Coldcard kullanıcıları, organize çalıntıların dördüncü dalgasıyla karşı karşıya kalıyor ve sayılar artık yuvarlama hataları değil. Galaxy Research'in Araştırma Direktörü Alex Thorn, 462 mağdur adresden sadece 14 blok arasında (960.778 ile 960.792 arasında) yaklaşık 388,9 BTC sızdıran yeni bir kötü niyetli faaliyet dalgasını işaret etti. Saldırı, bitcoinleri daha önce görülmemiş 216 hedefe yönlendiren 218 işlem üretti. İşlem hacmi, olay öncesi temel seviyeye göre yaklaşık 45 katına çıktı ve bunun kasıtlı, yapılandırılmış bir operasyon olduğu konusunda hiçbir şüphe bırakmadı.
Uyarı, orijinal rapor aracılığıyla geldi ve bu rapor, çalınan fonların bazılarının zaten ikinci bağlantı adreslerine kadar izlendiğini de belirtiyor. Benzer işlemler hâlâ mempool'da bekliyor ve temizleme işleminin tamamlanmadığını gösteriyor. On-chain aktivitenin doğrulanması, Değiştir-ile-Ücret (RBF) için sinyal verilen bir opt-in olduğunu gösteriyor; bu detay, hızlı harekete geçen mağdurlar için dar bir kaçış yolu sunabilir.
En Son Saldırı Dalgası
Bu dalga, fırsatçı hırsızlıktan hız ve koordinasyonla ayrılıyor. 462 adres, dar bir zaman diliminde hedef alındı ve çıkışlar daha önce kullanılmamış varlıklara yönlendirildi. Bu desen—yeni adresler, yüksek hızda birleştirme ve normalin çok üzerindeki hacim—el ile gerçekleştirilen bir eylemden ziyade önceden planlanmış betikleri gösteriyor. Hırsızlık, birçok kullanıcının işlemlerini izlemeyebileceği bir hafta sonu gerçekleşti. Galaxy Research, bazı fonların zaten ikinci basamak cüzdanlara aktarıldığını belirtti; bu da takip ve izleme çabalarını zorlaştırdı ve acil müdahale olmadan geri kazanımın olasılığını düşürdü.
RBF bayrağı bir kurtarıcı sunar, ancak yalnızca işlemler hâlâ değiştirilebilirken saldırıyı fark edenler için. Düşük ücretle yayınlanmamış, onaylanmamış çıkışı olan işlemlere sahip kullanıcılar, rekabet eden bir işlemi güvenli bir adrese hızlandırabilir. Bu çok dar bir pencere ve teknik farkındalık gerektirir. Çoğu mağdur için para zaten kaybolmuştur.
Düzenli Hırsızlık Deseni
Bu, Coldcard sahipleri için ilk yolculuk değil. Galaxy Research'e göre, daha önceki dalgalar, Coldcard tarafından oluşturulan adresleri hedef alan üç ayrı saldırı kampanyasını tespit etti. Bu dalgalar birikimli olarak 4.585 adresten 1.367,05 BTC'yi boşalttı—bu miktar, hırsızlıkların gerçekleştiği anda yaklaşık 88,6 milyon dolar değerindeydi. Daha önceki olaylar, Coldcard'ın etkilenen cihazlarda oluşturulan tohumlardan özel anahtarların çıkarılmasına izin veren bir donanım zafiyetini kabul etmesine neden oldu.
Donanım üreticisi, zafiyetli firmware'e sahip tüm COLDCARD cihazlarının sevkiyatını durdurdu ve tüm kalan cihazları imha etti. Satscard, Opendime ve Tapsigner ürünlerleri etkilenmedi. Coldcard, yeni oluşturulan tohumları koruyan bir firmware güncellemesi yayınladı, ancak bu düzeltme geriye dönük değildir. Zafiyetli firmware üzerinde oluşturulan herhangi bir tohum hâlâ tehlikededir. Şirketin önerisi açık: yeni tohumu düzeltilmiş firmware üzerinde oluşturun ve tüm fonları eski tohumlardan hemen taşıyın. Dördüncü dalga, birçok kullanıcının bunu henüz yapmadığını gösteriyor ve saldırganlar bu inersiyayı sistematik olarak istismar ediyor.
Coldcard’ın Yanıtı ve Kullanıcı Rehberi
Coldcard’ın gönderimleri durdurma ve envanteri imha etme kararı, diğer donanım sağlayıcıların nadiren kamuoyuna duyurduğu kararlı ve gerekli bir adımdı. Bu, zafiyetin teorik bir uç durum olmadığını gösterdi. Ancak düzeltme yazılımının dağıtımı, kendi cüzdanınızı saklama sürecindeki zorlukları ortaya koydu. Kullanıcılar yeni bir anahtar cümle oluşturmak zorunda kalır, bu da cüzdan adreslerinin tamamen değiştirilmesini ve sıklıkla bağlı yazılım cüzdanlarını, çok imzalı yapıları ve yedekleme prosedürlerini güncellemeyi gerektirir. Bu geçiş kolay bir işlem değildir ve devam eden saldırı dalgaları, gecikeni cezalandırıyor.
Zararlı firmware'den kaynaklanan bir tohumda hâlâ fon tutanlar için Galaxy Research'in tavsiyesi acil: Fonları hemen Coldcard cihazlarından çıkarın, işlemlerin hızlıca işlemesini sağlamak için genelden daha yüksek ücretler kullanın ve cüzdanınız RBF'yi destekliyorsa bunu kullanın. Dördüncü dalga sırasında adreslerden yapılan para çekmeler, saldırganların ağı kalan bakiyeler için aktif olarak izlediğini göstermektedir.
Kendi Cüzdanınıza Sahip Olmanın Daha Geniş Etkileri
Coldcard epizodu, bir donanım hatasından daha fazlasıdır—kendi kendine saklama içine gömülmüş tedarik zinciri ve yaşam döngüsü risklerini ortaya çıkarır. Kullanıcılar, üreticiden gelen firmware'e güvenir ve hatta açık kaynaklı doğrulama süreçleri bile atlanabilir. Bir tohum üretme hatası aylarca fark edilmeden kalırsa, ardından gelen temizlik işlemi karmaşık ve yavaş olur. Dört ayrı saldırı dalgasının, her biri aylarca arayla gerçekleşebilmesi, saldırganın sabırlı olduğunu ve muhtemelen zayıf rastgelelik döneminden elde edilen bir veri setinden tohumları adreslere eşleştirmek için güvenilir bir yöntem sunduğunu gösterir.
Hâlâ belirsiz olan, saldırganın tüm kompromisyonu uğrayan seed listesini mi yoksa sadece bir alt kümesini mi tuttuğu ve Coldcard’ın açıklamadığı daha önceki firmware sürümlerinde ek zafiyetlerin bulunup bulunmadığıdır. Saldırıların sürekli olması, listenin büyük olabileceğini ve bu dalgadaki 462 adresin yalnızca en son grup olduğunu göstermektedir. Eğer saldırgan sistematik olarak taraymaya devam ederse, toplam kayıplar daha da artabilir. Daha geniş donanımsal cüzdan pazarı için, bu olay, firmware denetimlerinin ve şeffaf zafiyet raporlamasının isteğe bağlı olmadığını, ürünün güvenlik vaadinin temelini oluşturduğunu hatırlatmaktadır.