Çevrimdışı kripto cüzdanı kendi anahtarlarını dışarı bildirdi

9 Ekim 2026’da üç bitcoin adresinden tek hamlede yaklaşık 5 milyon dolar çıktı. Para, tek bir amaç için üretilmiş Ledger donanım cüzdanlarında duruyordu: kripto anahtarlarının internete asla değmemesi. Büyük ihtimalle parayı, kasanın içine gizlenmiş bir SIM kart dışarı çıkardı.

Asıl tuhaf olan tutar değil. Paranın sahibi de bir dolandırıcıydı. Blokzincir analiz şirketi Chainalysis, onu hırsızlık dalgasının en büyük mağdurlarından biri olarak andı ve 60 bitcoin’inin nereden geldiğini de izledi. Sahte yorum yazan insanlara para ödüyor, sonra kazandıklarını vermeden önce bir “komisyon” istiyordu. 22 Eylül’de elde ettiği geliri üç Ledger adresine aktardı. 9 Ekim’de bu parayı başkası aldı.

Chainalysis, dolandırıcının cihazlarını nereden aldığını söylemiyor. Ama aynı gün Ledger, Güneydoğu Asya’daki alıcıların bildirdiği kayıplar için soruşturma başlattı . 10 Ekim’de şirket, bir mağdurun cüzdanında yabancı bir implant bulunduğunu doğruladı; 13’ünde ise tam olarak ne bulduğunu anlattı: fazladan bir mikrodenetleyici ve eSIM’li bir hücresel modem, yani doğrudan karta lehimlenmiş bir SIM kart. Çevrimdışı yaşaması gereken bir cihaz sessizce ağa bağlanıyor ve kendi anahtarlarını dışarı gönderiyordu.

Ekranda yirmi dört kelime

Donanım cüzdanı, küçücük bir ekranı ve birkaç düğmesi olan bir USB belleğe benzer. İçinde gizli anahtarı saklayan ve transferleri kendisi imzalayan güvenli bir çip bulunur. Dizüstü bilgisayarınız ya da telefonunuz cihaza yalnızca hazırlanmış bir işlem verir, imzalanmış halini geri alır. Anahtar çipten hiç çıkmaz; bu yüzden bilgisayardaki bir zararlı yazılım ona ulaşamaz.

Bu düzenin vazgeçilmez bir acil çıkışı var. Cüzdanlar kaybolur, ezilir. Böyle durumlar için cihaz ilk kurulumda ekranında 24 kelime gösterir, sahibi de bunları kâğıda yazar.

Cüzdanın ana sırrı yalnızca nadir anlarda düz metin olarak görünür. Çoğunlukla bu, kelimelerin ekrana geldiği ilk kurulumdur; daha seyrek olarak da kelimelerin geri girildiği kurtarma anıdır. Saldırı, bu anlardan ilkine göre kurgulanmış.

Cüzdanın içinde bir telefon

13 Ekim’de Ledger’in güvenlik ekibi Ledger Donjon, implantın nasıl çalıştığını anlattı . Kasanın içindeki bir mikrodenetleyici ekranda beliren görüntüyü izliyor, kurtarma kelimelerini çözüyor ve tıpkı bir telefondaki gibi sıradan mobil internet olan LTE üzerinden gönderiyor. Güvenli çipe ve ürün yazılımına dokunmuyor, işlemleri ya da imzaları değiştirmiyor. Cüzdan hiçbir şey fark etmiyor. Anahtarını sadakatle korumaya devam ediyor; o anahtarı yeniden kurabilecek 24 kelime ise çoktan yabancı ellerde.

Resmî özgünlük kontrolünün burada işe yaramamasının nedeni de bu. Ledger’e göre Genuine Check özelliği, orijinal güvenli çip yerinde durduğu sürece eklenen bileşenleri fark edemiyor . Çipi kontrol ediyor. Komşularını değil.

Bunlar hobi meraklısı değildi. Tibane Labs araştırmacıları ilk varyantta bir STM32 mikrodenetleyici, 2’ye 2 milimetre boyutunda bir eSIM ve ekranlı bir radyo modülü buldu. Yer açmak için orijinal pil daha küçüğüyle değiştirilmiş; hem cüzdanı hem de “casusu” o besliyordu. İkinci varyantta çip işaretleri kazınmıştı ve kart, normalde köpük bir pedin durduğu yerde, ekranın altına yerleştirilmişti. Mutfak masasında elle lehimlenmiş bir şey değil, fabrika usulü seri üretilmiş esnek bir karttı.

Kapısında doğru tabela olan bir dükkân

Ledger, doğrulanan tüm kayıpları tek bir satıcıya, Malezyalı perakendeci CryptoBilis’e bağlıyor. Bu, pazar yerindeki rastgele bir satıcı değildi: 9 Ekim itibarıyla Endonezya, Malezya ve Filipinler’de resmî Ledger bayisi olarak listeleniyordu. Soruşturma, kutuları kimin ve nerede açtığını, yani fabrikadan çıkıp yolda mı yoksa bir depoda mı olduğunu henüz belirleyemedi.

Ama hikâye Asya’da kalmadı. Almanya’da sıradan bir müşteri, büyük bir tüketici elektroniği zinciri olan MediaMarkt’tan bir cüzdan aldı ve içinde bir “casus” buldu. Para kaybetmedi; zincir Ledger’i hem mağazalarından hem web sitesinden kaldırdı. Eski Mt. Gox borsası başkanı Mark Karpelès, Singapur havalimanındaki bir mağazadan aldığı Ledger Flex’te implant bulduğunu yazdı; ancak Ledger bu cihazla CryptoBilis arasında bir bağlantıyı doğrulamadı. Ledger’in kendisi de Güneydoğu Asya’daki altı ülkenin ve Hong Kong’un satıcılarından, kontroller bitene kadar cüzdanları raflardan kaldırmalarını istedi.

Toplamda ne kadar çalındığını kimse bilmiyor. tanuki42 ve Specter takma adlı araştırmacıların hesabına göre, 72 milyon dolardan 86 milyon doların üzerine kadar bir tutar şüpheli adreslere gitti. Ledger, bu rakamların üçüncü taraflardan geldiğini ve kendisinin doğrulamadığını açıkça söylüyor. Stablecoin denen dijital doları çıkaran Tether, başkasının adresinde duran kendi coin’lerini dondurabiliyor. Hırsızlıkla bağlantılı 10 milyon dolarlık tutarı dondurdu . Şimdilik yol boyunca durdurulabilen tek açıklanmış tutar bu.

Değiştirilemeyen anahtar

Ledger’de özgünlük kontrolü fazladan bir devre kartını kaçırdı. Başka bir donanım cüzdanı üreticisi olan Keystone’da ise hırsızlar, böyle bir kontrolün arkasındaki anahtarın kendisini çaldı. 20 Ekim’de bir saldırgan, üçüncü taraf bir veri izleme aracındaki bir açık üzerinden şirketin web sitesine girdi. Keystone, 2024-2026 arasındaki yaklaşık 26.000 alıcının verilerinin açığa çıktığını duyurdu : adlar, iletişim bilgileri, teslimat adresleri ve sipariş içerikleri. Şirkete göre kurtarma ifadeleri ve cüzdan anahtarları etkilenmedi.

Kripto saklamak için cihaz satın almış insanların ev adreslerinden oluşan bir liste, başlı başına tehlikeli. Fransa’da soyguncular bu tür insanların evlerine zaten gidiyor ve ipuçlarını tam da böyle sızdırılmış veri tabanlarından alıyorlar. Kayıtların bir kısmı hiç var olmamalıydı. Keystone’un kendi politikasına göre 180 gün sonra silinmeleri gerekiyordu, ama otomatik silme aracı bozulmuştu. Kimse fark etmedi. Şirket şöyle yazdı: “Müşteri verilerini zamanında silme taahhüdümüzü yerine getiremedik ve bu hatanın sorumluluğunu üstleniyoruz.”

İkinci kayıp daha kötü. Saldırgan, her cihaza fabrikada yerleştirilen ve çevrimiçi kontrol sırasında cihazın özgün olduğunu kanıtlayan anahtarı da aldı. Bu anahtar, üretilmiş cüzdanlarda değiştirilemiyor. Yani onu taşıyan bir sahte, sahtecilikleri yakalamak için tasarlanmış kontrolden tam da geçecek.

Keystone, satılmamış 18.835 cihazı imha etmeye, sevkiyatları durdurmaya ve web mağazasını ön siparişe geçirmeye karar verdi. Şirkete göre 20 Ekim’den önce teslim edilen cüzdanlar kimlik doğrulamasını geçiyorsa güvenle kullanılabilir. Bu tarihten sonra cüzdan alanların önce ek kontrol yaptırması gerekiyor. Keystone ayrıca müşterilere asla cihazı iade etmelerini ya da paralarını taşımalarını isteyen mesaj göndermeyeceğini hatırlatıyor: bu tür mesajlar dolandırıcılardan gelir.

Güvenmek zorunda olduğunuz bir zincir

Üreticiler farklı yanıt veriyor. Trezor kendi cihazlarında kurcalama bulmadı, ama 1 Ocak 2027’den itibaren bayi ağını daraltıyor; bazı dükkânlar cüzdanlarını satma hakkını kaybedecek. OneKey CryptoBilis ile ortaklığı bitirdi ve 1 Mart - 13 Ekim 2026 arasında orada satın alınan kendi cüzdanlarını ücretsiz değiştiriyor.

Ledger, CryptoBilis cihazlarını hiç kurmamayı öneriyor. Zaten kuranlara ise paralarını yeni bir kurtarma ifadesiyle yeni bir cüzdana taşımalarını ve eski kelimeleri asla şüpheli bir cihaza girmemelerini söylüyor. Ledger kendi sunucularının ve doğrudan satışlarının ele geçirilmediğini belirtiyor; şimdiye kadar buna ters düşen bir şey yok. Dolayısıyla en pratik sonuç şu: en güvenli yol doğrudan üreticiden almak ve kaynağı belirsiz bir cüzdanı asla kurmamak.

Hâlâ bilinmeyen çok şey var. Mağdur sayısı açıklanmadı, kartları lehimleyen kişi bulunamadı. Kurcalanmış cihazların tek bir satıcının ötesinde ne kadar yayıldığı da belirsiz.

Binance’in kurucu ortağı Changpeng Zhao, ilk haberlerin geldiği gün, kendi kendine saklamanın ek sorumluluklar getirdiğini yazdı . Oysa CryptoBilis müşterileri cüzdanlarını resmî bir satıcıdan almıştı ve hiçbir özen, ekranın altına gizlenmiş bir kartı fark etmelerini sağlayamazdı.

Donanım cüzdanı sahibine, artık bir borsaya ya da bankaya güvenmek zorunda kalmayacağı sözünü vermişti. Ekim ayı, güvenin ortadan kalkmadığını, yalnızca yer değiştirdiğini gösterdi: artık kutuyu sizden önce elinde tutan fabrikaya, depoya, dükkâna ve kuryeye güvenmek zorundasınız.