Coldcard Çekirdek Oluşturma Hatası, 2026 Yılındaki Cüzdan Taramasında 594 BTC'yi Maruz Bırakıyor

Bir donanım cüzdan güvenliği sorunu, bazı eski cihaz versiyonlarında seed üretimi üzerinde etki yaratan bir firmware hatası nedeniyle Bitcoin donanım cüzdan güvenliğini tekrar odak noktası haline getirdi.

Doğrulanmış olay notlarına göre, sorun, Coldcard Mk3 firmware sürümleri 4.0.1 ile 5.0.3 arasında, firmware 5.6.0 öncesi Mk4 ve Mk5 cihazları ile 1.5.0Q öncesi Q cihazları ile ilgilidir. Temel sorun, donanım rastgele sayı üreticisinin tahmin edilebilir bir yazılım alternatifiyle değiştirilmesi sonucu oluşan bir tohum üretme zayıflığıdır ve bu da entropiyi planlanan 128 bitten 72 bite düşürmüştür.

Bu bir teknik detaydır, ancak son derece önemlidir. Bir Bitcoin cüzdanı, arkasındaki anahtar cümle kadar güvendir. Anahtar üretimi, bir saldırganın arama alanını daraltacak kadar öngörülebilir hale gelirse, kullanıcı anahtar cümlesini hiç paylaşmasa, bir phishing bağlantısına tıklamasa veya özel anahtarını açığa çıkarmasa bile cüzdan güvensiz hale gelebilir.

Rapor edilen hareket, 30 ve 31 Temmuz 2026 tarihlerinde yaklaşık 500 tek imzalı cüzdan'dan 594 BTC içeriyordu.

Daha fazla bilgi için resmi Blog platformunu ziyaret edin.

• Bir Coldcard tohum oluşturma zafiyeti, belirli eski firmware/cihaz sürümlerini etkiledi.
• Raporlar, yaklaşık 500 tek imzalı cüzdanlardan yaklaşık 594 BTC'nin taşındığını gösteriyor.
• BIP-39 şifre cümlesi veya yeterli zar atışlarıyla oluşturulan tohumlar, doğrulanmış notlar altında risk altında kabul edilmez.

Bitcoin güvenliği bazen karmaşık gibi görünebilir, ancak çekirdek düzeyinde ilke basittir: rastgelelik cüzdanı korur.

Bir anahtar cümle tahmin edilebilir olmamalıdır. Olası geçerli anahtar kelimelerin sayısı o kadar büyüktür ki, bunları brute force yöntemiyle bulmak neredeyse imkânsızdır. Bu varsayım, uygun entropiye dayanır. Eğer anahtar kelimeyi oluşturmak için kullanılan rastgele süreç zayıflatılırsa, saldırganın işi imkânsızdan potansiyel olarak gerçekleştirilebilir hale gelir.

Bu yüzden bu hikaye normal bir donanım güncellemesi hatasından daha ciddidir.

Bir görüntüleme sorunu kullanıcıları kafa karıştırabilir. Bir imzalama hatası işlem riski yaratabilir. Ancak bir seed üretimi kusuru, cüzdanın temeline doğrudan dokunur.

Eğer cüzdan tohumu zayıf rastgelelik altında oluşturulduysa, kullanıcı daha sonra mükemmel davranmış olsa bile maruz kalabilir.

Önemli uyarı şu ki, bu her Coldcard cihazının şu anda güvenli olmadığını anlamına gelmez.

Doğrulama notları, etkilenen setin belirli firmware ve cihaz sürümleriyle ilişkili olduğunu göstermektedir. Düzeltme yapılmış firmware sürümleri de referans alınmıştır; bunlar arasında Mk4 ve Mk5 cihazlar için 5.6.0 ve Q cihazlar için 1.5.0Q bulunmaktadır.

Başka bir önemli ayrım var: BIP-39 şifre cümlesi veya en az 50 zar atışı ile oluşturulan tohumlar, olay notları altında risk altında kabul edilmez.

Bu, kullanıcıların cüzdanları farklı yollarla oluşturmuş olabileceğinden önemlidir. Etkilenen firmware altında tamamen cihaz tarafından oluşturulan bir seed, zar tabanlı entropi veya bir parola ifadesiyle güçlendirilmiş bir seed'ten farklı bir risk profiline sahip olabilir.

Kullanıcılar için pratik soru “Bir Coldcard sahibiyim mi?” değil, “Hangi cihaz ve firmware benim seed’imi oluşturdu ve bu seed nasıl oluşturuldu?”dır.

Bu çok daha dar ve daha faydalı bir soru.

Sürpriz, yaklaşık 500 tek imzalı cüzdan üzerine odaklandı.

Bunu bir saldırganın bakış açısından anlamak mantıklı. Tek imzalı bir yapıda, bir tohum tüm fonları kontrol eder. Eğer bu tohum türetilebilir veya tahmin edilebilirse, ikinci onay katmanı yoktur.

Çok imzalı yapılar farklı bir risk modeli oluşturur. Bir imzalayanın seed'i compromisse edilse bile, saldırganın fonları taşımak için ek anahtarlara ihtiyaç duyabilir. Bu, çok imzalı yapıları tüm cüzdan arızalarına karşı dirençli kılmaz, ancak bir zayıf seed'ten kaynaklanan hasarı azaltabilir.

Bu, ciddi Bitcoin koruma sistemlerinin genellikle çok imzalı, şifre cümleleri, zarlarla üretilen rastgelelik, coğrafi olarak ayrılmış yedekler ve farklı üreticilerden donanımlar kullanmasının nedenlerinden biridir.

Her kullanıcıya kurumsal düzeyde bir kripto para saklama hizmeti gerekmediği için değil, bitcoin saklamanın bir müşteri desteğiyle geri alma düğmesi olmadığı için böyle. Fonlar hareket ettikten sonra zincir onları geri almaz.

Donanımsal cüzdanlar genellikle kripto tutmanın en güvenli yolu olarak pazarlanır ve birçok kullanıcı için bunlar öyledir. Ancak “donanımsal cüzdan” sihirli bir şey değildir.

Kullanıcı, cihaz firmware’ini, tedarik zincirini, seed üretimiini, yedekleme disiplinini, imzalama ekranlarını, güncellemeleri ve kendi operasyonel güvenliğini güveniyor. Donanımsal bir cüzdan birçok çevrimiçi riski azaltır, ancak tüm olası hata noktalarını ortadan kaldırmaz.

Yazılım güncellemeleri aynı zamanda zor bir denge yaratır.

Kullanıcılar, neyin değiştiğini anlamadıkça güncellemeleri acele etmemeleri söylenir. Aynı zamanda güvenlik düzeltmeleri gerekebilir. Eğer bir kullanıcı asla güncellememe yapmazsa, bilinen zafiyetlere karşı maruz kalabilir. Eğer dikkatsizce güncellerse, sahte firmware veya phishing yoluyla yeni riskler ortaya çıkarabilir.

En güvenli yol sıkıcı ama önemli: resmi kaynakları kullanın, donanım yazılımını doğrulayın, güvenlik uyarılarını dikkatlice okuyun ve panik hareketlerden kaçının.

Bu olay, kendinizin varlıkları saklamamanın, borsalar ve koruyuculara olan bağımlılığı ortadan kaldırdığı için güçlü olduğunu hatırlatır. Ancak aynı zamanda güvenlik sorumluluğunu kullanıcıya ve seçtiği araçlara bırakır.

Coldcard kullanıcıları için hemen yapılacak iş, anahtar cümlelerinin etkilenen firmware'de oluşturulup oluşturulmadığını ve ek rastgelelik veya şifre koruması kullanılıp kullanılmadığını belirlemektir. Anlamlı bir maruziyete sahip kullanıcılar, resmi yönergeleri takip etmeli ve anahtar cümlelerini, zafiyet durumunu kontrol etmek iddia eden herhangi bir web sitesine veya bilinmeyen bir araca girmemelidir.

Daha geniş bitcoin piyasası için ders daha büyük.

En güçlü saklama biçimi, yalnızca bir donanım cihazına sahip olmak değildir. Çekirdeğin nasıl oluşturulduğu, yedeklerin nasıl saklandığı, imzalamanın nasıl korunduğu ve kurulumun bir parçası başarısız olursa ne olacağını anlamaktır.

Bitcoin, kullanıcılara nihai kontrolü verir. Bu kontrol değerlidir, ancak affetmez.

Bu makale, Coldcard güvenlik materyallerine ve Temmuz 2026 cüzdan boşaltımı ile ilgili ilgili kamu raporlarına dayanmaktadır.

Bu makale Haber Birimi tarafından yazılmış ve Samuel Rae tarafından düzenlenmiştir.

Bu rapor, Blog tarafından yayınlanan bilgilere dayanmaktadır.