19 Ağu 2026

Coldcard Güvenlik Açığı: Bir Donanım Cüzdanının Rastgelelik Hatası Nasıl Devasa Bir Bitcoin Hırsızlığına Yol Açtı

Sadık Bitcoin kullanıcıları için üretilen bir donanım cüzdanı olan Coldcard, yalnızca Bitcoin'i destekler, çevrimdışı çalışır, açık kaynaklı koda dayanır ve Kanada'da monte edilir. Ancak, Mart 2021'den itibaren belirli Coldcard birimleri, rastgele sayılar üretmek için tasarlanmış özel çip yerine cihazın seri numarasına ve dahili saatine güvenerek müşteriler için özel anahtarlar oluşturdu. Bu durum, söz konusu anahtarların tahmin edilmesini önemli ölçüde kolaylaştırdı.

30 Temmuz'da bir hacker, 25 dakikalık bir zaman dilimi içinde yaklaşık 500 atıl cüzdandan 594 Bitcoin ele geçirdi. Galaxy Research, daha geniş kapsamlı hırsızlığı 1,196 adrese yayılmış 1,082 Bitcoin ile ilişkilendirdi. 2 Ağustos itibarıyla bu rakam, yaklaşık 88.6 milyon dolar değerinde olan yaklaşık 1,367 Bitcoin'e yükseldi.

Saldırganın cüzdanlara fiziksel erişimi gerekmiyordu. Coldcard'ın kaynak kodu, Bitcoin blok zincirindeki veriler gibi açıkça erişilebilirdir. Saldırganın, kusurlu yazılımın üretmiş olabileceği potansiyel anahtarları çözmek için görünüşe göre birkaç hafta harcadığı anlaşılıyor. Bu anahtarlar daha sonra fon içeren Bitcoin adresleriyle eşleştirilebildi. Açığa çıkan cüzdanlar tespit edildikten sonra saldırgan Bitcoin'leri taşıdı. Asıl hırsızlık sadece 25 dakika sürdü.