Hava Boşluklu mi, USB mi, Bluetooth Donanım Cüzdanları mı: Hangisi Gerçekten Daha Güvenli?

Bir donanım cüzdanının dış dünya ile nasıl bağlantı kurduğu, kripto sahipleri arasında hararetli tartışmalara yol açıyor, ancak hiçbir saldırgan bugüne kadar bir USB veya Bluetooth sinyalini ele geçirerek fon çalmayı başaramadı. Belgelenmiş her istismar, ürün yazılımını, fiziksel çipleri veya çevresindeki altyapıyı hedef aldı. Asıl soru, hangi kablonun kesileceği değil, hangi tehdit modeline hazırlanılması gerektiğidir.

Özet (TL;DR)

Hava boşluklu cüzdanlar bazı uzaktan saldırı vektörlerini ortadan kaldırır ancak QR ayrıştırma ve microSD mikrokontrolcüler üzerinden yenilerini getirir ve anti-klepto imzalama protokollerini destekleyemezler.

Sertifikalı güvenli elemente sahip USB cüzdanlar, veri bağlantıları üzerinden hiç ele geçirilmedi; yalnızca kalıcı kanallarda kullanılabilen anti-klepto protokolü gerçek bir güvenlik ilerlemesidir.

Bluetooth, yıllardır topluluk endişelerine rağmen hiçbir donanım cüzdanında istismar edilmedi; güvenli element izolasyonu, BLE dinlemeyi saldırganlar için işlevsiz hâle getirir.

Tüm Donanım Cüzdanlar Aynı Şekilde Üretilmez

Donanım cüzdanlarının ortak bir ilkesi vardır: özel anahtarlar cihazın üzerinde kalır ve işlem imzalama, ana bilgisayardan izole bir şekilde gerçekleşir. Bu ortak temelin ötesinde cihazlar keskin biçimde ayrışır. Bağlantı yöntemi, çip mimarisi, ürün yazılımı şeffaflığı ve fiziksel tasarım, üreticiler ve modeller arasında değişir.

Pazar üç bağlantı kampına ayrılır. Trezor Safe 3 ve BitBox02 gibi yalnızca USB’li cihazlar doğrudan bilgisayara takılır. Ledger Nano X ve Ledger Stax gibi Bluetooth özellikli cüzdanlar telefonlarla kablosuz eşleşir. Coldcard, Foundation Passport, Keystone 3 Pro, NGRAVE ZERO ve Ellipal Titan gibi hava boşluklu imzalayıcılar ise hiçbir ağa hiç bağlanmaz.

Her yaklaşım bazı ödünler içerir.

USB, düşük gecikmeli çift yönlü iletişim sağlar ancak fiziksel bir veri kanalı oluşturur.

Bluetooth, mobil kullanım kolaylığı katar ancak kablosuz bir arayüz açar. Hava boşluğu, elektronik veri kanallarını tamamen ortadan kaldırır fakat cihazın destekleyebileceği güvenlik protokollerini sınırlar.

Fiyat ve yaklaşım felsefesi de büyük farklılık gösterir. Bir Trezor Safe 3 veya Ledger Nano S Plus yaklaşık 79 dolara mal olur. Coldcard Mk4 148 dolar, Foundation Passport 199 dolar civarındadır. NGRAVE ZERO 398 dolarlık üst segmenttedir. Ücretsiz seçenek ise, yedek bir akıllı telefonu çevrimdışı imzalayıcıya dönüştüren AirGap Vault’tur.

Ayrıca Oku: Ethereum Eyed For Euro Stablecoin Settlement Layer

“Hava Boşluklu” Gerçekte Ne Anlama Geliyor?

NIST, hava boşluğunu, yetkisiz veri aktarımını engelleyen sistemler arası fiziksel ayrım olarak tanımlar. Donanım cüzdanlarında bu, USB veri bağlantısının, Wi‑Fi’ın, Bluetooth’un, NFC’nin ve hücresel bağlantının olmaması demektir. Cihaz ile dış dünya arasındaki tek köprü ışık ya da çıkarılabilir bir depolama ortamıdır.

Hava boşluklu cüzdanlar tutarlı bir iş akışını takip eder. Bir telefon veya bilgisayardaki eşlikçi uygulama, genellikle BIP‑174’e göre biçimlendirilmiş bir PSBT (Kısmen İmzalı Bitcoin (BTC) İşlemi) oluşturur.

Bu işlem bir QR koda kodlanır veya bir microSD karta kaydedilir. Hava boşluklu cihaz, QR’ı tarar veya dosyayı okur, işlemin ayrıntılarını güvenilir ekranında gösterir, güvenli elementinde saklanan özel anahtarla imzalar ve imzalı işlemi bir QR kodu ya da dosya olarak dışarı verir.

QR tabanlı imzalama, daha büyük işlemler için animasyonlu QR dizilerine dayanır. Blockchain Commons’ın fıskiye (fountain) kodları içeren Uniform Resource standardı ya da Coinkite’ın BBQr protokolü gibi standartlar, veriyi onlarca kareye böler. Tek bir QR karesi, okunamaz hâle gelmeden önce yaklaşık 3–5 KB ile sınırlıdır; bu yüzden karmaşık çoklu imza veya CoinJoin işlemleri sabır gerektirir.

MicroSD tabanlı imzalama bu boyut kısıtını tamamen aşar. Coldcard bunu birincil yöntem olarak kullanır. Ancak microSD kartlar, saldırıya açık ürün yazılıma sahip gömülü mikrokontrolcüler içerir; araştırmacı Bunnie Huang bunu ayrıntılı şekilde belgeledi. Cüzdanınıza takılan mini bir bilgisayarın gerçekten “hava boşluğunu” koruyup korumadığı tartışmaya değerdir.

Hava boşluklu cihaz ekosistemi birkaç farklı yaklaşım içerir:

Coldcard Mk4 (148 $), yalnızca Bitcoin destekler, farklı tedarikçilerden iki güvenli element kullanır, tamamen açık kaynaklı ve yeniden üretilebilir ürün yazılımına sahiptir ve zor durumda cihazı kilitleyebilen sahte PIN gibi özellikler sunar.
NGRAVE ZERO (398 $), özellikle ProvenCore güvenli yürütme ortamı için EAL7 sertifikası iddia eder; ancak cihazın tamamı için değil ve ürün yazılımı büyük ölçüde kapalı kaynaktır.
Foundation Passport (199 $), Coldcard benzeri bir güvenlik mimarisini, kullanıcı dostu tasarım ve tamamen açık kaynaklı donanım/yazılımla birleştirir.
Keystone 3 Pro (149–169 $), özelleştirilmiş Android 8.1 üzerinde çalışır, üçlü güvenli element çipine sahiptir ve güvenli element ürün yazılımını açık kaynak yapan ilk cüzdan olmuştur.
Ellipal Titan 2.0 (169 $), tamamen metal mühürlü bir gövde ve kendini imha eden kurcalamaya karşı koruma kullanır.

Ayrıca Oku: Bitcoin Hits $72.7K High On Iran Peace Optimism

USB ve Bluetooth Cüzdanlar İzolasyona Değil, Güvenli Elementlere Güvenir

USB bağlantılı cüzdanlar, üzerinde tescilli uygulama katmanları bulunan USB HID protokolü üzerinden iletişim kurar. Ledger, akıllı kart standardı olan APDU’yu kullanır. Trezor, Trezor Bridge adlı arka plan hizmetiyle HID üzerinde protobuf kullanır. BitBox02, Noise Protocol Framework üzerinden şifrelenmiş protobuf mesajları kullanarak, cihaz ile ana bilgisayar arasında uçtan uca şifreli ve bant dışı eşleştirme kodu ile doğrulanan bir kanal kurar. Bu şifreleme, USB cüzdanları arasında benzersizdir. Tamamen ele geçirilmiş bir ana bilgisayar bile iletim hâlindeki veriyi okuyamaz veya değiştiremez.

Bu cüzdanların güvenlik omurgasını, fiziksel probalama, voltaj sıçratma ve yan kanal analizine direnmek üzere sertifikalandırılmış kurcalamaya dayanıklı bir çip olan güvenli element oluşturur. Ledger’ın yeni cihazları, BOLOS adlı özel işletim sisteminin doğrudan SE üzerinde çalıştığı ve ekran ile tuşları güvenli sınır içinden yönettiği, EAL6+ dereceli ST33K1M5 çipleri kullanır.

Trezor yıllarca farklı bir yol izledi.

Eski modellerinde hiçbir güvenli element yoktu. Safe 3 ve Safe 5, PIN zorlaması ve cihaz doğrulaması için EAL6+ dereceli Infineon OPTIGA Trust M çiplerini ekledi. Ancak kriptografik imzalama hâlâ SE üzerinde değil, genel amaçlı mikrodenetleyici üzerinde gerçekleşir. Yakında çıkacak olan Trezor Safe 7 ise, Tropic Square (bir SatoshiLabs iştiraki) tarafından geliştirilen, ilk tamamen denetlenebilir açık kaynaklı güvenli element olan TROPIC01’i tanıtıyor.

Bluetooth özellikli cüzdanlar, Bluetooth Low Energy’yi yalnızca bir taşıma katmanı olarak kullanır. Ledger’ın uygulaması, BLE bağlantısını varsayılan olarak ele geçirilmiş kabul eder. BLE radyolu STM32WB55 MCU, bir röle gibi davranır. Güvenli element, ekran ve tuşları bağımsız biçimde kontrol eder. Özel anahtarlar hiçbir zaman SE sınırını terk etmez.

Ledger cihazlarındaki BLE uygulamasının temel güvenlik özellikleri şunlardır:

Eşleştirme, ortadaki adam saldırılarını önlemek için en güçlü BLE yöntemlerinden Numeric Comparison ve AES‑CMAC kimlik doğrulaması kullanır.
Kablosuz kanal üzerinden yalnızca kamusal veriler (imzalanmamış ve imzalanmış işlemler) geçer; tohumlar veya özel anahtarlar asla aktarılmaz.
Kullanıcılar Bluetooth’u tamamen devre dışı bırakabilir ve istedikleri zaman USB’ye geri dönebilir.
SE, işlem ayrıntılarını BLE yığınına bağımlı olmadan bağımsız biçimde doğrular ve görüntüler.

Trezor’un yıllarca kablosuz bağlantıdan kaçındıktan sonra Safe 7’ye Bluetooth eklemesi, sektörel bir mutabakata işaret ediyor. Uygun güvenli element izolasyonu mevcutsa BLE kabul edilebilir görülüyor.

Ayrıca Oku: Why Central Banks May Struggle To Control Inflation This Time

Tüm Gerçek Saldırılar Kabloya Değil, Ürün Yazılımına ve Fiziğe Yöneldi

Donanım cüzdan güvenliğinde en çarpıcı olgu şudur: sektörün başlangıcından bu yana belgelenmiş her istismar arasında, tek bir başarılı saldırı bile veri taşıma kanalını ele geçirmeye veya manipüle etmeye dayanmadı. Ne USB, ne Bluetooth, ne de QR kodlar.

Douglas Bakkum, Shift Crypto (BitBox) kurucu ortağı, bilinen tüm güvenlik açıklarını sistematik olarak katalogladı ve hava boşluklu iletişimin, kullanıcı deneyimini kötüleştirirken çok az ek güvenlik sağladığı sonucuna vardı.

Kraken Güvenlik Laboratuvarları, Ocak 2020’de, yaklaşık 75 dolarlık ekipmanla hem Trezor One hem de Trezor Model T’den tohumların yaklaşık 15 dakikada çıkarılabildiğini gösterdi. Saldırı, STM32 mikrodenetleyicinin okuma korumasını RDP2’den RDP1’e düşürmek için voltaj sıçratma tekniğini kullandı; ardından şifreli tohum ARM SWD üzerinden çıkarıldı ve PIN kaba kuvvetle kırıldı.

Bu güvenlik açığı, STM32 çip ailesine içkindir ve ürün yazılımı güncellemeleriyle yamalanamaz. Trezor’un önerdiği hafifletme, cihazda saklanmayan bir BIP39 ek parolası kullanmaktı.

Haziran 2020’deki Ledger veritabanı ihlali, tüm donanım açıklarından daha fazla gerçek dünya zararı yarattı. Hatalı yapılandırılmış bir API anahtarı, 1,1 milyon e‑posta adresini ve yaklaşık 272.000 tam müşteri kaydını (isimler, ev adresleri dâhil) açığa çıkardı. adresler ve telefon numaraları.

Sonuç yıkıcıydı. Donanımı kurcalanmış sahte Ledger cüzdanları kurbanlara posta yoluyla gönderildi. Şantaj e-postaları 700 ila 1.000 ABD doları arasında Bitcoin talep etti. Bugün hâlâ devam eden, kripto sahiplerine yönelik fiziksel saldırı modeli ortaya çıktı. Ocak 2025’te, Ledger ortak kurucusu David Balland Fransa’da kaçırıldı ve bir parmağı kesildi.

Mayıs 2023’teki Ledger Recover tartışması, birçok kullanıcının sahip olduğu temel bir varsayımı parçaladı. Ledger’ın isteğe bağlı aylık 9,99 dolarlık hizmeti, kullanıcının seed cümlesini şifreler, bunu üç parçaya böler ve KYC kimlik doğrulaması gerektirecek şekilde Ledger, Coincover ve üçüncü bir saklama kuruluşuna dağıtır.

Topluluğun öfkesi temel bir ifşaya odaklandı: Ledger’ın bellenimi, güvenli elemandan seed cümlelerini çıkartma teknik yeteneğine her zaman sahipti. CTO Charles Guillemet, bunun her donanım cüzdanı mimarisine içkin olduğunu açıkladı. Ortak kurucu Éric Larchevêque, Recover kullanmanın varlıkların bir hükümet tarafından dondurulabileceği anlamına geldiğini Reddit’te doğruladı.

Also Read: Cardano Whale Wallets Reach 4-Month Peak Amid 42% Drop

Anti-Klepto Sorunu USB’ye Gerçek Bir Güvenlik Avantajı Sağlıyor

Lloyd Fournier ve Nick Farrow (Frostsnap ortak kurucuları) ile BitVM geliştiricisi Robin Linus tarafından Ağustos 2024’te açığa çıkarılan Dark Skippy, kötü amaçlı bellenimin sadece iki işlem imzası üzerinden kullanıcının tüm seed cümlesini dışarıya sızdırabileceğini gösterdi.

Saldırı, seed verisini imza nonce’larına gömer. Genel blok zincirini izleyen bir saldırgan, Pollard’ın Kangaroo algoritmasını kullanarak seed’i yeniden oluşturabilir. Bu, bağlantı tipinden bağımsız olarak tüm donanım cüzdanlarını etkiler.

Dark Skippy’ye karşı savunma anti-klepto protokolüdür. Standart ECDSA imzalamada donanım cüzdanı rastgele nonce’u dahili olarak üretir.

Eğer bellenim kötü amaçlıysa, özel anahtar bilgisini kodlayan nonce’lar seçebilir. Kullanıcının bunu tespit etmesinin bir yolu yoktur.

İlk kez 2021 başında BitBox02 tarafından uygulanan anti-klepto imzalama, ana yazılımın ek bir rastgele nonce katkısında bulunmasını gerektirir. Donanım cüzdanı bu harici nonce’u imzalama sürecine dâhil etmek zorundadır. Cüzdan bunu doğru şekilde dâhil etmezse imza doğrulaması başarısız olur. Bu, gizli anahtar sızdırma girişimlerini tespit edilebilir hâle getirir.

Protokol kalıcı, düşük gecikmeli, çift yönlü bir kanal gerektirir. USB ve Bluetooth tam da bunu sağlar. QR kod tarama ise bunu pratik olmaktan çıkarır; çünkü her ek anti-klepto doğrulama turu, hareketli QR dizilerinin yeniden taranmasını gerektirir. Şu anda yalnızca BitBox02 ve Blockstream Jade anti-klepto imzalamayı uygulamaktadır. Air-gap’li cüzdanlar bu protokolü pratik olarak destekleyemez.

Bu, air-gap’in gösteriden ibaret olduğu anlamına gelmez. Birkaç gerçek vektörü ortadan kaldırır:

Kötü amaçlı bir aygıtın bilgisayara klavye olarak tanıtıldığı BadUSB saldırıları
Bağlı sistemi hakkında bilgi sızdıran USB aygıt tanımlama/kapsam taraması
Christian Reitter tarafından 2019’da keşfedilen, USB güç ölçümlerinin gösterilen PIN veya seed bilgisini kısmen kurtarabildiği OLED güç tüketimi yan kanal saldırısı
Ledger Nano X’te Kraken Security Labs’in bulduğu, uygulama kurulumu öncesi bellenim değişikliğine imkân veren, güvenli olmayan MCU’lar üzerindeki JTAG hata ayıklama saldırıları

Bunlar air-gap’in ortadan kaldırdığı gerçek vektörlerdir. Aynı zamanda, düzgün bir güvenli eleman mimarisi, şifreli USB protokolleri ve doğrulanmış önyükleme tarafından büyük ölçüde hafifletilen vektörlerdir.

Also Read: Billions Vanished In Crypto Fraud Last Year, Here's What The FBI Found

Donanım Cüzdanlarında Bluetooth Hiç İstismar Edilmedi

Toplulukta Bluetooth hakkında yaygın endişeye rağmen, ampirik kayıt nettir. Hiçbir kripto para donanım cüzdanı Bluetooth bağlantısı üzerinden ele geçirilmemiştir. Buna her büyük BLE güvenlik açığı sınıfına karşı yapılan testler dâhildir.

2017’de açıklanan sekiz CVE’den oluşan BlueBorne, 5 milyardan fazla Bluetooth cihazında eşleştirme olmaksızın uzaktan kod yürütmeyi mümkün kılıyordu.

Ancak işletim sistemi Bluetooth yığınlarındaki uygulama hatalarını sömürüyordu, BLE donanımını değil.

KNOB (CVE-2019-9506), Bluetooth Classic eşleştirmesi sırasında şifreleme anahtarı entropisini 1 bayta düşürmeye zorluyordu, ancak donanım cüzdanlarının kullandığı BLE’yi etkilemiyordu.

BIAS (CVE-2020-10135), eşleştirilmiş cihazların kimliğine bürünmeye imkân tanıyordu, fakat yine yalnızca Bluetooth Classic’i hedefliyordu. 2021’de 1.400’den fazla ürünü etkileyen 16 güvenlik açığından oluşan BrakTooth, BLE’yi değil Bluetooth Classic yığınlarını vurdu. 2020’deki SweynTooth, özel olarak BLE’yi hedefleyerek çökme ve güvenlik atlatma sorunlarına yol açıyordu, ancak hiçbir zaman bir donanım cüzdanına karşı gösterilmedi.

Mimari neden açıktır. Bir saldırgan BLE bağlantısını tamamen ele geçirse bile, elde edeceği tek şey imzalanmamış ve imzalı işlem verileridir; bu da zaten blok zincirine herkese açık şekilde yayınlanan verilerin aynısıdır.

Özel anahtarları elde edemez; bunlar güvenli elemanda yalıtılmıştır. Fiziksel düğmeye basma gerektiren işlem onaylarını taklit edemez. İşlemleri tespit edilmeden değiştiremez; çünkü güvenilen ekran, verileri BLE kanalından değil SE’den gösterir.

Bluetooth’a komşu sayılabilecek bir endişeden bahsetmeye değer. 2025’te, Espressif tarafından üretilen ve Blockstream Jade gibi cüzdanlarda kullanılan ESP32 çipinde güvenlik açıkları bulundu. Bu açık, teorik olarak çipin kablosuz arayüzleri üzerinden kötü amaçlı bellenim yüklenmesine imkân tanıyabilirdi. Bu, bir Bluetooth protokol zafiyeti değil, çipe özgü bir uygulama sorunudur.

Also Read: Main Quantum Risk For Bitcoin Is Consensus, Not Code, Grayscale Warns

Kim Gerçekte Hangi Düzeyde İzolasyona İhtiyaç Duyuyor

Donanım cüzdanı pazarı, araştırma yöntemlerindeki farklılıkları yansıtan geniş bir aralıkla, 2025’te tahminen 350 milyon ila 680 milyon dolar büyüklüğe ulaştı ve yılda yüzde 20 ila 30 oranında büyüyor. Ledger, 6 milyondan fazla birikimli satışla pazara hâkim durumda. SatoshiLabs, yalnızca 2024’te 2,4 milyon Trezor birimi sevk etti. USB bağlantısı hâlâ pazarın yaklaşık yüzde 47’sini elinde tutuyor, ancak Bluetooth büyüdükçe payı azalıyor.

50.000 doların altında Ethereum (ETH), Solana (SOL) veya Bitcoin tutan bireysel yatırımcılar için sertifikalı güvenli elemana sahip bir USB cüzdan, fazlasıyla yeterli güvenlik sunar.

Bu seviyedeki başlıca tehditler kimlik avı, sosyal mühendislik ve zayıf seed saklamadır. Hiçbir bağlantı yöntemi bunlardan herhangi birini çözmez. Kullanılabilirliğin kendisi bir güvenlik özelliğidir; çünkü karmaşık air-gap iş akışları, kullanıcı hatası riskini artırır.

Önemli tutarlar ve uzun vadeli soğuk saklama için air-gap’li cüzdanlar anlamlı faydalar sağlar. Bu faydalar, öncelikle USB saldırı yüzeyini ortadan kaldırmaktan değil, dayattıkları operasyonel güvenlik modelinden gelir. Güvenli bir konumda saklanan air-gap’li bir cüzdan, günlük kullanılan cihazlardan fiziksel olarak ayrıdır. Bu da tedarik zinciri saldırılarına, kötü amaçlı yazılımlara ve fiziksel hırsızlığa maruziyeti azaltır.

Aktif DeFi kullanıcıları ve mobil öncelikli trader’lar için Bluetooth bir güvenlik tavizi değil, pratik bir zorunluluktur. Ledger Live ile Ledger Nano X veya yakında çıkacak Trezor Safe 7, USB ile aynı güvenli eleman korumalarıyla mobil işlem imzalama olanağı sunar.

Keystone 3 Pro’nun MetaMask ile QR kod entegrasyonu, EVM zincirleri için air-gap’li bir alternatif sunar, ancak işlem başına önemli ölçüde daha fazla sürtünmeyle.

Kurumsal saklama için hesap farklıdır. Kurumsal segment, daha az birime rağmen donanım cüzdanı gelirlerinin yaklaşık yüzde 69’unu oluşturur. Farklı üreticilerden gelmesi mümkün birden fazla air-gap’li cihaz arasında çoklu imza kurulumları, tek bir cihazın bağlantı yönteminin sunabileceğinden daha derinlemesine savunma sağlar.

Also Read: Can AI Really Run DeFi? New Findings Expose Major Risks

Sonuç

Air-gap vs. USB vs. Bluetooth tartışması, aydınlıktan çok ısı üretiyor. Veri taşıma kanalı, donanım cüzdanı saldırı yüzeyinin en az istismar edilen bileşenidir. Donanım cüzdanlarını içeren her doğrulanmış hırsızlık vakası, fiziksel çıkarma, tedarik zinciri kurcalaması, sosyal mühendislik veya çevredeki altyapının ele geçirilmesine kadar izlenmiştir. Hiçbiri, USB veya Bluetooth iletişiminin ele geçirilmesine kadar uzanmamıştır.

Air-gap, kriptografik bir savunmadan ziyade operasyonel bir güvenlik disiplini olarak gerçek değer sağlar.

Kasada tutulan ve yalnızca QR kodlar aracılığıyla iletişim kuran bir cihaz, USB’den daha güvenli olduğu için değil, ulaşılması daha zor olduğu için saldırılması daha zordur.

Bu arada, USB’nin çift yönlü kanalı, air-gap’li cüzdanların yapısal olarak benimseyemeyeceği, son yılların donanım cüzdanı imzalama güvenliğindeki en önemli gelişmesini temsil eden anti-klepto protokollerini mümkün kılar. Her kararın yönlendirilmesini gereken üç gerçek: bağlantı yönteminden çok güvenli eleman kalitesi daha önemlidir; açık kaynak bellenim, taşıma katmanından bağımsız olarak topluluk denetimine imkân tanır; ve farklı üreticilerden cihazlar arasında kurulan çoklu imza, tek bir cüzdanın air-gap’inden daha güçlü koruma sağlar.