Coldcard saldırganı Bitcoinleri bu yöntemlerle taşıdı

Galaxy'ye göre saldırgan 2 Eylül'de en büyük kasadaki 20,5 Bitcoin'i THORChain üzerinden Ethereum'a çevirdi. Ardından 5 Eylül'de ikinci büyük kasadaki 15,48 Bitcoin'i bir CoinJoin işlemine yönlendirdi. 6 Eylül'de ise 10 kasadaki 61,12 Bitcoin'i aynı yöntemle taşıdı. CoinJoin, birden fazla kullanıcının Bitcoin işlemlerini tek bir işlemde birleştirerek girişlerle çıkışların eşleştirilmesini zorlaştırıyor.

SALDIRGAN 293 KASADAN EN BÜYÜK 11'İNİ BOŞALTTI

Galaxy, bunların kurbanların kendi cüzdanları değil saldırganın oluşturduğu kasalar olduğunu belirtti. Saldırgan, her kurbandan çalınan Bitcoin için iki anahtarın da imzasını gerektiren 2/2 çoklu imza yapısıyla ayrı bir kasa oluşturmuştu. Bu yapıda toplam 293 kasa bulunuyordu. Saldırgan fonları kasa büyüklüğüne göre taşıyor ve şimdiye kadar en büyük 11 kasayı boşalttı. Henüz dokunulmayan sıradaki 10 kasada 30,81 Bitcoin bulunuyor. 61'inci ile 293'üncü sıradaki daha küçük kasalarda ise toplam 33,77 Bitcoin tutuluyor.

Bu hareketler, Galaxy'nin daha önce tespit edemediği bir kasayı da ortaya çıkardı. Galaxy, 58 adres tarafından fonlanan ve aynı yapıyı kullanan bu kasanın başka bir Coldcard kurbanıyla bağlantılı olabileceğini belirtti. Kasanın kökeni doğrulanamadı. Galaxy'ye göre bu kasanın dahil edilmesi hâlinde üçüncü dalgadaki kasa sayısı 294'e, yayımlanan toplam kayıp tahmini ise yaklaşık 1806 Bitcoin'e çıkıyor. Bu miktarın güncel değeri yaklaşık 143,9 milyon dolar.

SALDIRI FIRMWARE AÇIĞIYLA BAŞLADI, 2026'NIN ÜÇÜNCÜ BÜYÜĞÜ

Hırsızlıklar 30 Temmuz'da başladı. Saldırganlar, Coldcard cihazlarının cüzdan tohumu üretimindeki rastgeleliği zayıflatan firmware açığından yararlandı. Üretici Coinkite düzeltilmiş firmware yayımladı. Şirket, etkilenen kullanıcıların yeni bir cüzdan tohumu oluşturup fonlarını taşıması gerektiğini bildirdi. Şirkete göre yalnızca firmware'i güncellemek, daha önce zayıf rastgelelikle oluşturulmuş cüzdan tohumlarını güvenli hâle getirmiyor.

TRM Labs, Coldcard saldırısını 2026'nın şimdiye kadarki üçüncü büyük kripto saldırısı olarak sınıflandırıyor. DefiLlama'nın güncel kayıtlarında Drift kaybı 295 milyon, Kelp DAO kaybı 293 milyon dolar seviyesinde bulunuyor. TRM Labs, fonlar hareket etmeyi sürdürdüğü ve yeni mağdurlar ortaya çıkabildiği için toplam kaybın henüz kesinleşmediğini belirtiyor.