayın Bitcoin'in en eski ideallerinden biri açısından bir dönüm noktası olabileceğini savundu. Yöneticiye göre gelecekte 8 milyar insanın Bitcoin'ini soğuk cüzdanda saklayacağına inananlar için bu olay son derece yıkıcı. Bazı önde gelen Bitcoin savunucuları da olayı, sektörün yaşadığı en zarar verici öz saklama başarısızlıklarından biri olarak niteliyor. Bitcoin yorumcusu Guy Swann, bunun bir borsanın sıcak cüzdan anahtarları yüzünden saldırıya uğraması olmadığını, binlerce kişinin özel anahtarlarının ellerinden yeniden üretildiğini ve bunun Bitcoin tarihinde en bilgili ve en iyi korunduğu düşünülen kullanıcılara yönelik en ağır darbe olduğunu söyledi.