Coldcard Mk3 ürün yazılımındaki RNG kusuru: 1.367 BTC çalındı

Galaxy Research, Coldcard Mk3’ün üretici (RNG) kusurunun —özellikle firmware 4.0.1+ sürümlerinde— saldırganların cüzdan seed’lerini tahmin edebilmesini ve fiziksel erişim olmadan fonları boşaltmasını sağladığını bildiriyor. Toplam hırsızlık 4.585 etkilenen adreste 1.367,05 BTC’ye (yaklaşık 88,6 milyon $) yükseldi; üç koordineli dalga halinde gerçekleştirilen saldırılar, önceki tahminlerin (~594 BTC) iki katından fazla. Zamanlama belirleyici görünüyor. 30 Temmuz 2026’da en büyük dalga 41 dakika içinde 1.082,65 BTC çaldı. Galaxy, ilk iki dalganın 30 sat/vB sabit (hardcoded) ücret ve tutarlı batching desenleri dahil olmak üzere aynı işlem “parmak izlerini” paylaştığını; üçüncü dalganın ise farklı olduğunu, bunun da taktik ya da araç setinde değişiklik olduğunu düşündürdüğünü belirtiyor. Kök neden, Mart 2021’de eklenen zayıf ve öngörülebilir rastgelelik. Block’un Bitcoin Mühendisliği ekibi daha önce 4.0.0–4.2.0 aralığındaki savunmasız firmware derlemelerinde bu sorunu tespit etmişti; Coinkite ise ilk sweep’ler başladıktan yaklaşık ~30 saat sonra bir duyuru yayınladı. Coldcard Mk4, Q ve Mk5’in aynı kusuru paylaştığı düşünülmüyor. Yatırımcılar/treyderler, Coldcard Mk3 firmware kusurunun seed üretimiyle ilişkili risk içerdiğini dikkate almalı: Galaxy, kullanıcıların yalnızca aynı şekilde tehlikeye düşmüş seed içinde transfer yapmak yerine, yeni ve etkilenmemiş donanımda taze şekilde oluşturulmuş bir cüzdana geçmesini istiyor. Saldırganlar ayrıca hızlı onaylar almak için prim ücretler (medyan ücretin 30–75 katı) kullandı. Raporlara göre BTC fiyatına etkisi sınırlı kaldı; olay anında BTC yaklaşık 63.000 $ civarındaydı.