Kanadalı donanım cüzdanı üreticisi Coinkite ve kurucuları, Coldcard cüzdanlarındaki bir yazılım hatası yüzünden kullanıcıların 140 milyon doların üzerinde Bitcoin kaybetmesiyle sonuçlanan toplu bir dava ile karşı karşıya kaldı. 11 Eylül 2026’da açılan davada, cihazların rastgele yerine öngörülebilir kurtarma ifadeleri ürettiği iddia ediliyor.
Toronto merkezli donanım cüzdanı üreticisi Coinkite Inc. ve kurucuları Rodolfo Novak ile Peter D. Gray, Coldcard donanım cüzdanlarındaki beş yıllık bir güvenlik açığı nedeniyle 11 Eylül 2026 tarihinde Ontario Yüksek Adalet Divanı’nda açılan toplu dava (class action) ile karşı karşıya kaldı. Los Angeles sakin davacı Amir Reza Naderi öncülüğündeki davada, cihazların zayıf rastgele sayı üreteci hatası yüzünden saldırganlar tarafından boşaltıldığı ve toplam kayıpların 140 milyon doları (1.300'den fazla Bitcoin) aştığı iddia ediliyor.
Beş Yıllık Yazılım Hatası ve Tahmin Edilebilir Cüzdan Anahtarları
Kripto para ekosisteminde donanım cüzdanları, varlıkları çevrimdışı tutarak en güvenli saklama yöntemlerinden biri olarak kabul ediliyor. Bu cihazlar, kullanıcıların fonlarını kurtarmasını sağlayan gizli kelime dizileri yani "kurtarma ifadeleri" (seed phrases) oluşturuyor. Ancak dava dosyasında yer alan iddialara göre, Mart 2021'de yayınlanan hatalı bir yazılım güncellemesi bu mekanizmayı temelinden sarstı.
Sorunun, bir "derleme ve bağlantı entegrasyon hatasından" kaynaklandığı belirtiliyor. Etkilenen cihazlar, amaçlanan donanım tabanlı rastgele sayı üreteci yerine Micropython'un Yasmarang yazılım üretecini kullanmak zorunda kaldı. Bu durum, cihazların gerçek anlamda rastgele güvenlik kodları üretmek yerine tahmin edilebilir şifreler yaratmasına ve saldırganların cüzdanlara fiziksel olarak erişmeden özel anahtarları yeniden oluşturmasına kapı araladı.
İstismar Dalgası ve Finansal Kayıplar
Söz konusu zayıflık, 30 Temmuz 2026 tarihinde kötü niyetli aktörler tarafından aktif olarak istismar edilmeye başlandı. İlk saldırı dalgasında sadece 25 dakika içinde yaklaşık 38 milyon dolar değerinde 594 Bitcoin (BTC) çalındı. Zaman içinde yaşanan yeni hırsızlık olaylarıyla birlikte toplam kayıpların 140 milyon doların üzerine çıktığı kaydedildi.
Davacı Amir Reza Naderi, 6 Ağustos tarihinde gerçekleşen yetkisiz transferler sonucunda kişisel olarak 1.22940052 BTC (yaklaşık 79.764 dolar) kaybettiğini belirtti. Dosyadaki iddialara göre, Bitcoin mühendisi James O’Beirne, Coinkite’ı bu güvenlik açığı konusunda henüz hırsızlıklar başlamadan çok önce, Mayıs 2025'te uyarmıştı.
Coinkite'ın Müdahalesi ve Hukuki Süreç
Coinkite, açığı 30 Temmuz 2026'da kamuoyuna duyurdu ve ertesi gün düzeltici bir yazılım yayınladı. Ancak uzmanlar ve şirket, yalnızca güncellenmiş yazılımı kurmanın daha önce üretilmiş tehlikedeki kurtarma ifadelerini korumadığını vurguladı. Kullanıcıların yeni bir cüzdan oluşturup Bitcoin'lerini bu adreslere transfer etmeleri gerekiyordu.
Şirket aleyhine açılan davada, Coinkite'ın müşteri iletişim bilgilerine sahip olmasına rağmen etki altındaki kullanıcılara doğrudan bildirim göndermediği öne sürülüyor. Ayrıca şirketin sözleşmesel sorumluluk sınırlamalarının tüketici koruma yasaları tarafından geçersiz kılındığı savunuluyor.
Önemli Doğrulanmış Gerçekler
* Dava Tarihi ve Yeri: 11 Eylül 2026, Ontario Yüksek Adalet Divanı (Kanada). * Etkilenen Modeller: Coldcard Mk2, Mk3, Mk4, Mk5 ve Q cihazlarının kişisel kullanım amaçlı alıcıları. * İlk İstismar Tarihi: 30 Temmuz 2026 (İlk 25 dakikada ~38 milyon dolar değerinde 594 BTC çalındı). * Toplam Tahmini Kayıp: 140 milyon doların üzerinde (1.300'den fazla Bitcoin).
Şu an için iddialar mahkemede kanıtlanmış değil ve henüz herhangi bir tazminat kararı verilmedi. Bitcoin.com News'in dava ve iddialar hakkında görüş almak üzere ulaştığı Coinkite, yayın saatine kadar herhangi bir yanıt vermedi. Gelişmelerin hukuki boyutu ve tüketici sorumlulukları üzerindeki yansımaları takip edilmeye devam ediyor.
