Solana Vakfı CISO'su Michael Coates, kripto sektörünün insan ölçeğinde savunma yaparken saldırganların yapay zeka ile bilgisayar hızında hareket ettiği konusunda uyarıyor. 116 milyon dolarlık Coldcard vurgunu gibi olayları değerlendiren Coates, çoklu imza mimarilerini, otomatik savunmaları ve proaktif güvenlik önlemlerini savunuyor.
Yapay Zeka Hızındaki Tehditler ve Kripto Güvenliğinin Dönüşümü
Kripto para ekosisteminde güvenlik genellikle fonların donanım cüzdanlarına taşınmasıyla özdeşleştirilirken, yaz aylarında yaşanan büyük bir olay bu varsayımı sarstı. 30 Temmuz'dan itibaren, tek bir cihaza fiziksel veya dijital erişim sağlanmaksızın, 5.200'den fazla Coldcard cüzdanından yaklaşık 116 milyon dolar değerinde Bitcoin çekildi. Cüzdanların ürettiği kurtarma kelimelerinin tahmin edilebilir olması, kullanıcıların özel anahtarlarını korumak için gösterdiği tüm özeni boşa çıkardı.
Solana Vakfı'nın CISO'su ve eski Twitter CISO'su Michael Coates, Bits to Bricks programına katılarak söz konusu saldırıyı ve kripto güvenlik mimarisinde köklü bir değişim gerektiğini değerlendirdi. Coates'e göre, bu olay tek bir güvenlik denetiminin güvenilirliğine körü körüne bağlanmanın risklerini gözler önüne seriyor.
Coldcard Açığı ve Denetim Süreçlerindeki Boşluklar
Mart 2021'de yapılan bir kod değişikliğiyle, Coldcard donanım cüzdanlarının kurtarma kelimesini türettiği donanımsal rastgele sayı üreteci, yazılımsal sahte-rastgele bir üreteçle değiştirildi. Kod, değerin doğru ve güvenli bir kaynaktan gelip gelmediğini değil, sadece bir değerin ayarlanıp ayarlanmadığını kontrol ediyordu. Gerçekleştirilen denetimler ise yalnızca bu kontrol mekanizmasının çalıştığını doğrulamakla sınırlı kaldı.
Bu hata sonucunda seed entropisi 128 bitten yaklaşık 40 bite düştü ve çevrim dışı kaba kuvvet saldırılarıyla çözülebilecek kadar zayıfladı. 2021 yılında sürüme eklenen ve dört yıldan uzun süre keşfedilmeyen bu açık, tarihin en büyük donanım cüzdanı istismarına dönüştü. Coates, en dikkatli geliştiricilerin bile incelemecilerin gözünden kaçabilecek ince hatalar yapabileceğini, bu nedenle tek bir kod incelemesine asla güvenilmemesi gerektiğini vurguluyor. Yapay zekanın her iki taraf için de şartları değiştirdiğini belirten güvenlik uzmanı, bu tür yazılım açıklarının otomatik denetçiler veya otomatik saldırganlar tarafından artık kolayca tespit edilebildiğini ifade ediyor.
Donanım Cüzdanı Güvenliğinde Çoklu İmza Şartı
Kendi anahtarların, kendi kriptoların felsefesini eleştirmeyen ancak bireysel saklamanın risksiz olmadığını belirten Coates, hata yapıldığında hiçbir geri dönüş mekanizması bulunmadığına dikkat çekiyor. Kripto cüzdanlarının güvenceye alınmasında tek hata noktası ilkesinden kaçınılması gerektiğini savunan Coates, bu durumun pratik karşılığının çoklu imza sistemleri olduğunu belirtiyor.
Fonların hareket ettirilmesi için farklı kişiler tarafından farklı donanımlarda tutulan birden fazla anahtarın kullanılmasının önemine işaret eden Coates, bu yaklaşımın fiziksel tehditleri de etkisiz hale getirdiğini ifade ediyor. Normal kullanıcılar için ise güvenilir aracılar, coğrafi olarak dağıtılmış yedek cihazlar veya günlük harcamalar için ayrı tek imza cüzdanlar kullanılması öneriliyor.
Yapay Zeka, Derin Sahtekarlık ve Devlet Destekli Tehditler
Coates, yapay zekanın sadece yazılım açıklarını bulmakla kalmadığını, aynı zamanda sosyal mühendislik ve dolandırıcılık yöntemlerini de dönüştürdüğünü belirtiyor. Finans çalışanlarının, CFO ve diğer meslektaşlarının yer aldığı ancak tamamen yapay zekadan oluşan sahte görüntülü görüşmelerle milyonlarca doları yanlış adreslere aktardığı vakalara dikkat çeken Coates, kullanıcıların bu tür kusursuz saldırılara karşı eğitilerek korunamayacağını savunuyor.
Bu noktada hatanın kullanıcıların elinden alınması gerektiğini belirten Coates, tıpkı oltalama sitelerine karşı donanım tabanlı anahtarların kullanılması gibi sistemlerin otomatikleştirilmesi gerektiğinin altını çiziyor. Amerika Birleşik Devletleri Kongresi ve İç Güvenlik Bakanlığı ile paylaştığı endişeleri de aktaran CISO, Kasım 2025'te Anthropic tarafından ifşa edilen ve Çinli devlet destekli grupların Claude modelini kullanarak onlarca hedefe karşı operasyon yürüttüğü casusluk kampanyasını örnek gösteriyor.
İnsan gücünün ve hızının artık bu tür otonom, kendi kendine yayılan ajan tabanlı tehditlere karşı yetersiz kaldığını vurgulayan Coates, Solana Vakfı'nın DeFi protokolleri için nisan ayında başlattığı sürekli güvenlik derecelendirme programı STRIDE ve otomatik devre kesiciler gibi proaktif adımların bu vizyonun bir parçası olduğunu belirtiyor. Endüstrinin insan ölçeğinde savunma yapmaya devam ettiğini, tehditlerin ise bilgisayar ölçeğine ulaştığını belirten Coates, güvenlik açıklarının önceden otomasyonla kapatılması gerektiğinin altını çiziyor.
