Hatta hava ile izole edilmiş donanımsal cüzdanlar da九 rakamlı kayıplardan kaçamıyor. Bir Coldcard cihazıyla ilişkili bir istismarın $120 milyonu boşalttığı orijinal rapor belirtiyor ve hemen ardından oluşan zincir reaksiyonu Bitcoin’in işlem kuyruğunu ciddi şekilde etkiledi. Zaten ağ stresinin güvenilir bir göstergesi olan bellek havuzu, bilinmeyen aktörlerin hızlı bir şekilde bir dizi transfer yayınlamasıyla şişti; bu muhtemelen fon akışlarını gizlemek veya bekleyen birleştirme işlemlerini önceden işlemek amacıyla yapıldı.
Blockchain verileri, dakikalar içinde onaylanmamış işlem sayılarının tipik hafta içi ortalamalarının çok üstüne çıktığını gösterdi. Ücret oranları da bunu takip etti; bazı kullanıcılar, hatta orta öncelikli işlemlerin bir sonraki blokta alınması için vbyte başına birkaç dolarlık sats gerektirdiğini bildirdi. Erken Asya saatlerinde fon transferi yapmaya veya pozisyonları yeniden dengelemeye çalışan herkes için, yoğunluk rutin transferleri maliyetli bir bekleme haline getirdi. Ani hacim artışı ayırt etmedi: CoinJoin turu, over-the-counter ödeme toplu işlemleri ve sıradan cüzdan gönderimleri tümü dalganın arkasında takılı kaldı.
Bellek Havuzu Bozulması
Mekanizma basit ancak ölçek olağan dışıydı. Bitcoin’in mempool’u normal koşullarda her blokta yaklaşık 1–1,3 megabayt işlem verisi işliyor. Yüzlerce işlem ani olarak geldiğinde—özellikle tipikten daha yüksek ücretler taşıdığı zaman—mevcut blok alanını hızla tüketebiliyor. İzleyiciler, iki blok aralığı içinde mempool’un 200 megabayttan fazla büyüdüğünü, bu seviyenin bilinçli stres testleri veya borsa sıcak cüzdan acil durumları dışında nadiren görüldüğünü gözlemledi.
Madencieler, kendi kısmında geçici olarak fayda sağladı. Ücretlerdeki sıçrama, birkaç ardışık blok boyunca blok ödüllerini sübvansiyondan belirgin şekilde aşarak, diğer SHA-256 zincirlerinden Bitcoin'e hash oranı yeniden dağılımını hızlandıran bir desen oluşturdu. Ancak daha geniş ağ etkisi, Bitcoin’in temel katman verimliliğinin değişmediğinin keskin bir hatırıltısı oldu. Likidite olayları, sınırlı blok alanıyla çakıştığında, kullanıcılar onay gecikmeleri ve daha yüksek maliyetlerle maliyeti öder.
Donanım Cüzdanı Üzerindeki Güven Sorgulanıyor
Coldcard, uzun süredir bitcoin maksimalistlerinin donanımsal cüzdanı olarak pazarlandı—hava ile izole, açık kaynak firmware ve uzaktan saldırılarla mücadele etmek üzere özel olarak tasarlandı. Dokuz haneli bir kayıp, en azından kısa vadeli olarak bu aura yıktı. Kesin bulaşma yolu henüz doğrulanmamış olsa da, çalınan miktarın büyüklüğü, hatta özel imzalama cihazlarının nasıl kırılabileceğini tamamen yeniden değerlendirmeye zorlayacak. Geçmişteki donanımsal cüzdan saldırıları genellikle phishing, tedarik zinciri manipülasyonu veya kullanıcıları zararlı firmware güncellemelerini onaylamaya ikna eden sosyal mühendislik yöntemlerini içeriyordu. Bu olay ise henüz net bir senaryoya uymuyor.
Zamanlamak daha hassas olamazdı. Bitcoin geliştirici topluluğu, blok zincirleri arasında en aktifler arasında sürekli olarak sıralanan, çok imzalı standartları güçlendirmeye veya donanımsal cüzdanların firmware bütünlüğünü doğrulama yöntemlerini iyileştirmeye yönelik acil çağrılarla karşı karşıya kalabilir. Tek bir tedarikçinin donanımına dayalı saklama protokolleri aniden daha sert bir ışık altında kalıyor. Bu olay, hava boşluğu doğrulama, tekrarlanabilir derlemeler ve bir donanımsal cüzdanın işlemleri başlatan eşlik eder masaüstü uygulamasına tamamen güvenip güvenmemesi konularındaki tartışmaları hızlandıracaktır.
Soruya cevaplanmayan kısım, saldırganın imza anahtarlarını nasıl elde ettiğidir. 120 milyon dolarlık bir birikim, karmaşık bir varlık veya uzun süreli istihbarat işareti sunar. Saldırganın aceleci davranmışsa, fonlar blok zinciri üzerinde izlenebilir; ancak CoinJoin tarzı karıştırma işlemlerini gizlemek için bilinçli olarak ağ yoğunluğunu kullandıysa, kurtarma penceresi hızla daralır. Yasal uygulama kurumları son yıllarda blok zinciri izleme yeteneklerini geliştirmiş olsa da, iyi planlanmış bir yoğunluk saldırcıya kritik gizleme saatleri kazandırmaya devam edebilir.
Düzenleyici sonuçlar yaklaşıyor
Olay, uzun süredir kendi cüzdan tutmanın sistemik zayıflıklar yarattığını savunan düzenleyicilere silah sağlıyor. Tam olarak Washington, bankaların zaten yasayı yeniden şekillendirmek için harekete geçtiği dönemde, yüksek profilli bir donanımsal cüzdan patlaması, cüzdan üreticilerine daha katı standartlar getirme yönünde görüşleri etkileyebilir. Donanımsal cüzdan riskini hafife alan Kongre yardımcıları şimdi bu konunun kırmızı dosyalarla masalarına geldiğini bulabilirler.
Günlük bitcoin kullanıcıları için pratik ders açık: Anahtar üretimi, firmware güncellemeleri veya harcama iş akışları denetlenmeden kalabalık bir donanım cüzdan bile tek bir başarısızlık noktası haline gelebilir. Farklı tedarikçiler arasında güveni dağıtan çok imzalı yapılar, cihaz ekranında alıcı adreslerinin manuel olarak doğrulanmasıyla birlikte en dayanıklı savunma yöntemidir. Piyasanın sonraki hamlesi, muhtemelen rekabet eden tedarikçiler üzerinde yeni bir güvenlik denetimi dalgası olacak—ve muhtemelen daha yüksek uyumluluk standartlarını zaten karşılayan kurumsal seviye koruma çözümlerine yönelik kısa vadeli bir koşu olacak.