Coldcard Saldırısı 116 Milyon Dolara Ulaştı. Dördüncü Dalga Hâlâ Etkisini Sürdürüyor

Dört Günde Dört Dalga

Tahmini 30 milyon dolarlık bir hırsızlık olarak başlayan olay, bir haftadan kısa bir sürede üç katından fazla arttı. Bitcoin.com News, bu güvenlik açığını ortaya çıktığı anda ilk kez haber yaptı. Saldırganların Coldcard tarafından oluşturulan cüzdanlardan gerçekleştirdiği her yeni işlem dalgasıyla bu rakam yükseldi: İlk dalgada ilk on dakika içinde 30 milyon dolar aktarıldı; ikinci dalganın ardından bu rakam yaklaşık 75 milyon dolara, hırsızlığın 4.500 adrese yayılmasıyla birlikte ise neredeyse 89 milyon dolara ulaştı.

Rakam şu anda 5.200'den fazla ayrı adresten çekilen 1.816 BTC ile yaklaşık 116 milyon dolar seviyesinde. Saldırıyı gerçek zamanlı olarak takip eden Galaxy Research, önceki rakamların düzeltilmesinin ardından 3 Ağustos'ta tek başına yaklaşık 449 BTC'nin aktarıldığı dördüncü bir dalgayı doğruladı.

Şirketin başkanı Alex Thorn, son etkinliği olası bir “dördüncü organize dalga” hırsızlığı olarak nitelendirdi ve olay öncesi kontrol penceresinde blok başına sadece 0,3 transfer varken, bu dalgada blok başına 13,8 transferlik bir temizleme oranına işaret ederek, bunun normal temel faaliyetin yaklaşık 45 katı olduğunu belirtti.

Thorn’un analizi, bu modelin, tek bir saldırganın operasyonunu metodik bir şekilde genişletmesinden ziyade, güvenlik açığı bulunan anahtar alanında paralel olarak yarışan birden fazla gruba işaret ettiğini ortaya koyuyor. Bu ayrıntı önemlidir, çünkü farklı aktörlerin hangi adreslerin hala açıkta olduğunu bağımsız olarak keşfetmesiyle hırsızlığın aralıklı olarak devam edebileceğini ima etmektedir.

Rastgele Sayı Kusurunun Önemi

Sorunun kök nedeni bu haftadan daha eskiye dayanıyor; çünkü 2021 yılında belirli Coldcard cihazlarına yapılan bir donanım yazılımı güncellemesi, cüzdanın tohum oluşturma sürecini güçlü bir donanım tabanlı rastgelelik kaynağından, tahmin edilebilir olduğu ortaya çıkan bir yazılım modeline geçirdi; bu da, etkilenen donanım yazılımında oluşturulan herhangi bir cüzdan tohumunun teorik olarak kaba kuvvet yöntemiyle kırılmak yerine tahmin edilebileceği anlamına geliyor.

İlk kargaşa sırasında ZachXBT, çalınan fonların izini sürmeye yardım etmeyi reddetti; bu da kurbanları ve bağımsız araştırmacıları, hangi adreslerin savunmasız olduğunu tam olarak bilen saldırganlarla yarışmak zorunda bıraktı.

Bu avantaj, en büyük cüzdanların ilk olarak hedef alınmasının nedeniydi. Saldırganlar, güvenlik açığı aktif hale gelir gelmez dakikalar içinde en yüksek bakiyeli cüzdanları hedef aldı ve çoğu cüzdan sahibinin fonlarının risk altında olduğuna dair herhangi bir ipucu bile fark etmeden yaklaşık 25 dakika içinde tek imzalı cüzdanlardan yüzlerce bitcoin çekmeyi başardı.

Güvenliği ihlal edilen tüm adresler, Mart 2021’de piyasaya sürülen hatalı donanım yazılımından sonra oluşturulan cüzdan tohumlarına kadar izlenebiliyor; bu da, bu ay birisi bu açığı bulup istismar etmeye başlayana kadar, güvenlik açığının beş yıldan fazla bir süredir sessizce var olduğu anlamına geliyor.

Coinkite’in Tepkisi ve Bundan Sonra Neler Olacak

Coldcard'ın arkasındaki Kanadalı üretici Coinkite, zararın boyutunu doğrudan kabul etti. Devam eden hırsızlık olaylarına ilişkin yaptığı açıklamada şirket şunları söyledi "Son üç gün, şirket tarihimizin en zor günlerinden bazıları oldu ve bunu okuyan pek çok kişi için durum çok daha kötüydü," dedi ve Coldcard cihazında cüzdan tohumunu oluşturan herkese, fonlarını mümkün olan en kısa sürede güvenli bir şekilde oluşturulmuş yeni bir cüzdana aktarmalarını şiddetle tavsiye etti.

Hala bu süreci tamamlamaya çalışan mağdurların, onaylanmamış transferlerde "Replace-By-Fee" işlemlerini denemek için dar bir zaman aralığı var; ancak bu seçenek, saldırganın topladığı varlıkların zincir üzerinde henüz onaylanmamış olması durumunda işe yarar.

Son olarak, Anthony Pompliano gibi sektör çalışanları, saldırının Bitcoin’in kendisinde olduğu yönündeki iddiaları reddederek, sorunun BTC protokolünden ziyade tamamen Coldcard’ın donanım yazılımında (firmware) yattığını savundu.