Donanım kripto cüzdan pazarında güven tartışması derinleşti. Coldcard cihazlarında tespit edilen teknik bir açık, 500’den fazla Bitcoin adresindeki varlıkların boşaltılmasına yol açtı. Saldırganlar tek bir otomatik operasyonda 594,48 BTC’yi, yaklaşık 38,3 milyon dolar değerle, tek bir cüzdana taşıdı.
Güvenlik açığının kaynağı
Sorunun merkezinde, cüzdanların kurtarma ifadesi üretirken kullandığı rastgelelik mekanizması yer alıyor. Block Security, Coldcard yazılımındaki bu mekanizmanın Mart 2021’den bu yana doğru çalışmadığını açıkladı. Şirketin bulgularına göre Mk2, Mk3, Mk4, Q ve Mk5 dahil olmak üzere neredeyse tüm modeller risk altında bulunuyor.
Eski cihazlarda kod tabanındaki bir hata, yerleşik donanım üretecini devre dışı bıraktı ve cüzdanların anahtarları öngörülebilir bir yazılım algoritmasıyla oluşturmasına neden oldu. Daha yeni modellerde ise verinin kritik bölümleri kesildi. Bu durum, olası gizli ifade kombinasyonlarını ciddi biçimde azalttı ve saldırganların bu ifadeleri bilgisayar üzerinde dakikalar içinde denemesinin önünü açtı.
Mini sözlük: BIP 39 passphrase, standart kurtarma kelimelerine eklenen isteğe bağlı ilave paroladır. Bu ek katman, aynı kelime dizisinden farklı bir cüzdan türetilmesini sağlar ve yetkisiz erişimi zorlaştırır.
Peter Todd, pahalı bir cihaz için az kişinin inceleyeceği bir kod tabanına ve tedarik zinciri üzerinden arka kapı riski taşıyabilecek donanıma güvenmenin baştan beri soru işareti taşıdığını vurguladı.
Peter Todd’dan sert eleştiri
Tartışmaya Bitcoin geliştiricisi Peter Todd da katıldı. Todd, Bitcoin teknik ekosisteminde uzun süredir tanınan bir isim olarak, olayın ticari donanım cüzdanlara yönelik kuşkularını güçlendirdiğini söyledi. Ona göre bu olay, projenin kod tabanında bağımsız inceleme ve denetimin yetersiz kalmasının ağır bir örneği oldu.
Todd, sektörün gerçek donanım üzerinde uçtan uca deterministik test yaklaşımına yönelmesi gerektiğini savundu. Bu yaklaşımın, rastgeleliğin tam olarak hangi kaynaktan üretildiğinin doğrulanmasını sağlayabileceğini belirtti. Körü körüne çiplere güvenmek yerine fiziksel yöntemlerle üretim yapılabileceğini de gösterdi.
Multisig kullanıcıları için de risk büyüdü
Yeni veriler, çoklu imza kullanan cüzdanların otomatik olarak güvende olduğu yönündeki beklentiyi de zayıflattı. Eğer tüm çoklu imza anahtarları açık taşıyan Coldcard cihazlarında üretildiyse, saldırganların bu anahtarları tek tek ele geçirebilmesi mümkün görünüyor. Çünkü sorun, kurtarma ifadesinin ilk oluşturulduğu anda ortaya çıkıyor ve kelimelerin başka bir cihaza aktarılması tek başına koruma sağlamıyor.
| Başlık | Durum |
|---|---|
| Etkilenen adres sayısı | 500’den fazla |
| Tek cüzdana aktarılan miktar | 594,48 BTC |
| Tahmini değer | 38,3 milyon dolar |
| Risk altındaki modeller | Mk2, Mk3, Mk4, Q, Mk5 |
Kullanıcılara acil taşıma çağrısı
Uzmanlar, Bitcoin varlıklarını korumanın mevcut koşullarda tek yolunun tam tahliye olduğunu belirtiyor. Kullanıcıların üçüncü taraf bir donanım üzerinde yeni bir kurtarma ifadesi oluşturması ve tüm bakiyeyi fiziksel olarak yeni adreslere aktarması isteniyor.
İlk kurulum sırasında ek BIP 39 parolası kullanan kullanıcıların ise daha korunaklı durumda olduğu kaydedildi. Bu ek katman, kaba kuvvet saldırılarına karşı ilave bir engel oluşturuyor.
