🚨 Coldcard Mk3 Entropi Hatası: Ne Oldu ve Ne Yapmalısınız? 💰 Ne Oldu? 2026 yılının 30-31 Temmuz tarihleri arasında, bir saldırgan, yaklaşık 500 tek imzalı Bitcoin cüzdanından 594,48 BTC (~38 milyon ABD doları) çaldı. Zincir Üstü Önemli Noktalar - 🪙 594,48 BTC çalındı - 👥 ~500 etkilenen cüzdan - 📦 1.324 UTXO toplandı - ⏱️ ~25 dakikada tamamlandı - 💸 Çok düşük toplam ücretler (~0,044 BTC) - 🔒 Çoklu imzalı veya Taproot cüzdanlar etkilenmedi - 💤 Çoğu cüzdan 2021-2026 yılları arasında aktif değildi 🛑 Kök Neden: 5 Yıl Önceden Kalma Firmware Hatası Yumuşak bir firmware hatası, bazı Coldcard donanım cüzdanlarının, amaçlanan kadar rastgelelik olmayan Bitcoin seed’leri oluşturmasına neden oldu. Ne yanlış gitti? - Mart 2021’de Coldcard, seed üretme kodunu değiştirdi. - Bir derleme yapılandırması sorunu nedeniyle, firmware, donanım Gerçek Rastgele Sayı Üreteci (TRNG) yerine zayıf bir yazılım PRNG kullandı. - Bu hata beş yıl boyunca fark edilmedi. Etkili Entropi Mk3 - Amacı: ~128 bit - Gerçek: ~40 bit Mk4 / Mk5 / Q - Mk3’ten daha iyi, ancak hala azaltılmış - Düzeltme firmware’inden önce yaklaşık ~72 bit Bu azalma, çevrimdışı kaba kuvvet saldırılarını çok daha pratik hale getiriyor. ⚠️ Etkilenen Cihazlar Coldcard Mk3 - Firmware 4.0.1 → 5.0.3 Coldcard Mk4 / Mk5 - 5.6.0 öncesi oluşturulan seed’ler Coldcard Q - 1.5.0Q öncesi oluşturulan seed’ler Etkilenmeyenler - ✅ TAPSIGNER - ✅ SATSCARD - ✅ OPENDIME 🚨 Önemli Firmware güncellemesi, mevcut zayıf bir seed’i düzeltmez. Eğer seed, hassas firmware ile oluşturulduysa, tamamen yeni bir seed oluşturup varlıklarınızı taşımanız gerekir. ✅ Ne Yapmalısınız? Cüzdanınızın etkilenmiş olma ihtimali varsa: 1. En son firmware’e güncelleyin. 2. Tamamen yeni bir seed oluşturun. 3. Yedeklenen verilerinizi ve alım adresinizi cihazda doğrulayın. 4. Küçük bir test işlemi gönderin. 5. Doğrulama sonrasında kalan BTC’leri taşıyın. Geçici Koruma Sadece Mk3 sahibiyseniz: - Güçlü, benzersiz bir BIP-39 parolası kullanın (PIN’iniz değil), ardından taşıyın. - Veya hatalı RNG’yi atlayan saf zar atma yöntemini kullanarak yeni bir seed oluşturun. Zar Entropisi Seed oluşturma sırasında 50+ özel zar atışı, bu spesifik hataya karşı yeterli entropi sağlar. 🏦 Coinkite’nin Tepkisi - Resmi bir güvenlik uyarısı yayınladı. - Entropi hatasını doğruladı. - Olayı araştırıyor. - 594 BTC çalınmasının bu zafiyet nedeniyle olduğunu resmi olarak doğrulamadı; ancak bağımsız güvenlik araştırmacıları bunun en olası açıklama olduğunu güçlü şekilde düşünüyor. 🔐 Anahtar Çıkarımlar - Açık kaynak kod, hataların hızlı bulunacağı anlamına gelmez. - Donanım cüzdanlar, rastgelelik düzeyleri kadar güvenlidir. - Güçlü BIP-39 parolalar, bağımsız entropi ve çoklu imza, güvenliği önemli ölçüde artırır. - Varlıklarınızı taşımadan önce her zaman adresleri ve yedekleri cihazda doğrulayın. Son Düşünce Bu olay, kendinizin anahtarlarını sahibi olmanın sadece anahtarlarınızı sahip olmakla sınırlı olmadığını hatırlatıyor. Anahtarların güvenli bir şekilde oluşturulduğundan emin olmak da gerekiyor. Eğer seed’iniz etkilenen firmware ile oluşturulduysa, sakin kalın, her şeyi dikkatlice doğrulayın ve mümkün olan en kısa sürede yeni, güvenli bir seed’e geçiş yapın.