Donanımsal cüzdan endüstrisi, bitcoin'inizi çevrimdışı tutup güvenli tutma sözüyle itibar kazandı. Bu söz, 30 Temmuz 2026'da saldırganların Coinkite'nin Coldcard donanımsal cüzdanlarında bir zafiyeti kullanmaya başlamasıyla ciddi bir darbe aldı ve nihayetinde revize edilen tahminlere göre 5.200'den fazla adresten yaklaşık 1.816 bitcoin, yani 114 milyon dolarlık bir miktarı boşalttı. Bazı tahminlere göre, süpürme faaliyetleri devam ettikçe toplam kayıplar 130 milyon doların üstüne çıkabilir.
Zafiyet, Coinkite tarafından Mart 2021'de yayımlanan firmware sürüm 4.0.1'e kadar uzanmaktadır. Bu hata, Bitcoin cüzdanlarındaki tüm özel anahtarların türetildiği cüzdan tohumlarını oluştururken kullanılan rastgelelikleri etkilemiştir. İdeal olarak 128 bit entropi seviyesinde olması gereken anahtar gücü, etkilenen cihazlarda 40 bite kadar düşmüştür. 40 bit seviyesinde, modern donanımlarla kaba kuvvet saldırıları hesaplama açısından mümkün hale gelmektedir.
Ağustos başlarında Galaxy Research, 4.585 adrese yayılan kayıpları yaklaşık 1.367 BTC olarak tahmin etti. Saldırganlar, sonraki dalgalarda hassas cüzdanları devam ettikçe bu rakam, 5.200’den fazla adrese yayılan 1.816 BTC’ye yükseldi. Bu ilerleme, istismarın tek seferlik bir hırsızlık değil, hatalı firmware ile doldurulan her cüzdanı hedef alan sistematik ve sürekli bir operasyon olduğunu gösteriyor.
Coinkite, belirli bir kayıp tahmini yayınlamadı. Şirket, cihazların tamamen nasıl ihlal edildiği ve kullanıcılar üzerindeki etkinin tam kapsamlısını değerlendirmek için bir post-mortem analizi gerçekleştirdiğini belirtti.
İronik olan, bu istismarın başarılı olabilmesi için hiçbir internet bağlantısına gerek duyulmamasıdır. Güvenlik açıkları, donanım yazılımının anahtar oluşturma mantığında yer almaktadır. Bu donanım yazılımının tehlikeli sürümü kullanılarak oluşturulmuş her cüzdan, sahibinin cihazı fiziksel olarak ne kadar dikkatli korursa korusun, oluşturulduğu anda savunmasız hale gelmiştir.
Galaxy Research analistleri, bu istismarın, düzenlenmiş bitcoin yatırım araçlarına doğru bir geçişi hızlandırabileceğini öne sürüyor. ETF sağlayıcıları, düzenleyici denetim altında çalışan kurumsal koruyuculara, bireysel donanımsal cüzdan kullanıcılarının kopyalayamayacağı sigorta çerçeveleri ve güvenlik denetimlerine dayanıyor.
Bitcoin'i herhangi bir donanımsal cüzdanında tutan yatırımcılar için hemen öncelik doğrulamadır. Eğer bir cihaz, Coldcard firmware sürüm 4.0.1 kullanılarak oluşturulduysa, fonlar, başka bir doğrulanmış cihazda oluşturulan bir cüzdana aktarılmalıdır. Eyleme geçmeden önce Coinkite'nin resmi olay sonrası analizini beklemek, aktif toplama devam ederken birçok sahibin yapmak istemediği bir risk hesaplamasıdır.