⚠️ 2021 firmware hatası nedeniyle Coldcard kullanıcıları milyonlarca dolar kaybetti Bitcoin ile ilgili en önemli kendi kontrol altındaki güvenlik olaylarından biri, donanımsal cüzdanların temel güvenliğinin, seed üretimi sürecinin güvenliğine bağlı olduğunu ortaya koydu. 2021 yılında yayınlanan firmware sürümleriyle ilişkili bir Coldcard zafiyeti, saldırganların fiziksel erişim, phishing veya kötü amaçlı yazılım olmadan yüzlerce cüzdanı boşaltmasına izin verdi. Raporlar, 594 BTC ile 1.082 bitcoin’den fazlasının çalındığını tahmin ediyor; bu da yaklaşık 38 milyon ila 70 milyon dolarlık potansiyel kayıplara denk geliyor. Saldırı, yaklaşık 25 ila 40 dakikalık kısa bir sürede gerçekleşti ve zafiyetli firmware döneminde üretilen seed’lere sahip cüzdanları hedef aldı. Etkilenen birçok adres, zararlı seed’ler oluşturulduğunda depolanmış olan fonlarla yıllarca aktif olmamıştı. Zincir üzerindeki analizlere göre, saldırgan ilk olarak yaklaşık 1,8 milyon dolar tutarında bir cüzdanı dahil olmak üzere yüksek değerli cüzdanları öncelikli hedefledi. Daha sonra işlem, ek zafiyetli adreslerin otomatik olarak taranmasına genişledi; bu da etkilenen cüzdanların önceden tanımlanmış olduğunu gösteriyor. Kök neden, özellikle etkilenen firmware sürümlerini kullanan bazı Coldcard modellerinde, özellikle Mk3 cihazlarda seed üretimi sırasında yetersiz entropiye bağlıydı. Donanım tabanlı rastgelelikten doğru şekilde yararlanmak yerine, süreç öngörülebilir seed’ler üretebilirdi ve bu da özel anahtarların uzaktan yeniden oluşturulmasına izin verirdi. Coinkite, olası olarak etkilenen kullanıcıların fonlarını güncellenmiş firmware ile oluşturulan yeni cüzdanlara taşımasını önerdi. Bu olay, temel bir güvenlik ilkesini pekiştiriyor: seed üretimi başarısız olursa, hatta hava ile izole tasarım ve güvenli donanım gibi güçlü korumalar kullanıcı fonlarını tamamen koruyamaz.