Coldcard’da Gizli Kod Hatası 100 Milyon Dolar Çalınmasına Yol Açtı

Coldcard donanım cüzdanının kodundaki kritik bir hata, iki yıl boyunca gözden kaçtı ve 100 milyon dolar değerinde kripto varlığın çalınmasına yol açtı.

Kodun Sessiz Çöküşü

Coldcard, “trust but verify” felsefesinin simgesi olarak kabul edilirken, bu olay o felsefenin sistematik bir ihlâlini ortaya koydu. Hata, cüzdanın firmware güncelleme sürecinde binary parsing işlevinde bir sınır kontrolü eksikliği olarak tanımlandı. Bu eksik, belirli bir koşulda saldırganların sahte bir imza eklemesine izin vererek fonların yönlendirilmesini sağladı.

Denetim Açığı ve Sonuçları

■$100 milyon değerinde fon, 2 yıl boyunca çalındı ve hâlâ tam olarak geri alınamadı.

■Coldcard’ın CEO’su Matt Corallo, olayı “kapsamlı bir kod incelemesinin eksikliği” olarak nitelendirdi.

■Olay sonrası 10 %’luk bir kullanıcı tabanı, cüzdanlarını güncelleme veya farklı bir çözüm aramaya yöneldi.

Piyasa Güvenine Yansımalar

Kripto güvenlik endüstrisi, bu tür sistematik hataların “kötü niyetli aktörler tarafından istismar edilme” riskini yeniden değerlendirdi. Birçok borsanın ve kurumsal yatırımcının, donanım cüzdanı sağlayıcılarıyla daha sıkı SLA ve sıfır‑güncelleme testleri talep etmeye başlaması bekleniyor.

Düzenleyici Çerçevede Yeni Sorumluluklar

AB’nin MiCA düzenlemesi, donanım cüzdanları için güvenlik sertifikasyonu şartı getirmeyi planlıyor. ABD’de ise SEC, “crypto‑asset custody” standartlarını gözden geçiriyor; bu olay, regülatörlerin kod şeffaflığı ve bağımsız denetim gereksinimlerini hızlandırabilir.

Deniz Arel, Kripto Para Regülasyonları ve Uyum Direktörü

Bu olay, sektörde “güven” yerine “doğrulanabilirlik” kültürünün zorunluluğunu bir kez daha gözler önüne seriyor. Regülatörler, kodun açık kaynaklı hâle getirilmesi ve periyodik bağımsız denetim zorunluluğu getirecek yeni çerçeveler hazırlamalı; aksi takdirde benzer kayıplar, kurumsal yatırımcıların piyasadan çekilmesine yol açabilir.