Coldcard donanım cüzdanlarını hedef alan büyük Bitcoin saldırısında yeni bir aşamaya geçildi. Galaxy Research’in 7 Eylül 2026’da X’te paylaştığı zincir üstü verilere göre, “Wave 3” olarak tanımlanan saldırının arkasındaki operatör, çalınan BTC’leri kademeli biçimde hareket ettirmeye başladı. Fonların bir bölümü THORChain üzerinden Ethereum’a aktarılırken son işlemlerde CoinJoin yapılarının kullanıldığı görüldü. Araştırmacılar, Wave 3 kapsamında ele geçirilen varlıkların yaklaşık %45’inin artık ilk saldırgan adreslerinden çıkarıldığını bildirdi.
Öne Çıkanlar
- Wave 3 saldırganı, kurbanların fonları için 293 adet 2-of-2 multisig kasa oluşturdu.
- Wave 3’te çalınan Bitcoinlerin yaklaşık %45’i hareket ettirildi.
- Tüm Coldcard saldırısı dikkate alındığında çalınan fonların yaklaşık %82’si hala ilk saldırgan adreslerinde tutuluyor.
Saldırgan CoinJoin İşlemlerine Yöneldi
Galaxy Research’e göre Wave 3 operatörü, ele geçirdiği fonları büyüklük sırasına göre sistematik biçimde hareket ettiriyor. En büyük 11 kasadaki varlıklar işleme alınırken sıradaki 10 hareketsiz kasada toplam 30,81 BTC bulunuyor. 61 ile 293 arasındaki daha küçük kasalarda ise toplam 33,77 BTC tutuluyor.
İlk büyük hareketler 2 Eylül’de gerçekleşti. Saldırgan, Bitcoinlerin bir bölümünü THORChain kullanarak Ethereum tarafına taşıdı. Daha sonraki işlemlerde ise işlem geçmişinin takip edilmesini zorlaştırabilen CoinJoin yöntemlerine yöneldi. İlk THORChain hareketleri daha önce bağımsız olarak da raporlanmıştı.
Yeni Bir Multisig Kasa Daha Tespit Edildi
Galaxy araştırmacıları ayrıca daha önce sınıflandırılmamış 58 adresin aynı biçimde hazırlanmış 2-of-2 multisig kasada toplandığını belirledi. Söz konusu kasanın Wave 3 operatörü tarafından harcanması, bunun da Coldcard mağdurlarına ait olabileceği ihtimalini güçlendirdi.
Bununla birlikte Wave 3’teki %45’lik hareket oranı saldırının tamamını temsil etmiyor. Galaxy’nin son paylaşımına göre bütün Coldcard vakaları birlikte değerlendirildiğinde çalınan varlıkların yaklaşık %82’si hala saldırganların ilk adreslerinde, yaklaşık %18’i ise sonradan hareket ettirildi.
Veri Kutusu
Son gelişme: 7 Eylül 2026
Wave 3 multisig kasa sayısı: 293
Wave 3’te hareket eden fon: Yaklaşık %45
Tüm saldırıda hareketsiz kalan fon: Yaklaşık %82
Kullanılan yöntemler: THORChain, Ethereum, CoinJoin
Daha önce doğrulanan kayıp: En az 1.778,84 BTC
Kriptofoni Yorumu
Coldcard vakasında artık yalnızca saldırının büyüklüğü değil, çalınan Bitcoinlerin nasıl nakde çevrileceği veya izlerinin nasıl zorlaştırılacağı öne çıkıyor. Fonların parça parça hareket ettirilmesi ve farklı yöntemlerin denenmesi, saldırganın zincir üstü takibin oluşturduğu baskıyı dikkate aldığını düşündürüyor. CoinJoin kullanımı tek başına yasa dışı faaliyet anlamına gelmese de çalınan fonlarla bağlantılı işlemlerde takip sürecini önemli ölçüde karmaşıklaştırabilir.
Sık Sorulan Sorular
Coldcard Wave 3 nedir?
Coldcard güvenlik açığından yararlanan saldırıların üçüncü büyük zincir üstü dalgasına verilen isimdir.
Wave 3 fonlarının tamamı taşındı mı?
Hayır. Galaxy Research’e göre yaklaşık %45’i hareket etti.
Saldırgan Bitcoinleri nereye gönderiyor?
Bazı fonlar THORChain üzerinden Ethereum tarafına taşındı, bazıları ise CoinJoin işlemlerine yönlendirildi.