Geçtiğimiz hafta yaşanan 116 milyon dolarlık Coldcard hack‘i, Bitcoin yatırımcılarını derinden sarstı. Ledger’ın üst düzey güvenlik yöneticisine göre ise manşetler asıl noktayı tamamen kaçırdı.
Bloomberg‘e konuşan Ledger’ın Chief Human Agency Officer‘ı Ian Rogers, bu saldırının self-custody ya da donanım cüzdan’ların doğası gereği riskli olduğunun bir kanıtı olmadığını savundu. Rogersa göre asıl mesele: zayıf rastgelelik üzerine kurulu sistemlerin siber saldırganlara karşı, yapay zekâ sayesinde ne kadar savunmasız hale gelebileceği.
Ledger Neden Etkilenmedi？
Coldcard‘daki zafiyetin kökeninde, 2021’den beri devam eden bir firmware hatası yatıyor. Burada seed oluşturma işlemi, cihazın donanım çipinden almak yerine sadece yazılım tabanlı bir sahte rastgele sayı üreteciyle gerçekleştirilmiş.
Bunun sonucunda yaklaşık 40-72 bit arası başlangıç değeri üreten sistem, AI destekli bir saldırganın adresleri sistemli olarak tarayıp private key‘leri bulmasına izin verdi. TRM Labs, 30 Temmuz’daki ilk dalgada 41 dakikada tam 1.082 BTCnin boşaltıldığını tespit etti.
Ledger ise, tamamen donanım tabanlı rastgelelik üretiyor. Rogers, Bloomberg‘e yaptığı açıklamada sistemin, yazılım yedeği olmayan sertifikalı güvenli çip kullandığını belirtti. Ortaya çıkan adres uzayı ise onun deyimiyle “arkasında 67 sıfır olan üç” gibi devasa bir rakam. Bu büyüklükteki bir alanı brute-force’la kırmak imkânsız dedi.
Sponsorlu
Sponsorlu
Ledger, aslında bu tür bir açığı tespit eden ilk firma değil. Şirket 2022‘de Trust Wallet’ta benzer bir hata bulmuş ve kullanıcıların fonlarını güvende tutması için sorumlu ifşa sürecini yürütmüştü. BeInCryptonun Coldcard üzerindeki yeni saldırıları ele alan haberleri, açığın ifşa olduktan sonra ne kadar organize ve hızlı bir şekilde suistimal edildiğini açıkça gösteriyor.
Yapay Zekâ Tehdidi Nasıl Değiştirdi？ 3 Kritik Nokta
Rogers, tehdidin nasıl büyüdüğünü üç adımda özetledi.
Birincisi; yapay zekâ, sadece kripto değil tüm teknolojilerde sistem açıklarını keşfetmek için saldırganlara ciddi bir güç kazandırıyor. ABDdeki su altyapısına yönelik saldırıları da bu trende örnek gösterdi. Çünkü AI tabanlı araçlar tamamen genel amaçlı çalışıyor.
İkinci olarak; AI ile yazılım geliştirme daha hızlı hale geliyor, böylece sektör genelinde daha fazla kod üretiliyor ve saldırı yüzeyi büyüyor. BeInCrypto, AI destekli akıllı kontrat saldırılarının artık tespit araçlarından daha hızlı geliştiğini raporladı.
Üçüncüsü ve Rogers‘ın altını çizdiği asıl mesele: Kurumlar, e-posta, Slack veya kimlik bilgileri gibi iç sırlara erişim sağlayan agent’lar kuruyor. Bloomberg, Coldcard vakasını donanım odaklı bir olay olarak ele aldı. Oysa Rogersa göre bu, AI çağının çok daha büyük güvenlik sorunlarının erken bir uyarı sinyali.
Rogersın Uyardığı “Agentic” Tehlike
Geçen yılın sonunda Rogers, şöyle bir gelecek tarif etmişti: İnsanlar, AI agentlarına şifrelerini, kredi kartlarını ve kimliklerini bırakıyor – bu durum ise yönetilemeyen büyük bir risk. O dönemde pek anlaşılmamıştı, bugünse tablo çok daha net.
Rogers, bu durumu şöyle benzetti: AI agent ve sırlar, bir genç ile araba anahtarı gibidir. Anahtarlar o gencin odasında değil, anne-babanın elindedir. Ebeveyn, duruma göre erişim izni verir. Pazartesi okula gidiş serbesttir fakat cuma gecesi parti dönüşü için aynı şey geçerli değildir. Rogers‘a göre, bir agent’ın hangi bilgilere ne zaman erişeceğine de aynen bu mantıkla karar verilmeli.
Ledger, agent‘ın cüzdan’a erişmesini sağlayan fakat private keylere erişemeyeceği araçlar sunuyor. Donanım güvenliğini daima belirleyen ilke ise yine aynı: Güvenlik politikayla değil, tasarımla sağlanmalı.
Varlıklarınız nerede saklanırsa saklansın, onları koruyan güvenlik seviyesini gerçekten sorgulamalısınız.
Rogers, Bloomberge böyle konuştu.