Coldcard Saldırısında Kritik İz: FBI İlk Saldırganların Peşinde

Coldcard donanım cüzdanlarını hedef alan Bitcoin hırsızlığında soruşturmanın teknik boyutundan istihbarat boyutuna geçildiğine ilişkin yeni bir işaret ortaya çıktı. Block ve Galaxy Research tarafından yürütülen incelemeler, saldırganların zincir üzerindeki işlemler sırasında ücretli bir blockchain veri sağlayıcısının hesabını kullandığını ve sağlayıcının iç kayıtlarının saldırganların sorgu hareketleriyle örtüştüğünü ortaya koydu. İlk saldırı dalgasında 1.082,65 BTC’nin boşaltıldığı olay, daha sonraki araştırmalarda birden fazla dalgaya yayılan çok daha büyük bir güvenlik krizinin parçası olarak değerlendirilmeye başlandı.

Coldcard saldırganları kesin olarak tespit edildi mi?

Henüz kamuya açık bilgiler, saldırganların kimliklerinin kesin biçimde açıklandığını göstermiyor. Ancak Block’un incelemesinde belirlenen ücretli blockchain veri hesabı ve sağlayıcının dahili kayıtlarının saldırı sırasında gerçekleştirilen sorgularla örtüşmesi, soruşturmacılara saldırganın operasyonel faaliyetlerini takip edebilecek önemli bir iz sağlamış görünüyor. Elde edilen bilgilerin yetkililerle paylaşıldığı bildirildi.

Öne Çıkanlar

• İlk saldırı dalgasında 1.082,65 BTC, yaklaşık 41 dakikada 1.196 adresten çekildi.
• Block, saldırganların ücretli bir blockchain veri sağlayıcısı hesabı kullandığını belirledi.
• Sağlayıcının dahili kayıtları, saldırganların zincir üzerindeki hareketleriyle dikkat çekici ölçüde örtüştü.
• Sonraki araştırmalar Coldcard vakasının ilk dalgadan çok daha geniş olduğunu ortaya koydu.

Saldırganların Bıraktığı Dijital İz Neden Önemli?

Blockchain işlemleri kamuya açık olsa da saldırganın gerçek kimliğini doğrudan ortaya çıkarmak çoğu zaman mümkün değildir. Bu nedenle soruşturmalarda zincir üzerindeki hareketlerin, zincir dışındaki faaliyetlerle eşleştirilmesi kritik önem taşır.

Block araştırmasında dikkat çeken nokta tam olarak bu oldu. Saldırganların çalınan Bitcoin’leri takip etmek ve kaynak adresleri sorgulamak için ücretli bir blockchain veri hizmetinden yararlandığı belirlendi. Hizmet sağlayıcısının tuttuğu dahili kayıtların saldırganların sorgu zamanlaması ve işlem modeliyle örtüşmesi, zincir üzerinde görülen anonim hareketlere zincir dışı bir bağlantı ekledi.

Bu, saldırganların Bitcoin ağındaki işlemlerinden daha değerli bir soruşturma izi yaratmış olabilir. Çünkü blockchain üzerinde adresler görülebilirken, ticari bir veri hizmetindeki hesap kullanımı zaman, sorgu biçimi ve hesap bilgileri gibi ek veriler sağlayabilir.

Coldcard Açığı Nasıl Kullanıldı?

Olayın merkezinde Coldcard firmware’inde yıllarca bulunan rastgele sayı üretimi sorunu bulunuyor. Araştırmacılara göre belirli sürümlerde seed üretimi, cihazın güvenli donanımsal rastgelelik kaynağı yerine öngörülebilir bir yazılım tabanlı yönteme yönlendirildi. Bunun sonucu olarak bazı cüzdanların seed’leri teorik olarak tahmin edilebilir hale geldi.

Bu ayrıntı saldırının neden sıradan bir donanım cüzdanı hırsızlığından farklı olduğunu açıklıyor: Saldırganların cihazlara fiziksel olarak erişmesi gerekmemiş olabilir. Anahtar üretimindeki zayıflık, blockchain üzerindeki adreslerin analiz edilmesi ve uygun anahtarların yeniden oluşturulması için kullanılabilecek bir saldırı yüzeyi yarattı. Galaxy Research, ilk dalgada 1.082,65 BTC’nin 1.196 adresten yaklaşık 41 dakikada çekildiğini belirledi.

İlk Dalga Artık Hikayenin Tamamı Değil

Coldcard vakasının en önemli gelişmelerinden biri, kaybın ilk açıklanan rakamlarla sınırlı kalmaması oldu. Galaxy Research daha sonra üç doğrulanmış saldırı dalgasında yaklaşık 1.596 BTC’nin 7.300 adresten çalındığını bildirdi. Dördüncü bir dalganın da incelendiği ve toplam kaybın yaklaşık 2.000 BTC’ye ulaşabileceği belirtildi.

TRM Labs ise sonraki değerlendirmesinde olayla bağlantılı kayıpların yaklaşık 1.816 BTC seviyesine ulaştığını ve en az dört saldırı dalgasının görüldüğünü bildirdi. Araştırmacılar, farklı işlem kalıplarının birden fazla saldırganın devrede olabileceğine işaret edebileceğini de belirtiyor.

Bu nedenle “Coldcard saldırganları bulundu” şeklindeki kesin bir ifade şu aşamada fazla iddialı olur. Daha doğru tanım, ilk saldırı dalgasına ilişkin soruşturmada saldırganların operasyonel faaliyetlerini gerçek dünyadaki bir hizmet hesabına bağlayabilecek önemli bir iz bulunduğu yönünde.

Kriptofoni Yorumu

Coldcard olayında asıl kırılma noktası Bitcoin blockchain’inin anonimliği değil, anonim olmayan hizmetlerin kullanılması olabilir. Saldırgan blockchain üzerinde kimliğini gizleyebilir; ancak ücretli bir veri hizmetinde bıraktığı hesap ve kullanım kayıtları aynı anonimlik seviyesini sunmayabilir.

Bu durum, zincir analizinin nasıl evrildiğini de gösteriyor. Eskiden soruşturmanın ağırlık merkezi Bitcoin adresleri ve para hareketleriyken, artık API çağrıları, veri sağlayıcıları, zaman damgaları ve hizmet hesapları da dijital delilin parçası haline geliyor.

Daha önemlisi, Coldcard vakası “donanım cüzdanı = mutlak güvenlik” anlayışını da sorgulatıyor. Güvenlik yalnızca cihazın internete bağlı olup olmamasıyla ölçülmüyor; firmware, kütüphaneler, rastgele sayı üretimi ve yazılım derleme süreçleri de aynı zincirin parçaları.

Veri Kutusu

Sık Sorulan Sorular

FBI Coldcard saldırganlarını buldu mu?
Kamuya açık bilgiler kesin bir kimlik açıklaması içermiyor. Ancak saldırganların kullandığı düşünülen ücretli blockchain veri hesabına ilişkin kayıtlar soruşturmada önemli bir iz oluşturuyor.

Coldcard saldırısında ne kadar Bitcoin çalındı?
İlk saldırı dalgasında 1.082,65 BTC çalındı. Sonraki araştırmalar toplam kaybın bunun çok üzerine çıkabileceğini gösterdi.

Coldcard açığının temel nedeni neydi?
Belirli firmware sürümlerinde seed üretiminin güvenli rastgelelik kaynağı yerine zayıf ve öngörülebilir bir yönteme yönelmesi temel sorun olarak gösteriliyor.

Saldırganların cihazlara fiziksel erişimi oldu mu?
Mevcut araştırmalar, saldırının fiziksel cihaz erişimi gerektirmeden gerçekleştirilebildiğini gösteriyor. Sorun, cüzdan seed’lerinin üretim sürecindeki kriptografik zayıflıktan kaynaklandı.