Coldcard Saldırısı, 4 Dalga Halinde 114 Milyon Doları Boşaltır, Kullanıcılar Yaşamlarının Birikimlerini Kaybeder

Jonathan Goodman, 18,25 BTC'sini hiç bir zaman internete bağlanmamış bir Coldcard cihazında, bir güvenlik kutusunda saklıyordu. 29 Temmuz'da saat 21:36 ile 21:43 arasında, sahip olduğu tüm cüzdanlar boşaltıldı — yaklaşık 1,6 milyon Kanada doları, yedi dakikada kayboldu.

“Belki de bunun en zor kısmı, her şeyi doğru yaptığım oldu,” diye yazdı Kanadalı girişimci X'te, bu gönderi 7,6 milyon görüntülenme aldı. “Anahtar cümlemi hiç kimseyle paylaşmadım. Cihazlarım asla internete bağlanmadı. Her şey birden fazla güvenli kasa ve emniyetli depolama kutusunda tutuldu. Bunların hiçbiri önemli olmadı.”

Goodman'ın hesabı, Coldcard istilası 30 Temmuz'da ortaya beri X ve Bitcoin subreddit'ini dolduran düzinelerce hesaptan biri ve hepsi aynı tekrarı paylaşıyor: mağdurlar kendi kendine güvenlik rehberini takip ettiler. Güvenilir bir üreticiden donanımsal bir cüzdan satın aldıkları, anahtar cümleleri çevrimdışı oluşturdukları, yedekleri çelik üzerine bastırdıkları ve asla bir anahtar cümleyi bağlı bir cihaza yazmadıkları.

Coldcard tarafından oluşturulan tohumların tahmin edilebilir hale getiren bir donanım hatası, bunların tümünü geçersiz kıldı — saldırganlar, dört dalgalık koordine edilmiş toplu işlemler boyunca 5.200'den fazla adresten yaklaşık 1.816 BTC (yaklaşık 114 milyon dolar değerinde) ele geçirdi.

Goodman, olaydan günler sonra köy evinde hakerlikten haberdar oldu ve bakiyelerini kontrol etti, ancak hiçbir şey beklemiyordu. "Hemen kırmızı satır olarak görüldü — çekimler — ve anladım," yazdı. Polis raporu ve Ontario Menkul Kıymetler Komisyonu'na rapor veriyor, ancak hiçbir şey geri almayı beklemiyor.

Hata, saldırganların özel anahtarları yeniden üretmesine izin verdiği için etkilenen kullanıcılar sadece geçmişteki bir hırsızlığın kurbanı değil, saldırganlar onlara ulaşmadan önce kripto paralarını taşımak için gerçek zamanlı bir yarış içinde. Bazıları bu yarışı saatlerle kaybetti.

Tim Lamb, salı günü hırsızlık haberi yayıldığında ailesiyle tatildeydi. Coldcard Mk3 ve tohum plakası evde saklıydı. "Komşuma, ev anahtarına sahip olan kişiye, tohumu bulmam için yardım etmesini istemeye kadar Cumartesi akşamına kadar bu fikri aklıma getirmedim," diye X'te yazdı. Pazar sabahı, komşu plakayı bulduğunda ve Lamb cüzdanı geri yüklediğinde, bakiye sıfır olarak gösteriliyordu. 2 BTC, Cumartesi öğleden sonra boşaltılmıştı.

"Bu 2 bitcoin, iki çocuğuma hayatta iyi bir başlangıç sunmak için verilmek üzereydi. Düşünmek beni ağlatıyor," diye yazdı Lamb ve ekledi: "@Coinkite, adil bir şey olsaydı, paranızı bize iade etmek zorunda kalırdınız."

Pseudonim bir Bitcoiner olan Marius Off Chain dedi ki, cihazına erişimi olmayan bir arkadaşı Pazar sabahı Mk2'sinin boşaltıldığını, fonların 890 diğer girdiyle birleştirilip 64 BTC tutan tek bir adrese aktarıldığını.

Karmaşık durum, Bitcoin Core geliştiricisi Luke Dashjr'dan korkutucu bir tavsiye üretti, yazdığına göre: "Bu bir trajediyi. Coldcard'ınıza erişemiyorsanız, erişebilen birini bulun. Hayatınızın tasarruflarını onlara güvenmeseniz bile, en kötü senaryoda en azından kimin aldığını bileceksiniz!"

Reddit'deki hikayeler doğrudan aktarılıyor. "Bitcoin alt topluluğu şu anda tamamen kalp kırıcı. Çok sayıda kişi mahvolmuş," yazdı takma adı Zynx olan yatırımcı, 3,6 milyon kez görüntülenen bir gönderide.

“8 yıl boyunca biriktirdim, kayboldu. Artık ilerlemeye zamanı geldi” başlıklı, yaygın olarak paylaşılan r/Bitcoin gönderisinde DuckDuckMoss adlı bir kullanıcı, enflasyonla savaşmak için 2 BTC biriktirdiğini anlattı. “39 yaşındayım ve 50 yaşımın öncesinde iyi bir mali yedek sahibi olmayı umuyordum. Ama bugün, 2 BTC’lik birikimim boşaltıldı,” yazdı. “Cold Card’ın en iyi ve en güvenli cüzdanlardan biri olarak her zaman övülmesi nedeniyle güvenli olduğumu düşündüm.” Gönderi, şöyle bir reddiyle sona eriyor: “Bitcoin’le bitti. Hâlâ inandığını bile emin değilim. Belki de onlar açıldığında her şeyi bir Bitcoin ETF’ye çevirmeliydim.”

Başka bir kullanıcı, Schtuff olarak gönderi yaparak, 2015'ten beri tasarruf yaptığını ve tohumunu bir çelik plakaya bastırdığını söyledi. "Bugün yaşamımın tasarrufu benden alındı. Ne yapacağımı bilmiyorum, kayboldum."

Koinlerini kaydeden kullanıcılar için bu bölüm, onların koinleri nasıl tuttuklarını yeniden şekillendiriyor — sıklıkla kendi kontrol altında tutma inancına aykırı yollarla. Coldcard Mk4'ünde emeklilik tasarruflarını tutan ACEIN adlı bir kullanıcı, tanımladı bir konferans için şehir dışında kaldığında, BlueWallet — bir mobil sıcak cüzdan — indirip, 12 kelimelik tohumu içe aktararak, bir test işleminden sonra tüm koinleri Coinbase'e gönderdi. Sonraki adım, çok imzalı bir yapı, Block'ın Bitkey'i veya bitcoin'i BlackRock'ın IBIT ETF'si için satmak arasında bir seçim. "Hâlâ karar veremedim."

Calle, Cashu e-nakit protokolünün pseudonim geliştiricisi, bu zafiyeti "önceki herhangi bir bitcoin borsası hainliğinden daha kötü" olarak adlandırdı ve birçok etkilenen kullanıcının olayı yanıtlamak için zamanında öğrenemeyeceğini yazdı. "Etkilenen herkes için gerçekten üzüntü duyuyorum, özellikle yaşam tasarruflarını kaybedebilenler için. En kötü tarafı, bunları yapanların her şeyi doğru yaptıkları."

Coldcard maker Coinkite, her model için düzeltilmiş firmware yayınladı, sevkiyatları durdurdu ve etkilenen firmware'li kalan envanteri imha etti. CEO Rodolfo Novak, NVK olarak bilinen, bir açık mektupta "Üzgünüm ve çöküntüdeyim. Ekibim, dünki habere çok şok oldu" yazdı ve Coldcard üzerinde bir seed oluşturmuş herkese hemen fonlarını taşımalarını önerdi.

Mektup, Lamb'ın gibi gönderilerin üzerinde asılı kalan soruyu ele almadı: Coinkite, coin'leri zaten kaybolan kullanıcıları tazmin edecek mi.