Bir cüzdan satıcısı tarafından açılan bir delik: 100 USD'lik sorumluluk sınırı, 90 milyonluk bir kaybı karşılayamaz

13 Ekim öğleden sonra Ledger, olaydan bu yana yayınladığı en uzun resmi güncellemeyi duyurdu ve saldırının yöntemini bileşen düzeyine kadar ayrıntılı şekilde açıkladı: yerleştirilen modül cihaz muhafazasının içine saklanmıştır; 'ekranda görüntülenen veriyi okur' — başlatma sırasında cihaz ekranda 24 kelimelik bir mnemonic ifade görüntüler; modül bu ifadeyi bir mikrodenetleyiciyle tanır ve çözer, ardından önceden yapılandırılmış bir eSIM üzerinden LTE ile dışarı gönderir.

Daha kritik olan bir açıklama da takip etti: yerleştirilen modül bağımsız bir bileşendir; güvenli elemanı değiştirmez, işletim sistemini değiştirmez ve işlemlerle imzaları da değiştirmez. Çip orijinaldir, sistem özündür ve her işlem kullanıcı tarafından doğrudan onaylanır — sektörün kullanıcıları için öğrettiği kontrollerin tamamını bu parti cihazlar geçmiştir. Mnemonic ifade yalnızca birkaç saniye boyunca ekranda görünmüştür; ancak ekstra bir çift göz vardı.

Ancak bu güncelleme yalnızca 'cihazın içinde ne oldu'yu yanıtladı; 'parasını kaybedenlerle ilgili ne yapılacak?' sorusuna cevap vermedi. 164 yanıt arasında en çok beğenilen takip sorularının neredeyse tamamı aynı şeyi soruyordu: yetkili satıcılardan alınan cihazlar değiştirildiyse ve bunun sonucunda finansal kayıp yaşanırsa Ledger sorumluluk alacak mı ve tazminat ödeyecek mi? AB'deki MediaMarkt kanalından cihaz alan kullanıcılar için durum nedir? Ledger'ın tutumu şudur: Doğrulanmış tüm finansal kayıplar CryptoBilis aracılığıyla satılan cihazlarla ilişkilidir; diğer kanallar ise 'henüz doğrulanmamıştır.'

Dört gün önce bu yalnızca 'belirli bir şirketin bir satıcısıyla ilgili bir sorun'du; şimdi ise tüm donanım cüzdanı sektörünün birlikte yanıt vermesi gereken bir soruya dönüştü: Cihaz fabrikadan çıktığı andan itibaren bütünlüğünden kim sorumludur?

I. Bir Satıcıdan Bir Zincire

9 Ekim’de Güneydoğu Asya’da kullanıcılar varlıklarının transfer edildiğini bildirdi; 10 Ekim’de Ledger, etkilenen bir kullanıcının cihazında yetkisiz donanım yerleştirimi olduğunu doğruladı ve bu ilk fiziksel kanıt oldu; aynı gün CryptoBilis, Ledger cihazlarının satışını ve sevkini askıya aldığını duyurdu. Yetkili bir satıcı, etkilenen kullanıcılar topluluğu ve bir kesinti — bu noktaya kadar anlatı neredeyse tamamlanmıştı.

Ancak aşağıdaki günlerde her yeni ipucu bu çerçeveyi genişletti.

İlk sapma cihazların kendisinde yatıyor. Doğrulanmış değiştirilmiş cihazların çoğu yenidir; iade edilmiş üniteler değildir. Sektörün varsayılan risk modeli her zaman 'kullanıcı yeni bir cihaz alır—cihaz değiştirilir—iade edilir—sonraki müşteri zarar görür' şeklindedir; bu, değişikliğin satıştan sonra gerçekleştiğini varsayar; ancak yeni cihazların değiştirilmiş olması, değişikliğin herhangi bir kullanıcıya ulaşmadan önce gerçekleştiğini gösteriyor — sorun 'dağıtım zincirinin bir bağlantısı'ndan 'depo aşamasına' kaydı.

İkinci sapma işçilik kalitesinde yatıyor. Karpelès, blogunda ilk örnekleri en son örneklerle karşılaştırdı: ilki açıkça el yapımı izleri gösterirken, ikincisi talep üzerine üretim yapılmış gibi görünüyor. Bu gözlem doğruysa, müdahale tek bir bireyin ani kararı değil, yerleştirilmiş modüllerin seri üretimi için uygun bir zincir tarafından gerçekleştirilmiştir. Zincirde yer alan figürler de yukarı doğru revize ediliyor: Specter başlangıçta 86 milyon doların üzerinde tahmin etmişti; Bitquery'in 12 Ekim'de 324 cüzdan ve birden fazla blokzinciri üzerinden yaptığı analiz yaklaşık 102 milyon doları gösterdi — Ledger ise şu ana kadar yalnızca 'Etkilenen kullanıcı sayısını ya da toplam kayıp değerini henüz doğrulamadık' demiştir.

Sonra ipuçları sınırları aşmaya başladı. Avrupa tarafında Johannes adlı bir kullanıcı, iki farklı MediaMarkt mağazasından iki değiştirilmiş cihaz satın aldığını bildirdi ve mağaza çalışanlarından envanter kayıtlarını kontrol etmelerini istedi; bunlardan en az biri Aqipa GmbH'den gelmekteydi — Avrupa'nın tamamını kapsayan bir dağıtım şirketi olup Almanya dışındaki bölgeleri de etkileyebilir. Asya tarafında Karpelès'in cihazı Amazon Japonya'dan satın alınmış, bir Çin satıcısı tarafından gönderilmiş ve Malezya'dan çıkmıştır; araştırma kurumu Tibane Labs tarafından Japon satıcı kanalı Nano X olarak rapor edilen cihaz da Malezya'dan gönderilmiştir. Binlerce mil uzaklıktaki iki ipucu aynı gönderim konumunu işaret ediyor.

Zincirin diğer ucu da aynı derecede profesyoneldir. Tether, ilk günde 10 milyon dolarlık USDT'yi dondurdu; saldırgan hemen 15 milyon dolarlık USDT'yi Tether'ın donduramadığı USDD'ye çevirdi, ardından yaklaşık 5,1 milyon dolarlık USDT'ye geri çevirdi; bunun yaklaşık 4,23 milyon doları bir Binance depolama adresine aktarıldı; 2.810 ETH üç turda Tornado Cash'e girdi. 11 Ekim itibarıyla saldırganın elinde hâlâ 15.475 ETH, 203 BTC ve 10 milyon dolar USDT bulunuyordu. CZ daha radikal bir spekülasyon öne sürdü — saldırgan bu satıcıyı satın almış ve sessiz kalması için gizlilik anlaşması imzalatmış olabilir; bu iddia henüz doğrulanmamıştır ama zincirin profesyonelliği açıktır.

Bu ipuçlarını bir araya getirdiğimizde 'tesadüfi' olarak açıklamak zordur: Rüşvetle satın alınan bir satıcı bir kazadır; sınırı aşan, kütlevi değiştirme ve dondurmayı engelleyebilen跨国 bir zincir ise bir güvenlik açığıdır. İlki listeyle kesilebilir; ikincisi değil. Ledger, daha güçlü donanım anti-takılma önlemleri geliştirdiğini açıkladı ama detaylarını veya uygulama zaman çizelgesini belirtmedi; sunduğu kendi kontrol çözümü kullanıcıların bileşen fotoğraflarını karşılaştırarak cihazı kendilerinin kontrol etmesini içeriyor; resmi kılavuz aynı zamanda cihazın açılmasının hasara neden olabileceğini uyarıyor. Kullanıcının cihazı sökmesini gerektiren bir doğrulama süreci, sektörün hâlâ bir cevabı olmadığını göstermektedir.

II. Diğerleri Ne Yapıyor

Olay dışında çeşitli üreticilerin verdikleri tepkiler de oldukça aydınlatıcıdır. Aslında CryptoBilis yalnızca Ledger değil, aynı zamanda Trezor, CoolWallet, Tangem, OneKey, SecuX ve Ellipal gibi birçok donanım cüzdanı da satmaktadır.

Olay patladığında aynı gün öğleden sonra Keystone'ın Çince hesabı, Keystone 3 Pro'nun PCI seviyesinde kendiliğinden yok olma özelliğinden bahsetti: fiziksel sökülme veya müdahale tespit edildiğinde çip verileri otomatik olarak silinir ve cihaz kullanılamaz hale gelir. Bu tweet 42.000 görüntülenme aldı. Bu saldırıya ilişkin Achilles topuğunu tam olarak vuruyordu — yerleştirilen modülün muhafazayı açarak takılması gerekir ve kendiliğinden yok olma özelliği 'sessiz takımı' 'bir kez takıldığında cihaz yok olur' haline getirir. Ancak tam da bu anda seçilmesi, ön plana garip bir durumu çıkardı: sektörün aslında teknik çözümleri hep vardı ama bunların uygulanmasının gerekli olduğu düşünülmemişti.

Çoğu üreticinin ilk tepkisi kendini uzaklaştırmaktı. Trezor, CryptoBilis'i yetkili listesinden çıkardı ve bu kanaldan satışları durdurdu; aynı zamanda kullanıcıları cihazı kendilerinin sökmemeleri konusunda uyardı; imKey ise ilgili geri bildirim almadığını belirtti ve yetkili kanalları doğrulayacağını duyurdu.

SafePal, cihazlarının ilk kurulum sırasında kimlik doğrulamasını ve kullanım durumunu kontrol ettiğini, daha önce etkinleştirilmiş cihazlar için uyarı verdiğini ve ilk etkinleştirme tarihini gösterdiğini vurguladı; ayrıca paketin açılıp açılmadığını belirlemek için açmaya karşı iz bırakabilen mühürler kullandı. Tangem daha ileri gitti ve mimari düzeyde müdahaleyi imkânsız kıldı: güvenli çip ile NFC anteni entegre edilip mühürlendi; özel anahtarlar çip içinde oluşturulup imzalandı ve fabrikada yazılan firmware değiştirilemez—«Kullanıcılar ürünleri resmi mağazalardan, bayilerden ya da başka kanallardan satın alsa bile, uygulama cihazı orijinal olarak doğruladığı sürece özel anahtarın yalnızca kullanıcı tarafından kontrol edildiğinden emin olunur.»

Ancak Tangem’in açıklaması tam da sorunun özünü atlar: Doğrulama işlemi kendisini doğrulayabilir mi? Gerçek şu ki Ledger’ın Genuine Check özelliği yalnızca güvenli çipin orijinal olduğunu doğrulayabilir; çipin etrafındaki bileşenlere fiziksel müdahalelerin tespitine ise olanak tanımaz—implante edilmiş modüller içeren cihazlar kimlik doğrulama kontrollerini geçebilir. Kanal yönetimi ne kadar sıkı olursa olsun, bu yalnızca riski azaltır, ortadan kaldırmaz.

Piyasa kuşkusu karşısında OneKey, bu kanaldan bu yıl Mart ayından beri satın alan kullanıcılar için koşulsuz ücretsiz cihaz değişimini duyurdu; eski cihazların iade edilmesine gerek yoktur. Aynı zamanda mevcut tüm bayileri yeniden değerlendireceğini açıkladı: «İşletme varlığı doğrulanamıyorsa veya nihai faydalanıcı netleştirilemiyorsa yetki iptal edilecektir» dedi ve «bayi ağı önemli ölçüde daraltılacaktır» itirafında bulundu.

III. 100 Dolar: Açığa Çıkan Sorumluluk Üssü

OneKey’ın ücretsiz değişim haberleri yayıldıktan sonra topluluk, sürpriz bir şekilde OneKey’in kullanıcı sözleşmesini incelemeye başladı; bu da OneKey için büyük bir kamu krizine yol açtı.

Mevcut «Hizmet Sözleşmesi» Madde 15.5’e göre: OneKey’in kullanıcıya karşı sorumlu olduğu tespit edilirse, toplam sorumluluk sınırı aşağıdaki üç değerden en yükseğiyle sınırlıdır: (a) cihazın gerçek satın alma fiyatı; (b) olaydan önceki 12 ay içinde kullanıcı tarafından ödenen ücretli hizmet ücretleri; (c) yüz dolar (100 USD). Üstelik bu «tek toplam sınır»dır; birden fazla talep, birden fazla olay ya da birden fazla hukuki dayanak bu miktarı artırmaz.

Madde 15.4 daha da kapsamlıdır: Uygulanabilir yasaların izin verdiği maksimum ölçüde OneKey, dijital varlıkların kaybı veya zarar görmesiyle ilgili hiçbir sorumluluk kabul etmez—cihaz ve uygulama yalnızca anahtar yönetim aracıdır ve varlıklar için sigorta veya garanti sağlamaz. Madde 15.6 gerekçeyi açıklar: uygulama ve çoğu hizmet ücretsizdir; cihaz fiyatı varlık sigortası içermez; OneKey hiçbir zaman kullanıcıların varlıklarını veya kimlik bilgilerini elinde tutmaz ya da kullanıcıların ne kadar sakladığını bilmez. Madde 15.10 bir çıkış yolu sağlar: OneKey, takdirine bağlı olarak tazminat, değişim ya da diğer yardım sunmaya karar verebilir; ancak bu tür önlemler yalnızca iyi niyet ifadesidir, sorumluluk kabulü anlamına gelmez, örnek oluşturmadığı gibi herhangi birine yükümlülük yaratmaz ve bunun koşulu olarak kullanıcıdan bir feragatname imzalamasını isteyebilir.

Bunun yalnızca OneKey’ın yaklaşımı olmadığı açıkça belirtilmelidir. OneKey yetkilisi, kullanıcı sözleşmelerinde benzer düşük tazminat hükümleri bulunan diğer donanım cüzdanlarını da sıraladı. Sorumluluğun cihaz fiyatıyla ya da küçük sabit bir rakamla sınırlandırılması, donanım cüzdanı sektöründe yaygın bir sözleşme tasarımıdır. Tartışmaya değer olan asıl konu, «ücretsiz değişim» ile bir araya getirildiğinde ortaya çıkan uyumsuzluktur:

Bir yanda yüzlerce dolar değerinde yeni bir cihaz bulunuyor ve ek olarak 180 gün boyunca aktif sorumluluk üstlenmeye hazır; diğer yanda ise sorumluluk 100 dolara sınırlı ve «her türlü yardım sorumluluk kabulü anlamına gelmez» deniyor. Her ikisi de ticari olarak geçerlidir ama kullanıcıların bu iki duruma yönelik duyguları bölünmüştür—bir şirket ahlaki açıdan 120 puan alırken sözleşmede yalnızca 100 dolar taahhüt edebilir. Ve bu 100 dolar, risk gerçekten kullanıcıya yansıdığında ortaya çıkarılabilecek tek şeydir.

Bu, tüm kategoride yapısal bir uyumsuzluğu yansıtır. Kendi anahtarlarınızı yönetme (self-custody) yaklaşımının tüm ahlaki temeli «anahtarları kullanıcı yönetir, dolayısıyla sonuçları da kullanıcı üstlenir» ilkesine dayanır. Bu varsayım, bu olayda ilk kez çatlamıştır: ihlal edilen bağlantı—fabrikadan depoya, bayiden kullanıcı kapısına kadar—tam da kullanıcıların hiçbir şekilde kontrol edemeyeceği ya da doğrulayamayacağı kısımdır. Tüm sorumluluk kullanıcıya yüklenmişken, risk üzerindeki kontrol üreticilerin elindedir.

Donanım cüzdanları her zaman «araç» satmış, «saklama» satmamıştır. Araç kendisi saldırı yüzeyi haline geldiğinde, «araçlar sorumlu değildir» iddiası ilk gerçek stres testine tabi tutulmaktadır.

IV. 2026: Donanım Cüzdanlarının «Fiziksel Yılı»

Perspektifi genişleterek bakıldığında, bu olay bu yıl yaşanan bir dizi sorunun en sonu ve en pahalısıdır.

2026 yılında altı donanım cüzdanı markası güvenlik sorunlarını açıkladı; ancak yalnızca iki olay kullanıcı kaybına yol açtı: Temmuz ayında Coldcard’ın firmware’indeki zayıf entropi, kurtarma ifadelerinin tahmin edilmesine izin verdi ve Galaxy Araştırma’ya göre bu kayıplar 115 milyon dolardan fazla oldu; bu sefer ise Ledger’da yaşanan tedarik zinciri ihlali yaklaşık 90 milyon dolar kayba neden oldu. Toplam kayıp yaklaşık 205 milyon dolardır. Endüstri analiz kuruluşu Wise Advice’ın değerlendirmesi şöyledir: «2026, donanım cüzdanı güvenliği tarihinde şimdiye kadarki en çılgın yıl olabilir.»

Diğer sorunlar aynı zincirde farklı noktalarda dağılmıştır: Haziran ayında Ledger güvenlik ekibi, Trezor Safe 7 çipini lazerle delerek penetrasyon yaptı; Temmuz ayında Tangem kartlarını da delerek penetrasyon gerçekleştirdi (her ikisi de laboratuvar ekipmanı gerektirir; Tangem, sıradan kullanıcılar için riskin «neredeyse yok» olduğunu iddia eder); Ağustos ayında BitBox, mühendisleri tarafından «ciddi» olarak değerlendirilen birkaç firmware açığını düzeltti; bu durum herhangi bir kayba neden olmadı; Trezor’un lojistik sağlayıcısı 13.689 alıcının bilgilerini sızdırdı; SafePal ise yaklaşık 40.000 ev adresini sızdırdı.

Bu yıl, hiçbir güvenlik çipi laboratuvar dışından gerçekçi bir şekilde kırılmadı. Saldırganlar kriptografiyi atlayarak rastgele sayılar, lojistik etiketleri, bayi depoları ve kullanıcı kapılarına yapılan teslimatlara yöneldi.

Endüstri cevap arıyor ancak henüz bir uzlaşma yoktur. Slow Mist’in kurucusu Yu Xian, «kendini yok etme mekanizmaları gerekli bir özellik olacaktır… aksi takdirde, sahip olduğum donanım cüzdanının resmi orijinal niyet ürünü olduğunu kanıtlamak için başka bir mekanizmaya ihtiyaç vardır» diyor; Mindao buna karşı çıkarak, kendini yok etme gerçekleştiğinde cihazın değiştirilip değiştirilmediğinin kanıtlanamayacağını, ancak çıkarılabilir parçalarla en azından devre şemaları karşılaştırılabileceğini belirtiyor; Ledger aslında başlangıçta donanım bütünlüğü kontrolü sunar ancak bu «sıradan kullanıcılar için çok zor»dur; diğerleri en basit çözümü öneriyor—çapraz marka çoklu imza: Trezor, OneKey ve Keystone her biri bir anahtarı tutar; Sparrow veya Electrum ile 2/3 kullanılır—«tek tarafın kötü niyetli hareket etmesini önlemek için».

Bu önerilerin hiçbiri «daha iyi bir çip alın» içermiyor. Hepsi aynı şeye işaret ediyor: güvenlik sınırı artık çipten öteye taşındı.

Sonuç

«Özel anahtar cihazdan hiç çıkmadı» ifadesi, donanım cüzdanı endüstrisinin on yıldır sunduğu bir vaadır. Bu olayda bu vaat kelimenin tam anlamıyla doğrudur ama anlamsızdır.

Güvenlik bileşeni değiştirilmedi, işletim sistemi değiştirilmedi, her işlem kullanıcı tarafından onaylandı ve 24 kelime hiç o çipten çıkmadı. Anahtarın cihazdan çıkmasına gerek yoktur; yalnızca ekranda birkaç saniye boyunca görüntülenmesi yeterlidir. Bu nedenle bu durum anlamsızdır. Söz konusu ihlal, kriptografiyi ya da çipi değil, doğrulama eylemini kendisini ilgilendirmektedir: Gerçek Kontrol, çipin gerçekliğini doğrulayabilir ancak ekranın yanında bulunan gözleri doğrulayamaz.

Dolayısıyla sektörün öğrenmesi gereken ders, kanal yönetimini sıkılaştırmak değil, cihazın kendisini tanıklık ettirmesine izin vermek ve kabul standardını 'çip gerçek'ten 'tüm birim orijinal' seviyesine yükseltmektir; kendini yok etme mekanizmaları, isteğe bağlıdan standart hâle geçiyor olabilir ki bu, bayi listelerinin daraltılmasından çok daha temel bir gelişmedir.

Sorumluluk sorunu hâlâ çözülmemiştir. Bu sektörde yaygın sözleşme tasarımı, hizmetleri mümkün olduğunca kapsamlı hâle getirirken toplam sorumluluğu tek bir cihazın fiyatı ya da küçük sabit bir tutarla sınırlandırmaktır. Bu durum sorumluluktan kaçınmakla ilgili olmayabilir; aksine, sektörün sorumluluk yapısını doğru şekilde tanımlayabilir: sektör araçlar oluşturur, varlıkları yönetmez. Gerçek sorun ise kullanıcıların her zaman satın aldıkları şeyin yalnızca araçlardan daha fazlası olduğunu düşünmeleridir.