Ledger CryptoBilis Olayında Rapor Edilen Zararlar Nedir?
Ledger CryptoBilis olayında, 9 Ekim 2026 tarihinde koordine edilmiş akışlar sonrası altı zincirdeki 315 cüzdan üzerinden toplam tahmini zarar (93.2) milyon dolar olarak hesaplanmıştır. Ledger, etkilenmiş cihazlardan birinde yetkisiz bir donanım implantı olduğunu doğruladı. Ledger, herhangi bir kayıp rakamı, saldırgan kimliği, etkilenen cihaz modeli veya kamu araştırmalarında tanımlanan implant mekanizmasının her bir raporlanan hırsızlığı açıklayıp açıklamadığı konusunda henüz kesin bilgi vermemiştir.
Ana çıkarım: Ledger CryptoBilis olayı, Ledger firmware, güvenlik unsuru veya Ledger’ın kendi altyapısının doğrulanmış bir şekilde tehlikeye uğradığı düşüncesinden ziyade, donanım cüzdan tedarik zinciri saldırısı olarak en iyi şekilde anlaşılmalıdır; bu, kurtarma ifadesi ekranı yoluna yönelik bir saldırıdır.
Ledger CryptoBilis Cüzdanlarının Boşaltılması Sırasında Neler Oldu?
Ledger CryptoBilis cüzdan boşaltmaları, 9 Ekim 2026 tarihinde yaklaşık 05:07 UTC’de başlayan koordine bir çok zincir saldırısıdır; bu saldırı, Malezya, Endonezya ve Filipinler’de CryptoBilis aracılığıyla Ledger cihazları satın alan kullanıcıları etkilemiştir. Blockchain analizleri, yaklaşık 93.2 milyon dolar kaybı ile 315 cüzdanın Bitcoin, Ethereum, TRON, BNB Chain, Polygon ve Solana’da zarar gördüğünü tahmin etmektedir; ancak Ledger, bu tahmini doğrulamamıştır.
Zamanlama önemli çünkü zincir üzeri sıralama, izole kullanıcı hatalarından ziyade senkronize erişimi işaret etmektedir. Yaklaşık 05:00 UTC’de, 30 TRON cüzdanına aynı yeni anahtar eklenmiştir. 05:07:48 UTC’de, 13 TRON cüzdanı aynı token onayını imzalamış ve saniyeler sonra 12 cüzdan daha aynı işlemi gerçekleştirmiştir. İlk TRON onayları, yaklaşık 29 milyon doların kaldırılmasına imkan tanımıştır.
İlk boşaltmalar, 05:07 UTC ile 05:09 UTC arasında BNB Chain, Polygon ve Ethereum üzerinde başlamıştır. Saat 05:54 UTC’de, tek bir blokta 111 Bitcoin cüzdanı boşaltılmış ve yaklaşık 203 BTC alınmıştır. Bu sıralama, birçok cüzdan için yetkilendirme yetkisine sahip tek bir aktörün, neredeyse aynı anda tüm bu aktiviteleri gerçekleştirebildiğine işaret etmektedir.
Investigator’lar, 9 Ekim yaklaşık 12:00 UTC’de boşaltma adreslerini kamuya açık şekilde işaretlemişlerdir. Ledger, ilk açıklamasını 13:32 UTC’de yapmış ve CryptoBilis ile bağlantılı raporları araştırdığını bildirmiştir. Satışları durdurmak ve fiziksel mağazaları kapatmak üzere 10 Ekim’de CryptoBilis, tüm donanım cüzdan markalarının satış ve nakliyesini askıya almıştır.
Ledger, 10 Ekim’de, etkilenmiş cihazlardan birinde yetkisiz donanım implantı tespit edildiğini doğrulamıştır. 11 Ekim’e kadar Ledger, bu vakaların CryptoBilis cihazlarıyla bağlantılı olduğunu, etkilenen cihaz sayısının sınırlı olduğunu ve ilgili yetkililerle çalıştığını açıklamıştır. Ledger ayrıca, kendi altyapısının, sistemlerinin, hizmetlerinin veya doğrudan satış kanallarının tehlikeye uğramadığını ifade etmiştir.
| Tarih ve saat | Ledger CryptoBilis olaylar dizisi | Spesifik rapor edilen detay |
|---|---|---|
| 25 Eylül 2026 | Saldırgan kontrolündeki adreslere ilk fonlar gönderildi | Blockchain analizi ilk fonlama etkinliğini belirledi |
| 26 Eylül - 7 Ekim 2026 | TRON ve Ethereum’de test aktiviteleri yapıldı | 21 TRON ve 20 Ethereum test döngüsü işlemi |
| 9 Ekim 2026, yaklaşık 05:00 UTC | TRON izinleri değişti | 30 mağdur cüzdanına aynı yeni anahtar atandı |
| 9 Ekim 2026, 05:07 UTC | Büyük boşaltma başladı | 25 TRON cüzdanı saniyeler içinde aynı onayı imzaladı |
| 9 Ekim 2026, 05:54 UTC | Bitcoin cüzdanları boşaltıldı | 111 Bitcoin cüzdanı tek bir blokta boşaltıldı |
| 9 Ekim 2026, 13:32 UTC | Ledger ilk kamu açıklamasını yaptı | Ledger, CryptoBilis bağlantılı raporları araştırdığını belirtti |
| 10 Ekim 2026, 17:09 UTC | Ledger fiziksel saldırı kanıtını doğruladı | Bir etkilenmiş cihazda yetkisiz donanım implantı bulundu |
| 11 Ekim 2026, 07:00 UTC | Kamu tahmini güncellendi | 6 zincirde 315 cüzdandan yaklaşık 93.2M dolarlık zarar |
| 11 Ekim 2026, 17:13 UTC | Ledger 72 saatlik güncelleme yayınladı | Etkilenmiş cihaz sayısının sınırlı olduğu belirtildi |
Zararın yoğunluğu da farklılık göstermiştir. Kamu blockchain tahminlerine göre, 131 TRON cüzdanı yaklaşık 70,5 milyon dolar ile önemli bir paya sahiptir; bunlar arasında yaklaşık 70,2 milyon USDT ve bir miktar TRX bulunuyor. Bitcoin ise 122 cüzdan ve 203.8 BTC ile yaklaşık 16,8 milyon dolar değerindedir. Ethereum, BNB Chain, Polygon ve Solana ise kalan kayıpları oluşturmaktadır.
Soken’in akıllı sözleşme ve altyapı güvenliği çalışmalarında, ilgisiz cüzdanlar arasında senkronize onaylar ve kimlik bilgisi değişiklikleri güçlü bir olay yanıt sinyalidir: ilk olarak paylaşılan güven sınırlarını belirlemek, her etkilenen cüzdanı ayrı bir tehlike olarak değerlendirmek yerine, daha doğru yaklaşımdır.
Neden Kanıtlar Bir Donanım Tedarik Zinciri Saldırısına İşaret Ediyor?
Elimizdeki kanıtlar, Ledger’ın etkilenmiş cihazlardan birinde yetkisiz implant doğrulaması yaparken, kendi sistemleri ve doğrudan satış kanallarında bir sorun olmadığını belirtmesi sebebiyle, donanım tedarik zinciri saldırısına işaret etmektedir. Önerilen implant yöntemi, kurtarma sözcüklerini cihaz ekranında gösterildiği sırada yakalar; bu da güvenlik unsuru veya Ledger firmware’ını delmeye gerek bırakmaz.
Kamuya açık donanım araştırmaları, ek bir kartın ekran bölgesinin altında gizlendiği cihazları tanımlamaktadır. Bir hipotezde, LTE hücresel modül, eSIM veri kartı ve bir mikrodenetleyici ile ekran veri yolu bağlantısı kullanılarak, implant’ın cihaz kurulumunu beklediği ve ekran üzerindeki net metin kurtarma ifadesini fark edip, onu mobil bağlantı üzerinden dışarı sızdırdığı ileri sürülmüştür.
Ledger, bu mekanizmayı doğrulamamış, incelenmiş implantlı cihaz modelini ve kaç cihazın etkilendiğini bildirmemiştir. Bu nedenle mekanizma, dış araştırmayla desteklenen olası bir teknik açıklama gibi düşünülmelidir; her bir Ledger CryptoBilis hırsızlığı için doğrulanmış bir anlatım olarak kabul edilmemelidir.
İşte temel fark şu: Güvenlik unsuru, cihaz içindeki özel anahtar işlemlerini korur. Ekran okuma implantı, kullanıcı cüzdanı başlatırken kurtarma ifadesini yakalayabiliyorsa, özel anahtarı çıkarmasına gerek yoktur. Saldırgan, kurtarma ifadesini edindikten sonra, başka bir yerde cüzdan erişimi sağlayabilir ve işlemleri imzalayabilir; bu, cihazın fiziksel olarak erişilmesine gerek kalmadan gerçekleşir.
Bu, kamu analizlerinin neden koordineli anahtar değişimleri, token onayları ve zincirler arası boşaltmalar bulduğunu açıklar. Blockchain kayıtları, aynı aktörün etkilenmiş cüzdanları kontrol ettiğine işaret edebilir; ama blockchain, kurtarma ifadelerinin veya imza kimlik bilgilerinin nasıl elde edildiğini kendisi gösteremez.
Ledger CryptoBilis olayı, aynı zamanda önceden yüklenmiş cüzdan dolandırıcılığından farklıdır. Ledger, gerçek cihazların hiç bir zaman kurtarma ifadesi veya PIN kodunun önceden ayarlandığı ile gelmediğini belirtmiştir. Bu olaya dair kamuya açık raporlarda, cihazların baskılı kurtarma ifadesi, sırt kartı veya önceden yapılandırılmış kimlik bilgilerinin bulunduğu iddia edilmemiştir. Burada risk, kullanıcının cihaz kurulumunun gizli olması gereken anda yeni oluşturulmuş ifadeye maruz kalmasıdır.
Hazine varlıklarını yöneten kuruluşlar için, bu ayrım teknik güvenlik incelemelerini yönlendirmelidir. Sadece sözleşme kodu veya cihaz firmware’ine odaklanan inceleme, tedarik, başlatma, fiziksel işlem ve kurtarma sözcüğü prosedürleriyle ilgili bütün açıkları tespit edemez.
Ledger Genuine Check Neden İddiaya Edilen Implantı Tespit Etmedi?
Ledger Genuine Check, orijinal güvenlik unsurunu koruyan bir implantı tespit etmek üzere tasarlanmamıştır; çünkü bu kontrol, cihazın tam fiziksel tedarik zinciri geçmişini değil, kriptografik doğrulama belgesini doğrular. Ledger’ın kendi tehdit modeli, orijinal güvenlik unsurunun bozulmadığı durumda, yetkisiz fiziksel modifikasyonları tespit edemediğini belirtmektedir.
Genuine Check, bir challenge-response tasarımıyla çalışır. Ledger güvenlik unsuru, bir challenge için doğru kriptografik imza yaratarak, cihazın orijinalliğini kanıtlar. Bu tasarım, temel güvenilir bileşenlerin değiştirilmesini engelleyerek sahte cihazlara karşı koruma sağlar.
Ancak, herhangi bir kötü niyetli şahıs, güvenlik unsurunu değiştirmeden yalnızca ek devreler ekleyebilir; böylece, güvenlik unsuru doğru yanıt verse bile, implant başka bir bileşen olabilir. Bu durumda, cihaz Genuine Check’tan geçebilir; fakat ekranı izleyen veya dış iletişimiyle etkileşime geçen başka bir bileşen eklenmiş olabilir.
Bu durum, Genuine Check’in amacı olan kriptografik doğrulama mekanizmasının başarısız olduğu anlamına gelmez. Bu, cihaz kimlik doğrulama ve tedarik zinciri bütünlüğü gibi farklı güvenlik özelliklerinin birbirinden ayrılması gerektiğine işaret eder.
| Güvenlik sorusu | Ledger Genuine Check | Ledger CryptoBilis senaryosu için tedarik zinciri kontrolü gerekliliği |
|---|---|---|
| Güvenlik unsurunun orijinalliği doğrulanıyor mu? | Güvenlik unsuru, bir attestation challenge’ını imzalar | Başlatmadan önce yetkilendirilmiş kaynak ve saklama doğrulanmalı |
| Cihaz, kendi fiziksel geçmişini gösterebilir mi? | Hayır, Ledger Genuine Check, fiziksel tedarik zinciri geçmişini doğrulamaz | Satıcı, dağıtıcı, depo ve iade zinciri izlenebilirliği sağlanmalı |
| Eklenmiş ekran gözlem implantı tespit edilebilir mi? | Hayır, orijinal güvenlik unsuru sağlam kalmışsa | Hile tespiti ve kontrollü kurulum prosedürleri kullanılmalı |
| Kontrol, kurulum sırasında kurtarma ifadesini koruyor mu? | Tek başına değil | Güvenilir fiziksel ortamda oluşturulup kaydedilmeli |
| Ledger sistemleri, ihlal edildi mi? | Hayır | Ledger, altyapısında veya doğrudan satış kanallarında bir tehlike olmadığını bildirmiştir |
Bu saldırı modeli, daha geniş bir güvenlik ilkesini güçlendirir: kriptografi sağlam olabilir, ancak kriptografi çevresindeki yol tehlikeye uğrayabilir. Kurtarma ifadesi, kullanıcı tarafından yedeklenebilmesi için açık metin gösterilir; bu nedenle, kötü niyetli bir bileşen bu ekranı gözlemliyorsa, bu önemli bir saldırı yüzeyidir.
Takımlar, donanım cüzdan doğrulamasını tek aşamalı bir süreç olarak görmemelidir. Güçlü bir işlem; cihazın özgünlüğü, tedarik Zinciri takibi, hile algılama, kurulumu, bağımsız işlem incelemesi ve potansiyel maruziyetler için migrasyon prosedürlerini içeren bütünsel bir süreci kapsamalıdır.
Soken’in güvenlik hizmetleri, bu kontrollerin cüzdan dağıtımı, operasyonel erişim, akıllı sözleşme izinleri ve olay yanıt akışlarına entegre edilmesine yardımcı olabilir. Asıl önemli soru, imzalayanın güvenilir olup olmadığı değil, her aşamada kurtarma ifadesi ve işlem yetkisini elinde tutanların güvenilirliğidir.
Etkilenen Ledger CryptoBilis Kullanıcıları ve Organizasyonlar Şimdi Ne Yapmalı?
Etkilenmiş Ledger CryptoBilis kullanıcıları, CryptoBilis aracılığıyla aldıkları kullanılmamış cihazları başlatmamalı ve herhangi bir başlatılmış CryptoBilis bağlantılı cihazdaki varlıklarını, yeni bir kurtarma tohumuyla yeni Ledger imzacılarına taşımalıdır. Eski kurtarma ifadesinin yeniden kullanılması, şüpheli maruziyeti devam ettireceğinden, güvenli bir geçiş sayılmaz.
Ledger’in başlangıçta tavsiyesi, önceki 90 gün içinde CryptoBilis’den alışveriş yapan kullanıcıları kapsıyordu; ardından süresi belirtilmeksizin kullanılmayan CryptoBilis cihazlarının başlatılmasına karşı uyarı yapmaya genişletildi. Ledger, kullanıcıların resmi destek kanallarıyla iletişim kurmasını ve gerekirse yerel yasa uygulayıcılarına şikayet bildirmesini de önerdi.
Bir geçiş, sadece bir cüzdan arayüzü transferinden çok, kontrol altında bir güvenlik operasyonu olmalı:
- Şüpheli cihazı kullanmayı durdurun. Kullanılmayan CryptoBilis bağlantılı Ledger cihazını başlatmayın ve yeni uzun vadeli cüzdan yapıları oluşturmak için kullanmayın.
- Gerçek anlamda yeni bir kurtarma ifadesi oluşturun. Yeni imzacı, yeni bir tohum üretmelidir. Eski kurtarma ifadesini başka bir cüzdana aktarmak, ifadenin ifşa edilme riskini taşır.
- Varlıkları, yeni tohumdan türetilen adresslere aktarın. Varış adresini yeni imzacıdan güvenilir ekran üzerinden doğrulayın ve her transferde dikkatli işlem doğrulaması yapın.
- Yetkilendirilmiş izinleri gözden geçirin. TRON, Ethereum, BNB Chain, Polygon, Solana ve diğer uygun ağlarda, onaylar, hesap izinleri ve yetki devri kontrolleri yapılmalı.
- İkinci aşama sosyal mühendislik saldırılarına hazır olun. Ledger, asla kullanıcıdan 24 kelimelik kurtarma ifadesi veya telefonla arama yaparak talepte bulunmayacağını belirtti. Göç dönemleri, oltalama sayfaları, sahte destek iletişimleri ve sahte cüzdan uygulamalarıyla karşılaşılabilir.
- Delil toplayın. Satın alma kayıtları, cihaz paketleri, makbuzlar, iletişimler ve ilgili cüzdan kayıtlarını saklayın. İspat gerektiren kanıtların zarar görebileceği durumlarda cihazı sökmeyin.
Boşaltma sonrası fon hareketleri, hızlı müdahalenin önemini ortaya koyar. Kamu blockchain analizleri, saldırganın 20 milyon USDT’yi 40 eşit parçaya bölerek köprülediğini, yaklaşık 7,994 ETH’yle takas ettiğini ve yaklaşık 14.9 milyon USDT’yi USDD’ye çevirdiğini gösteriyor. Diğer yakalanan yollar arasında Relay.link, Chainflip, HiFiSwap, NEAR Intents ve Tornado Cash üzerinden yönlendirilmiş yaklaşık 2,990 ETH bulunuyor.
9 Ekim’de Tether, 20 saldırgan bağlantılı cüzdanda yaklaşık 10 milyon USD tutarında USDT’yi dondurdu. 12 Ekim itibarıyla, mağdurlara herhangi bir geri ödeme yapılmamış ve henüz tazminat açıklanmamıştır. Varlık geri kazanımı, hız, kanıt kalitesi, yasal koordinasyon ve saldırganın tercih ettiği zincirler ve hizmetler aracılığıyla gerçekleşir. Çok yargı bölgesine ait cüzdan kayıplarıyla karşı karşıya kalan kuruluşların hukuki ve uyum desteklerine de ihtiyaç duyabileceği unutulmamalıdır.
Ledger CryptoBilis Olayı Donanım Cüzdan Güvenliğini Nasıl Değiştiriyor?
Ledger CryptoBilis olayı, donanım cüzdan güvenliğinin tedarikçi satışından kurtarma ifadesi başlatmasına kadar güvenilirliği içermesi gerektiğini gösterdi. Güçlü temel kriptografi, ifşa edilmiş bir ifadeye sahip olmadan önce, onu gizli hale getirmenin önemini ortaya koyar. Ledger’ın bir cihazda implant doğrulaması yapması, fiziksel tedarik zinciri kontrollerini artık pratik bir güvenlik gerekliliği yapar, yalnızca teorik değil.
Olay, Ledger’ın sıfır günsü olarak doğrulanmamalı. Ledger, altyapısının ve doğrudan satış kanallarının etkilenmediğini belirtmiştir ve hiçbir kamu kaynağı, Ledger güvenlik unsurunun veya firmware’ının kırıldığını iddia etmemiştir. Ayrıca, Ekim 12 itibarıyla hiçbir saldırgan veya grup bu olayla tam anlamıyla ilişkilendirilmemiştir ve sosyal medyada devlet bağlantısı iddiaları spekülasyon olmaya devam etmektedir.
Ayrıca, Ledger cihazlarının, satıcıların veya donanım cüzdanların tamamen tehlikeye atıldığı iddiasında genelleme yapılmamalıdır. Ledger, tüm doğrulanan vakaların CryptoBilis ile bağlantılı olduğunu ve doğrudan Ledger’dan alınan cihazlarla ilgili herhangi bir rapor bulunmadığını belirtmiştir. Uygun yanıt, tedarik ve kurulum kanıtlarına dayalı hedeflenmiş risk azaltma olmalıdır.
Donanım Cüzdan Güvenliği ve Ledger CryptoBilis Arasındaki Fark
Diğer donanım cüzdan arızası modellerine kıyasla, Ledger CryptoBilis olayını anlamak faydalı olur. Temmuz 2026’da raporlanan Coldcard olayında, eski firmware’ın zayıf rastgelelik ile anahtarlar oluşturduğu bildirilmişti. Ledger CryptoBilis olayında ise, sorun, düzgün oluşturulmuş bir anahtarın fiziksel gözlemlerle fark edilmesi ile ilgilidir. Sahte cihaz senaryosunda, tüm donanım platformu sahte olabilir. Her vaka, güvenilir yolun farklı bir segmentine saldırır.
Daha fazla olay analizi ve bağlam için, okuyucular Ledger CryptoBilis olayını ve teknik kontrolleri operasyonel kararlarla bağlayan cüzdan politikası tasarlarken, Soken’in güvenlik araştırma merkezine başvurabilir.
Ledger CryptoBilis olayını, tedarik ve kurulum güvenliği açısından bir test olarak değerlendirin: CryptoBilis aracılığıyla satın alınan tüm donanım cüzdanları belirleyin, kullanılmayanları durdurun ve başlatılmış cihazları yeni bir tohumla göç ettirin. Bu somut envanter ve göç adımı, yalnızca Genuine Check’in başarılı olmasına dayanmak yerine, risk yolunu daha doğrudan ele alır.