Coldcard Donanımsal Cüzdan Hatası, 130 Milyon Dolarlık Bitcoin Kaybına Neden Oldu

Bu hafta iki tür bitcoin sahibi var: her sabah fiyatı kontrol edenler ve her sabah coinlerinin hâlâ orada olup olmadığını kontrol edenler. Nedeni Coldcard — ve bu, en saygın donanımsal cüzdanın otomatik olarak en güvenlisi olmadığını gösteren şimdiye kadarki en rahatsız edici kanıt.

31 Temmuz 2026'dan beri, sürekli sayım sonuçlarına göre, 5.200'den fazla adresten çekilen bitcoin kayıpları 116 milyon doları aştı; bazı hesaplamalar yaklaşık 130 milyon dolara ulaşıyor. Mağdurlar, bir phishing bağlantısına tıklayan kişiler değil. Her şeyi doğru yapan kişiler: ofline, soğuk depolama, çelikte basılmış seed, asla fotoğrafı çekilmemiş.

Bu makale üç şeyi kapsıyor: hâlâ vicdanla satın alabileceğiniz üretici, deneyim geçmişinin her teknik spec'ten daha önemli olması ve şu anda tasarruf planınızı durdurmanın tam olarak yanlış bir an olması.

Kanadalı şirket Coinkite tarafından üretilen Coldcard, yıllardır ileri düzey kullanıcılar için yalnızca bitcoin destekli bir cüzdan oldu. Mart 2021'den beri gönderilen 4.0.0 firmware sürümünde, cihaz bir anahtar cümle oluştururken kendi özel donanım rastgelelik çipini atlayıp yerine öngörülebilir bir yazılım alternatifini kullandı. Beş yıl boyunca. Bu süre içinde cihazda bir anahtar cümle oluşturan herkes, yeniden hesaplanabilir bir dizi aldı — kusuru bilen herkesin anahtarını dosyalayabileceği bir kilit.

Gerisi hesaplanır. 31 Temmuz'da, yaklaşık 594 BTC, 25 dakikalık bir sürede yaklaşık 500 cüzdanı boşalttı. 2 Ağustos'a kadar kayıplar yaklaşık 1.367 BTC'ye ulaştı. 3 Ağustos'ta yapılan dördüncü bir işlem, ek olarak 449 BTC daha aldı. Çekirdek oluşturulurken yüklenen firmware'e bağlı olarak, Mk2, Mk3, Mk4, Mk5 ve Q modellerinin hepsi etkilenebilir.

Olayların sırası önemlidir: cihaz hacklenmedi. Anahtarınızı üreten rastgelelik hacklendi. Daha sonraki bir firmware güncellemesi, zaten var olan bir tohumu onarmaz. Etkilenen herkes bir yeni tohum oluşturmalı ve tüm varlıklarını taşımalıdır.

Zaman çizelgesini ve teknik analizi burada detaylıca ele aldık: 594 BTC 25 dakikada kayboldu — Coldcard hatası açıklanıyor ve dördüncü toplama.

Piyasadaki her donanımsal cüzdan, aynı kelimeleri — güvenli eleman, açık kaynak, hava boşluğu, PIN, şifre cümlesi — pazarlıyor. Bu özellikler karşılaştırılabilir ve neredeyse tüm üreticiler bunları listeliyor. Bir üreticinin, bir sorun yaşandığında yıllar boyunca nasıl davrandığı ise bir teknik spec sayfasında yazılamaz.

Bu haftadan sonra önemli olan kriter budur. Bu temelde, piyasa şöyle görünüyor:

Coinkite (Coldcard)

Mükemmel teknik itibar, yalnızca bitcoin, çok güçlü bir topluluk. Beş yıl boyunca fark edilmeyen bir anahtar oluşturma hatası — geriye dönük olarak düzeltilmesi mümkün olmayan en kötü kategori hatası. Şirket, fonları yeni oluşturulan cüzdanlara taşımak için düzeltilmiş firmware ve talimatlar sundu. Yeni alıcılar için şu anda mantıklı pozisyon, bağımsız olay sonrası incelemesi tamamlanana kadar beklemektir.

Ledger

Fransız pazar lideri en uzun olay listesine sahip — ancak argümanda neredeyse her zaman kaybolan önemli bir koşul ile: bu olayların hiçbiri donanımın kendisinin bütünlüğünü bozmamıştır. Kayıt:

• Temmuz 2020: Bir milyondan fazla müşteri kaydını ortaya çıkaran bir e-ticaret veri sızıntısı — hala günümüze kadar phishing mektupları ve sahte "değişim cihazları" için ham madde olarak kullanılıyor.
• May 2023: Ledger Recover tartışması. Seed'i şifrelenmiş parçalara bölmek yeteneği, birçok alıcının satın aldığını düşündüğü vaadiyle çelişiyordu.
• Aralık 2023: Connect Kit istismarı. Zararlı kod, eski bir çalışanın phishlenen npm hesabı aracılığıyla dapp'lere enjekte edildi; yaklaşık 484.000 dolar, cüzdan sahiplerinden değil, dapp kullanıcılarından çekildi.
• Ocak 2026: müşteri verileri tekrar, bu sefer e-ticaret ortağı Global-e aracılığıyla.

Bir Ledger kullanıcısı, donanım yazılımı kusuru nedeniyle fonlarını kaybetme riski altında değildir. Kullanıcının teslimat adresi 2020'den beri dolaşımda olduğu için, çok iyi hazırlanmış bir phishing kampanyasına maruz kalma riski altındadır.

Tangem

Tangem, ters tasarım ve bugünün bakış açısıyla en ilginç olanıdır. Tangem, ekran ve kablo ile bir cihaz yerine kartlar kullanır. Anahtar, Common Criteria EAL6+ sertifikalı bir güvenli eleman içinde oluşturulur ve karttan asla ayrılmaz. Pil yoktur, cihaz içi firmware güncellemesi yoktur, USB portu yoktur — ve bu nedenle çok daha küçük bir saldırı yüzeyi vardır. Yedekleme, bir kağıt parçası değil, iki veya üç eşleştirilmiş karttan oluşur.

Geçmiş: Kudelski Security (2018), Riscure (2023) ve Cure53 (2026) tarafından yapılan bağımsız denetimler, hiçbirinde bir zafiyet bulunamadı. Milyonlarca kartın gönderilmesi sürecinde, sistemli bir comprimizasyon bilinmiyor. Bu bir garanti değil — ancak bu tür sıkıcı, kontrol edilebilir bir geçmiş, bu tür bir haftadan sonra herhangi bir özellikten daha değerlidir.

Açıklama: CryptoTicker, burada adı geçen bazı sağlayıcılarla ortaklık programları yürütür. Yukarıdaki değerlendirme, ticari ilişkiden ziyade kamuoyuna açık olay kaydına dayanır. Görüşümüz bu ilişkiden farklı olduğunda — Coldcard ve Ledger gibi — bunu belirtiyoruz.

Tam karşılaştırma, fiyatlar, desteklenen coinler ve puanlar, donanımsal cüzdan karşılaştırması sayfamızda yer alıyor.

Kural 1: Özelliklere değil, geçmişe dayanarak satın alın

Cüzdan siparişi vermeden önce üreticinin adını “olay”, “veri sızıntısı” veya “güvenlik açığı” terimleriyle birlikte arayın. Sıfır sonuç aramıyorsunuz — her ciddi üreticinin bazı sonuçları vardır. Aradığınız şey yanıttır: Bildirim ne kadar hızlı yapıldı? Tam mıydı? Bağımsız bir denetim mi yayınlandı? Kendi hatalarını kamuoyunda açıklayan bir üretici, sadece kaydı boş görünen bir üreticiden daha güvenlidir.

Kural 2: Tek bir rastgelelik kaynağına asla güvenmeyin

Coldcard boşluğu, rastgelelik boşluğuydu. Entropiyi tamamen cihaza bırakmak istemiyorsanız, iki sağlam yol vardır: zar atımlarından bir seed oluşturun (birçok cihaz tarafından desteklenir) veya iki farklı üreticiden cihazlar kullanarak çok imzalı bir yapı kurun. İki markayı kapsayan 2-of-3 çok imzalı yapıda, bir üretici genelindeki firmware hatası tam bir kayıp yerine bir rahatsızlığa dönüşür.

Kural 3: Umudunuzla değil, varlıklarınızı aktif olarak kontrol edin

Soğuk cihazlar, yıllarca uzak durmanızı önerir. Her üç ayda bir bir randevu ayarlayın: Bakiyelerinizi bir blok explorer üzerinden kontrol edin (genel adres yeterlidir — asla seed'inizi hiçbir yere girmeyin), satıcının firmware değişiklik günlüğünü okuyun ve yedek konumunuzu doğrulayın. Yılda dört kez, on beş dakika.

Bitcoin, 5 Ağustos 2026 tarihinde yaklaşık 64.100 dolar seviyesinde işlem görüyor. Haber akışı karanlık: bir donanım cüzdan felaketi, Temmuz ayında iki Perp DEX boşaltıldı, ilk ABD spot ETF kapandı. Tipik tepki, Savings planını durdurmak — "bu durum biraz settle olana kadar".

Yıllar boyunca ortalama giriş fiyatınızı düşüren tam olarak bu hamle. Bir tasarruf planı bir piyasa aracı değildir; kendi ruh halinize karşı bir araçtır. Tüm değeri, kapamak istediğiniz tam olarak aylarda oluşturulur. 2022'de duran herkes, döngünün en ucuz kısmını kaçırdı ve 2024 yazında çok daha yüksek fiyatlarda yeniden başladı.

Kurtarma planı için seçtiğimiz: Coinbase — ancak kurtarma planı düğmesi aracılığıyla değil

Coinbase, şu anda Avrupa yatırımcıları için açık seçeneğidir. Haziran 2026'dan beri Avrupa işleri, önceki ulusal izinlerini (Almanya dahil) tek bir çatı altında toplayan Lüksemburg merkezli bir MiCA lisansı ile çalışmaktadır. 1 Temmuz 2026'da son MiCA geçiş dönemi sona erdiğinden bu, Avrupa pazarında kalan bir borsa ile ayrılan bir borsa arasındaki farktır. Temiz SEPA hatları, yerel dil desteği ve yaygın araçların gerçekten okuyabildiği bir vergi dışa aktarma özelliği ekleyin.

Ve şimdi sağlayıcılar kendileri vurgulamayı tercih etmediği kısım: konforlu tekrarlı satın alma düğmesi, Coinbase'te satın almanın en pahalı yolu.

Aylık 200 €, yaklaşık yıllık 60 € — portföyünüzde aynı sonucu elde etmek için. Bu iki işlemi birleştiren iş akışı: Coinbase hesabınıza düzenli SEPA transferi, ayda bir kez iki dakikalık Coinbase Advanced limit emri, ardından kendi cüzdanınıza çekme. Bir tasarruf planının kolaylığı, satın alma düğmesinde değil, düzenli emirde yer alır.

Sağlayıcıları yan yana koymak için — ücretler, minimum taksit, yürütme sıklığı, çekim maliyetleri — bitcoin satın alma rehberimizi inceleyin. Ve MiCA sonrası Avrupa'da hâlâ düzenlemeler altında faaliyet gösteren borsalar için: düzenlenmiş kripto borsaları karşılaştırması.

1. Mar 2021'ten sonra cihazda oluşturulan bir seed ile Coldcard kullanıyorsanız, hemen düzeltilmiş firmware üzerinde veya başka bir üreticinin cihazında yeni bir cüzdan oluşturun ve tüm varlıkları taşıyın. Test işlemi beklemeyin — hata kamuoyuna açık ve adresler de öyle.
2. Olay geçmişi ve tepki davranışına göre üretici seçin, özellik listesine göre değil.
3. Yedeklemeyi bir set olarak düşünün. İki konum, farklı binalar. Kart cüzdanlarla: ikinci kart aynı çekmecede olmamalı.
4. Kazanç planını kurun — duran SEPA emri artı aylık bir limit emri, altı aylık kötü bir dönemde zarara uğramayacak bir miktarla.
5. Denge kontrolleri ve donanım güncellemeleri için takvimde üç aylık bir hatırlatma ekleyin.

Coldcard olayı, kendi sorumluluğunda saklamanın yanlış olduğunu kanıtlamadı. Bunun yerine, kendi sorumluluğunda saklamak, bir üretici seçmek anlamına gelir — ve bu seçim, topluluk itibarından ziyade belgelenmiş geçmişe dayanmalıdır. Bu hafta iki şey yapın ve başladığınızdan daha iyi bir konumda bitirin: saklama sağlayıcınızı geçmiş performansına göre değiştirin veya onaylayın, ve haberler ne olursa olsun tasarruf planını çalışır durumda tutun. Bu sırayla.

(5 Ağustos 2026 itibarıyla. Bu makale yatırım tavsiyesi değildir. Fiyatlar ve ücret modelleri değişebilir — her satın almadan önce sağlayıcıyla geçerli şartları kontrol edin.)