⚠️ Coldcard kullanıcıları, 2021 yılındaki bir firmware hatası nedeniyle milyonlarca dolar kaybetti Bitcoin'in kendi kendine saklanmasında yaşanan en önemli güvenlik olaylarından biri, anahtar bir ders bıraktı: bir donanım cüzdanın korunması, anahtarların nasıl oluşturulduğuna bağlıdır. 2021 yılında yayınlanan Coldcard firmware sürümleriyle ilişkili bir zafiyet, saldırganların cihazlara fiziksel erişim olmadan, phishing veya malware kullanmadan yüzlerce cüzdanı boşaltmasına izin verdi. Raporda, 594 bitcoin:native ve 1.082 BTC'nin çalınmış olabileceği tahmin ediliyor; bu miktar yaklaşık olarak 38 milyon ile 70 milyon dolar arasında değişiyor. Saldırı, 25 ile 40 dakika arasında kısa bir pencerede gerçekleşti ve bu kırılgan dönemde oluşturulan anahtarlarla oluşturulmuş cüzdanları etkiledi. Tehlikeye girmiş birçok adres, yıllardır hareketsizdi ve bu anahtarların oluşturulduğu andan beri var olan bakiyeleri saklıyordu. On-chain analizlere göre, saldırgan önce en yüksek bakiyeye sahip cüzdanları hedefledi; bunlardan biri yaklaşık 1,8 milyon dolarlık bir bakiyeye sahipti. Daha sonra, diğer kırılgan adresleri temizleyebilmek için otomatikleştirilmiş bir süreç kullanarak boşaltmayı genişletti; bu da etkilenen cüzdanların önceden tanımlanmış olabileceğini gösteriyor. Teknik neden, özellikle etkilenen firmware'e sahip Mk3 cihazlarda, anahtar üretimi sırasında yetersiz entropiye bağlıydı. Donanım rastgeleliği doğru şekilde kullanılmadığında, süreç öngörülebilir anahtarlar üretebilirdi ve bu da özel anahtarların uzaktan yeniden oluşturulmasına izin verirdi. Coinkite, olası etkilenen kullanıcıların fonlarını güncel firmware ile oluşturulmuş yeni cüzdanlara taşımalarını önerdi. Bu olay, temel bir güvenlik ilkesini pekiştiriyor: anahtar üretimi başarısız olursa, hatta air-gapped tasarım ve güvenli donanım gibi gelişmiş korumalar büyük ölçüde etkisiz kalır.