Kısa özet
- Galaxy, yeni kurban raporları sayesinde daha önce gizli kalan Coldcard hırsızlıklarını ortaya çıkararak en az 15 saldırganı tespit etti ve 126 adresten 12 BTC kaldırıldı.
- Onaylanan kayıplar, üç dalga boyunca yaklaşık 100 milyon doları buldu, ancak şüphelenilen dördüncü saldırı toplamı bitcoin cinsinden 130 milyon dolara çıkarabilir.
- Araştırmacılar, ucuz AI testlerinin bu hatalı durumu önleyip önleyemeyeceğini tartıştı, ancak etkilenen cüzdan seed'lerinin bağımsız olarak saldırıya uğramasını kolaylaştıran 40-bit entropinin azaldığını kabul etti.
Galaxy Digital, olayın kamuoyuna yansımasından sonra gelen yeni kurum raporlarına göre, en az 15 farklı saldırganın Coldcard zafiyetini istismar ettiğini söylüyor. Alex Thorn, açıkladı ki bireysel bildirimler, saldırganları diğer türlü merkezi bir borsa saldırısı olarak kalabilecek şekilde etiketlemeye yardımcı oldu. Yeni raporlar, tek bir koordine edilmiş hırsızlık operasyonu yerine dağılmış bir kampanyayı ortaya çıkarıyor. Bir durumda, 1 BTC’den azın çalındığını bildiren bir kurum, 126 adresten 12 BTC’nin kaldırıldığını gösteren bir saldırı tanımlamayı mümkün kıldı; bu da küçük bir şikayetin çok daha geniş bir deseni ortaya çıkarabileceğini gösteriyor.
Şu anda NUMEROUS farklı saldırganlar Coldcard zafiyetini istismar ediyor. En az 15 farklı saldırgan olduğunu tahmin ediyoruz.
Mağduriyet bildirimlerini almaya devam ediyoruz ve yetkililere rapor etmek için bilgi veriyoruz.
ve bu raporlar, yeni saldırıları tespit etmemize ve saldırganları etiketlememize yardımcı oluyor https://t.co/6ybBTqJPb6
— Alex Thorn (@intangiblecoins) 4 Ağustos 2026
Yeni Raporlar Kayıp Tahminini ve Yapay Zeka Tartışmasını Genişletiyor
Galaxy, üç saldırı dalgası boyunca on milyon dolar civarında onaylanmış kayıpları tahmin ediyor ve toplamı yaklaşık 130 milyon dolar artırabilecek şüpheli dördüncü bir dalga tespit etti. Artan kayıp tahmini, saldırının tamamen kontrol altına alınmadığı veya tam olarak anlaşılmadığı, daha çok yeniden inşa edildiğini gösteriyor. Tek bir borsa hainliği gibi tek bir görünür ihlal noktası yerine, tehlikeye giren cüzdan tohumları, farklı aktörler tarafından bağımsız olarak istismar edilebilir; bu da sorumluluğun belirlenmesini, mağdurların sayılmasını ve toplam kayıp hesaplamalarını olağanüstü şekilde zorlaştırır. Artan saldırgan sayısı, donanım tarafından oluşturulan gizlilikler öngörülebilir hale geldiğinde kendi cüzdanlarını koruyan kullanıcıların korunduğunu söylemek mümkün mü sorusunu yeniden gündeme getirmiştir.
Teknik tartışma, yapay zekânın firmware hatasını ne kadar ucuza yeniden keşfedebileceğine doğru kaydı. Dragonfly ortakları Haseeb Qureshi, olayın önlenmesi için yaklaşık 2 dolarlık bir AI sertleştirme yeterli olabileceğini savundu ve modellerin hatayı dakikalar içinde yeniden ürettiğini belirten testlere dayandı. Yapay zeka iddiası hâlâ çarpıcı ancak tartışılmaktadır, çünkü birkaç gösteri gerçekleştiğinde hata zaten kamuoyuna açık durumdaydı. Bir araştırmacı, bu testlerin kör koşullar, belgelenmiş yöntemler ve yanlış pozitif analizlerden yoksun olduğunu uyardı; başka bir açık kaynak modeli ise web erişimi olmadan 20 dakikada sorunu buldu ve açıklamadan önce gerçekçi erken tespit konusundaki tartışmayı kattı.
Castle Labs, hatanın Coldcard'in özel anahtar entropisini, standart 12 kelimelik bir tohumla ilişkili olan 128 bitin çok altına düşürerek yaklaşık 40 bite indirdiğini söyledi. Bu düşüş, kaba kuvvetle keşfin kolaylaşmasını sağladı ve birden fazla saldırganın katılımını açıklayabilir. Olay, donanımsal bir cüzdanın güvenliği, yazılımın sessizce zayıflattığı entropiye dayandığı bir test başarısızlığını ortaya koyuyor. Yapay zekânın hem savunmacıların hem de suçluların kod incelemesi maliyetini düşürmesiyle, çözümlenmemiş sorun, cüzdan üreticilerinin, otomatik araçların sessiz uygulama hatalarını pasif Bitcoin adresleri boyunca ölçeklenebilir hırsızlık fırsatlarına dönüştürmeden önce sürümleri güçlendirebilip edemeyeceği.