Ledger doğruladı: CryptoBilis'ten satılan cüzdanda yetkisiz donanım implantı bulundu

Kripto donanım cüzdan üreticisi Ledger, kullanıcılara ait fon kayıplarıyla bağlantılı bir cihazda yetkisiz bir donanım implantı bulunduğunu resmen doğruladı. Şirketin açıklamasına göre şimdiye kadar teyit edilen tüm vakalar, ürünlerini Güneydoğu Asya'daki bayisi CryptoBilis aracılığıyla satın alan kullanıcılara ait.

Ledger Support, 10 Ekim'de yayımladığı bildirimde "Etkilenen kullanıcılardan birinin cihazında yetkisiz bir donanım implantı bulunduğunu teyit edebiliriz" ifadesini kullandı. Şirket, soruşturmanın sürdüğünü ve etkilenen kullanıcılarla temas hâlinde olduğunu belirtti; CryptoBilis ise araştırma tamamlanana kadar tüm donanım cüzdan satışlarını askıya aldı.

İlgili: MediaMarkt Ledger ürünlerini raflarından çekti: Kusurlu cüzdan şüphesi büyüyor

Kayıp tahmini ne kadar?

Ledger resmî bir kayıp tutarı açıklamamış olsa da zincir üstü araştırmacılar, Bitcoin, Ethereum ve Tron dahil olmak üzere birden fazla blok zincirindeki 300'den fazla cüzdandan tahminen 86-93 milyon dolar çalınmış olabileceğini hesaplıyor. Şirket ise kendi iç sistemlerinin, doğrudan satış kanallarının ve güvenlik altyapısının tehlikeye girdisine dair hiçbir bulgu olmadığını vurguluyor.

Olay ilk olarak şirketin, CryptoBilis üzerinden cüzdan satın alan müşterilerden gelen kayıp bildirimlerini araştırdığını duyurduğu gün gündeme gelmişti. CryptoBilis, Endonezya, Malezya ve Filipinler'de faaliyet gösteriyor.

Arz zinciri ihlali şüphesine ilk somut kanıt

Fiziksel bir implantın doğrulanması, daha önce yalnızca spekülasyon düzeyinde tartışılan arz zinciri müdahalesi iddialarına ilk somut kanıt niteliğinde. Ledger, 11 Ekim güncellemesinde etkilenen cihaz sayısının sınırlı göründüğünü belirtti ve dağıtıcılarına ürünleri yalnızca yetkili kanallardan tedarik etme ile iade edilen ürünlerin yeniden satışını yasaklama talimatı verdi. Şirketin aynı paylaşımda "Güvenlik statik değildir ve bu olay, dağıtım ve anti-tamper süreçlerimizi sürekli gözden geçirmemizin nedenini gösteriyor" ifadesine yer verdiği bildirildi.

Binance kurucu ortaklarından Changpeng Zhao, X'te yaptığı paylaşımda saldırganların "görünüşe göre bayiyi satın aldığını ve sessiz kalmaları için onlarla bir gizlilik sözleşmesi imzalattığını" iddia etti. Bu iddialar bağımsız olarak doğrulanmadı; CryptoBilis de olay ve Zhao'nun iddiaları hakkında yorum taleplerine yanıt vermedi.

Donanım cüzdanları güvenliği tartışması

Olay, FTX'in 2022'deki çöküşünün ardından milyonlarca yatırımcının kendi anahtarını kendisi saklama (self-custody) yaklaşımına geçmesiyle ağırlık kazanan donanım cüzdanı güvenliği tartışmalarını yeniden alevlendirdi. Fiziksel saklamanın da risklerden muaf olmadığını gösteren bir başka örnek, Temmuz 2026'da Coldcard'ın tohum üretim yazılımındaki açığın zincir üstü araştırmacılara göre tahminen 100-130 milyon dolarlık bitcoinin boşaltılmasına yol açmasıydı.

Ledger, CryptoBilis üzerinden cihaz satın alan kullanıcılara kullanılmayan cihazları başlatmamaları, aktif cüzdanı olanların ise fonlarını Ledger'dan doğrudan temin ettikleri bir cihaz üzerindeki yeni bir tohuma (seed) taşımaları yönünde uyarıda bulundu. Şirket, etkilenen kullanıcıların resmî destek kanallarına ulaşmasını ve yerel kolluk kuvvetlerine şikâyet dosyalamasını da önerdi; dolandırıcıların bu tür olayları istismar etmeye çalışabileceğini, Ledger'ın hiçbir koşulda aramayacağını ya da 24 kelimelik kurtarma ifadesini istemeyeceğini hatırlattı.