Coldcard Faciası: Açık Kaynak İlüzyonu ve 114 Milyon Dolarlık Güven Skandalı

Sadece 25 dakikada yaklaşık 500 cüzdanı boşaltan ve toplamda 114 milyon dolar değerindeki Bitcoin'i süpüren bir saldırı, sektörün en temel güvenlik dogmasını sarsıyor. Saldırganlar, Coldcard cüzdanının donanım yazılımındaki (firmware) bir açığı istismar ederek, vaat edilenden çok daha düşük rastgelelikla cüzdan tohumları (seed) oluşturdu. Bu kusur, kod tabanına Mart 2021'de girdi ve beş yıl boyunca herkesin görebileceği açık kaynaklı bir sürümde asılı kaldı. Olayın sadece teknik bir hata olmadığı, aynı zamanda açık kaynak felsefesinin ve bağımsız denetim mekanizmalarının ciddi bir şekilde sorgulanması gerektiği ortaya çıktı.

Rakiplerden Koruma İçin Kodun Feda Edilmesi

Olayın kökleri, teknik bir gerekçeden ziyade ticari bir lisans değişikliğine dayanıyor. 2020'de Coldcard'ın donanım yazılımı GPL açık kaynak lisansı taşırken, bir rakibin bu kodu temel alan bir cihaz duyurmasının ardından şirket yönetimi sert bir dönüş yaptı.

■Coinkite CEO'su Rodolfo Novak (NVK), GPL lisansını seçtiği için pişman olduğunu belirten bir tweet attı (daha sonra silindi).

■Kasım 2020'de şirket, yazılımın artık açık kaynak olmadığını açıkça belirten "Commons Clause" lisansına geçti.

■Mart 2021'deki, son GPL kodlarını temizleyen işlemin (commit), aynı zamanda tohum üretimini bozan hatayı da içeren geniş bir yazılım yeniden yazımını tetikledi.

Lisans değişikliği baskısının bu aceleli kod değişikliğini ne kadar şekillendirdiği tam olarak ölçülemese de, belgeler sarsıcı bir gerçeği ortaya koyuyor: Rakipleri kısıtlamak için yapılan bir lisans değişikliği, savaşmış ve güvenli kriptografik kodun aceleyle ve hatalı bir şekilde değiştirilmesinin hemen öncesine denk geliyor.

Bağımsız Denetime Karşı Açık Savaş

Sistematik başarısızlığın en derin katmanı, kodu inceleyenlere muamele biçiminde yatıyor. Ağustos 2020'de Shift Crypto ve Nunchuk araştırmacıları Coldcard'da bir çoklu imza doğrulama açığı ortaya çıkardığında, Coinkite hatayı kabul etti ancak NVK bu açıklamayı "PR terörizmi" olarak nitelendirdi.

■2023'te WalletScrutiny projesi eski Coldcard sürümlerini yeniden üretmede sorunlar bildirdiğinde, şirket yanıtında projeyi yetersizlik veya kötü niyetle suçladı ve dava tehdidinde bulundu.

■Bağımsız incelemeler sonucunda, eski sürümlerde gerçek üretim sorunları bulundu ve kötü niyet olmadığı kanıtlandı.

Her araştırmacının topluluk içinde aşağılanması, bir sonraki araştırmacı için matematiksel denklemi değiştirir. Aylarca süren ücretsiz ve zorlu bir çalışmayı, alay konusu olmak, kara listeye alınmak veya yasal tehditlerle karşı karşıya kalmaya tercih etmesi muhtemel değildir. Güvenlik, insanların bakmaya istekli olmasına bağlıdır; ancak Coldcard çevresindeki kültür bakmayı cezalandırdı.

İtibarın Teknik Otoriteye Dönüşmesi

Psikolojide "yanıltıcı doğru etkisi" olarak bilinen durum, tekrarlanan iddiaların tek bir kaynaktan gelse bile bağımsızca doğrulanmış gibi hissettirmesine neden olur. "Halo etkisi" ise statü, özgüven ve popüler ürünlerin varsayılan teknik otoriteye dönüşmesine yol açtı.

■Yıllarca aynı podcast'lerde ve akışlarda eleştirmenlerin ajan olduğu, araştırmacıların terörist olduğu ve rakiplerin kopyalar olduğu iddia edildi.

■Tekrar, kanıtın yapması gereken işi yaptı ve özgüven, kanıtın yerini tuttu.

BTC Sessions sunucusu Ben Perrin, bu mekanizmayı dürüstçe itiraf ederek, davranışı görmezden geldiğini çünkü kibirin, yaratma ve güvence alma yeteneğiyle paketlendiğini varsaydığını söyledi. Endüstrinin büyük bir kısmı aynı hesaplamayı yaptı ve kendi saklama (self-custody) alanında dalgalanan güven krizi, bu faturanın ödenme zamanıdır.

Emre Can: Bir DeFi analisti olarak bu olayı, akıllı sözleşmelerdeki TVL (Toplam Kilitli Değer) riskleriyle paralel görüyorum. Web3 ekosisteminde "kod kanundur" ilkesi ne kadar güçlüyse, donanım katmanında da "açık kaynak şeffaflığı" o kadar kritiktir. Coldcard vakası, bir topluluğun doğrulama yükümlülüğünü bireysel bir lidere veya markaya devretmesinin (epistemic capture) ne kadar tehlikeli olduğunu kanıtlıyor. Katman-2 ölçeklendirme çözümlerinde gördüğümüz güvenlik modelleri gibi, donanım cüzdanları da merkeziyetsiz doğrulamaya bağımlıdır. Tek bir şirketin veya CEO'nun itibarına güvenmek, merkezi bir borsaya fon emanet etmek kadar risklidir.