COLDCARD donanım cüzdanındaki hatalı rastgele sayı üreticisi, tahminen 88,6 milyon dolar değerinde Bitcoin'in çalınmasına yol açtı.
Ne oldu?
COLDCARD donanım cüzdanı yazılımında tespit edilen bir rastgele sayı üreticisi (RNG) zafiyeti, saldırganların tahminen 88,6 milyon dolar değerinde Bitcoin çalmasına olanak sağladı. Zafiyet, yazılımın ürettiği özel anahtarların tahmin edilebilir olmasına neden oldu. Bu sayede saldırganlar, hatalı RNG ile oluşturulan binlerce cüzdanın anahtarlarını yeniden üretebildi ve fonları kendi adreslerine aktardı.
Neden önemli?
Bu olay, donanım cüzdanlarının güvenliğine olan güveni sarsıyor. Donanım cüzdanları, özel anahtarları çevrimdışı tutarak kullanıcıları siber saldırılardan korumayı amaçlar. Ancak bu zafiyet, cihazın yazılımındaki bir hatanın, tüm güvenlik modelini nasıl çökertebileceğini gösteriyor. Ayrıca, kayıpların büyüklüğü (88,6 milyon dolar) kripto para dünyasında ciddi bir güven bunalımı yaratabilir. Bu durum, kullanıcıların cüzdan güvenliği konusunda daha dikkatli olması gerektiğini ve yazılım güncellemelerinin önemini ortaya koyuyor.
Kim veya ne etkileniyor?
Öncelikle COLDCARD kullanıcıları etkileniyor; özellikle de zafiyetin aktif olduğu dönemde (tam tarih kesin değil) cüzdan oluşturanlar risk altında. Ayrıca, kripto para borsaları ve diğer hizmet sağlayıcılar da bu tür olayların ardından güvenlik önlemlerini artırma ihtiyacı duyabilir. Donanım cüzdanı üreticileri genel olarak itibar kaybı yaşayabilir. Kullanıcıların yanı sıra, sektördeki güvenlik araştırmacıları ve düzenleyiciler de bu olayı yakından takip ediyor.
Ne yapılmalı?
COLDCARD kullanıcıları, cüzdanlarının yazılımını derhal güncellemeli ve zafiyetin etkili olduğu dönemde oluşturulmuş cüzdanları yeni bir cihaz veya güvenilir bir yazılımla yeniden oluşturmalıdır. Ayrıca, tüm kullanıcıların özel anahtarlarını güvenli bir şekilde yedeklemesi ve mümkünse çoklu imza (multisig) çözümlerini değerlendirmesi önerilir. Donanım cüzdanı üreticileri, RNG gibi kritik bileşenlerde bağımsız denetimler yaptırmalı ve açık kaynak kodlarını daha şeffaf bir şekilde paylaşmalıdır. Kullanıcılar, güvenlik açıkları için üreticilerin duyurularını takip etmeli ve şüpheli işlemleri derhal bildirmelidir.