Coldcard'ın 5 Yıllık Hatası: Donanım Cüzdanlarında 90 Milyon Dolarlık Güvenlik Açığı

Kripto varlıkların güvenli saklanması için sıklıkla kullanılan donanım cüzdanları, Coldcard'da tespit edilen ve beş yıl boyunca fark edilmeyen kritik bir güvenlik açığı ile sarsıldı; olay, sektör bağımsız denetim standartlarının acilen revizyonu gerektiğine dair ciddi bir uyarı niteliği taşıyor.

90 Milyon Dolarlık Zarar ve Entropi Krizi

Olayın boyutu, 4.500'den fazla adresin etkilenmesi ve yaklaşık 90 milyon dolar değerinde Bitcoin'in çalınmasıyla netleşirken, Kraken Güvenlik Şefi Nick Percoco, durumun bir "uyanma çağrısı" olduğunu belirtti.

■Coinkite, Mart 2021'de yeni bir kriptografik kütüphane entegrasyonu sırasında yaşanan göç hatasının, cüzdan oluşturma sürecini zayıf bir MicroPython üretecine yönlendirdiğini doğruladı.

■Hata, cihazın True Random Number Generator (TRNG) özelliğini devre dışı bırakarak, daha öngörülebilir olan ve saldırganların kırabileceği zayıf bir rastgelelik kaynağı kullanımına neden oldu.

■Coinkite yetkilileri, dikkatlice tasarlanan TRNG kodunun varlığını koruduğunu ancak şans eseri sadece daha az önemli işlemler için kullanıldığını itiraf etti.

Denetim Paradoksu: Kodun Varlığından Çağrılmasına

Bu güvenlik açığının beş yıl boyunca fark edilememesinin temel sebebi, denetçilerin TRNG kodunun varlığını doğrulamış olması ancak bu kodun üretim yazılımı tarafından gerçekten çağrılıp çağrılmadığını kontrol etmemesidir.

■Mevcut denetim süreçleri, onaylanan rastgelelik kaynağının üretim yazılımı tarafından kullanılıp kullanılmadığını sistematik olarak doğrulamıyor.

■Tüketiciler, sistemin en kritik fonksiyonunun üreticinin uygulamasına güvenmek zorunda bırakılıyor ve onaylanan entropi yolunun gerçekte yürütüldüğüne dair bağımsız bir doğrulama bulunmuyor.

■Percoco, donanım cüzdanlarının şu an için satıcı sponsorluğunda denetimler ve bazı sınırlı sertifikasyonlarla yetindiğini, ancak uçtan uca doğrulama zorunluluğunun bulunmadığını vurguladı.

Sektörel Uyanış: NIST ve BSI Standartları

Ödeme endüstrisi ve ABD hükümeti, kriptografik modüller için zaten katı standartlar uygulasada, donanım cüzdanı sektörü bu doğrulamadan muaf tutuluyor.

■NIST SP 800-90B (ABD hükümeti standardı) ve BSI AIS-31 (Alman federal bilgi güvenliği ofisi standardı), fiziksel gerçek rastgele sayı üreteçlerinin tasarımı ve testi için zaten mevcut referanslar.

■Ödeme endüstrisi, PIN giriş cihazlarının bağımsız laboratuvar testleri olmadan sevk edilmesine izin vermezken, dijital varlıkların kendi kendine saklanması (self-custody) bu güvenlik standartlarının istisnası olarak kalıyor.

■Coinkite, açık tespit edildikten sonra tüm cihaz sevkiyatını durdurdu ve etkilenen yazılımı içeren tüm birimleri imha etti.

Bir blokzincir araştırmacısı olarak bu olayın bana öğrettiği şey şu: "Trustless" (güvensiz) sistemlerin kendisi bile, insan yazılımının zaaflarına mahkumdur. Donanım cüzdanları, soğuk depolamanın kalesi olarak kabul edilse de, içeride çalışan entropi mekanizması kontrol edilmezse kale kapıları ardına kadar açık demektir. Sektör, kodun "var olduğunu" değil, "çıptan gerçekten geçtiğini" doğrulayan dinamik test standartlarına geçmek zorunda. Aksi takdirde, kendi kendine saklama (self-custody) sadece bir güvenlik illüzyonundan ibaret kalır.