İki kargo şirketindeki veri ihlalleri, fiziksel donanım cüzdanı kullanan kripto para sahiplerini fonlarının çalınması riskiyle karşı karşıya bıraktı — ancak bu kez çevrimiçi değil, gerçek dünyada.

En büyük donanım cüzdanı üreticilerinden ikisi olan Trezor ve SafePal, cihazları göndermek için kullandıkları kargo ortaklarında yaşanan ayrı veri ihlallerinde binlerce müşterinin kişisel verisinin ve kargo bilgisinin çalındığını bildirdi. Sızan kayıtlar arasında isimler, ev adresleri, e-posta adresleri ve telefon numaraları yer alıyor.

Saldırılar cüzdanların kendisini etkilemedi — bunlar, kriptoyu internet tabanlı saldırılardan korumak için tasarlanmış çevrimdışı cihazlar. Ancak hırsızlar artık kripto sahiplerinin nerede yaşadığını biliyor; bu da "anahtar saldırısı" (wrench attack) olarak bilinen şiddet içeren soygunların kapısını aralıyor: saldırganların kurbanları, fonlarını kilidini açan kurtarma ifadesini vermeye zorladığı saldırılar.

Bu fiziksel saldırılar artıyor. Blockchain güvenlik firması CertiK, 2025'te raporlanan düzinelerce anahtar saldırısı saydı; bu, önceki yıla göre %75 artış ve soyguncuların 40 milyon doların üzerinde para çaldığı anlamına geliyor. Kripto adli bilişim firması Chainalysis, bu yılki hasarı şimdiye dek yaklaşık 30 milyon dolar olarak hesaplıyor; çeteler kurtarma ifadelerini almak için kaçırma ve eve zorla girme yöntemlerini kullanıyor.

Kargo ihlalleri, donanım cüzdanları için karanlık bir dönemin son halkası. Bu ayın başlarında bilgisayar korsanları, Coinkite'in Coldcard cüzdanındaki bir güvenlik açığını kullanarak 130 milyon doların üzerinde kripto parayı doğrudan blockchain'den çaldı: kurtarma ifadelerini üreten koddaki bir kusur, saldırganların cüzdanların çevrimdışı üreteceği ifadeleri tahmin etmesine ve fonları çekmesine olanak tanıdı — cüzdanlar internete hiç bağlanmamış olsa bile. Bir kurban X'te yazdığı paylaşımda "her şeyi doğru yaptığını" ancak "hiçbir şeyin işe yaramadığını... çünkü kurtarma ifadesini oluşturan donanımın 2021'den kalma kodunda savunmasız bir satır olduğunu" söyledi.

Trezor ve SafePal ayrıca müşterilerini, sızan telefon numaralarını ve e-posta adreslerini hedef alan kimlik avı mesajlarına karşı dikkatli olmaları konusunda uyardı. Güvenlik araştırmacıları, çalınan bir cüzdanın değiştirilebileceğini, ancak sızan bir ev adresinin firmware güncellemesiyle düzeltilemeyeceğini belirtiyor.

Kaynaklar