Coinkite, 500 adresten 594,5 Bitcoin (BTC) süpürülmesinin ve zayıf seed üretimine dair bulguların ardından Coldcard Mk3 kullanıcılarını varlıklarını taşımaları konusunda uyardı.
Öne Çıkan Başlıklar
- 4.0.1 sürümünden itibaren çıkan tüm Mk3 firmware versiyonları potansiyel olarak zafiyetli seed üretmiş olabilir.
- Eski firmware kullanan Mk4, Mk5 ve Q sahiplerinin cihazlarını güncelleyip yeni seed oluşturması ve fonlarını taşıması gerekiyor.
- Bildirilen mağdurlar arasında henüz hiçbir multisig ya da Taproot cüzdan tespit edilmedi.
Coldcard Seed Riskinin Boyutu
Coinkite, yayımladığı güvenlik duyurusunda Mart 2021’de çıkan 4.0.1’den bu yana tüm Mk3 firmware sürümlerinin, cihazın ürettiği cüzdan seed’lerine bağlı bir entropi sorunundan etkilendiğini açıkladı. 5.6.0 öncesi Mk4 ve Mk5 ile 1.5.0Q öncesi Q cihazlarında üretilen seed’ler de ciddi risk altında.
Şirkete göre etkilenen seed’ler, beklenen 128 bit yerine yaklaşık 72 bit entropi içeriyor; etkilenme derecesi modele göre değişiyor. Ayrı kod tabanları kullandıkları için TAPSIGNER, OPENDIME ve SATSCARD cihazları bu sorun dışında kalıyor. Firmware güncellemesi, halihazırda oluşturulmuş bir seed’i geriye dönük olarak düzeltemiyor.
Kullanıcılara, yeni bir seed üretmeden önce düzeltilmiş firmware’i kurmaları; ardından bu seed’in yedeğini almaları, cihaz üzerinde bir alıcı adresi doğrulamaları ve küçük tutarlı bir test işlemi göndermeleri tavsiye ediliyor.
Başka donanım cüzdanı olmayan Mk3 sahipleri, geçici önlem olarak güçlü ve benzersiz bir BIP-39 ek parola (passphrase) kullanabiliyor; ancak Coinkite, buna rağmen en kısa sürede tamamen yeni bir seed’e geçilmesini öneriyor.
Ayrıca Oku: Bitcoin ETF’leri 233,1 Milyon Doları Emdi, Tutarın Büyük Kısmını Tek Bir Fon Karşıladı
Bitcoin Hırsızlığının Etkisi
Atlas21, 30 Temmuz’da 960188 ile 960191 numaralı bloklar arasında, tek imzalı 500 adrese ait bakiyelerin otomatik bir operasyonla süpürüldüğünü rapor etti. İşlemler toplam 1.324 UTXO’yu tüketerek yaklaşık 38 milyon dolar değerinde 594,5 BTC’yi tek elde toplarken, yalnızca 0,044 BTC düzeyinde ücret ödendi. Hiçbir multisig ya da Taproot adresi saptanmadı.
Medyan kayıp 0,41 BTC olurken, 110 adres 1 BTC’nin üzerinde bakiye yitirdi; en yüksek tekil kayıp ise 29,9 BTC’ye ulaştı. Atlas21, işlem örüntüsünün, cüzdanların oluşturulduğu anda üretilen özel anahtarların kriptografik açıdan zayıf olmasına işaret ettiğini belirtti. İlk kamuoyu duyurusu, 24 kelimelik seed’i 2021’de bir Coldcard üzerinde üretilen ve bu seed’i hiçbir zaman bilgisayara girmemiş bir kullanıcıdan geldi.
Olay, “soğuk” depolamanın bile, temeldeki seed yeterli rastgeleliğe sahip değilse fonları koruyamayacağını net biçimde gösteriyor. Coinkite’in uyarısı, beş yılı aşkın bir dönemde oluşturulmuş cüzdanları kapsıyor; kullanıcılar fonlarını güvenli seed’lere taşıyana kadar risk altında kalmaya devam edecek. Buna karşın, söz konusu süpürme işleminin ardından Bitcoin fiyatı yaklaşık 64.000 dolar seviyesinde seyrini sürdürdü.
Sıradaki Haber: Polymarket Yatırımcıları Örümcek-Adam’a Tarihi Bir Açılış İçin %91 Şans Veriyor