Coldcard tohum (seed) oluşturma hatası: Binlerce cüzdandan 100 milyon $+ değerinde BTC çalındı

Coldcard’in seed (tohum) üretimindeki hata yıllarca fark edilmeden kaldı; kullanıcılar genel olarak erişilebilen firmware’i inceleyebiliyor olmasına rağmen. Sonraki araştırmalar sorunun, Mart 2021’deki (v4.0.0) bir firmware değişikliğine dayandığını ortaya koydu. Bu değişiklik, seed phrase oluşturulurken amaçlanan özel donanım entropi kaynağı yerine daha zayıf bir rastgelelik üretecini kullandı. Araştırmacılar yaklaşık 5.200–7.300 adresten 1.596–1.816 BTC (100 milyon doların üzerinde) civarında hırsızlıklar rapor ediyor. Coinkite, etkilenen bazı modellerde tahmini entropinin amaçlanan 128 bit yerine yaklaşık ~72 bit olduğunu ve bunun da seed arama alanını dramatik şekilde küçülttüğünü söylüyor. Block’un güvenlik ekibi, etkilenen rastgelelik yolunun güvenli rastgelelik sağlamadığını belirtiyor. Coinkite, etkilenen Coldcard modelleri için düzeltilmiş firmware yayınladı; ancak güncelleme mevcut recovery phrase’leri “yükseltmiyor”. Etkilenen kullanıcıların yama’yı yüklemesi, tamamen yeni bir seed üretmesi ve düzeltilmiş seed’den türetilen adreslere fonlarını taşıması gerekiyor. James O’Beirne, Mayıs 2025’te yapılan bir denetim sonrası rastgelelik sorununu tespit ederek bunu libngu’ya kadar izledi. Traders (yatırımcı/işlemciler) açısından Coldcard seed üretimindeki bu kusur, self-custody’de anahtar oluşturma aşamasında karşı taraf/üretici riskini bir kez daha vurguluyor. Bu durum donanım cüzdanlara olan güven açısından itibar ve operasyonel bir darbe; ancak olayın BTC’nin temel dinamiklerini kayda değer ölçüde değiştirmesi beklenmiyor.