Trezor güvenlik şefi: Kullanıcıları kandırmak, kripto cüzdanını hacklemekten daha kolay

​Donanım cüzdanları, dijital varlıkları saklamanın en güvenli yollarından biri olarak kabul edilir. Ancak son dönemde yaşanan güvenlik olayları, bu cihazların güvenliğine ilişkin şüpheleri de artırdı. Traders Union ile yaptığı röportajda Trezor'un güvenlik başkanı Jan Komarek; soğuk cüzdanların güvenlik açıklarını, Bitcoin ETF'leriyle ilişkili riskleri ve kripto paraları mirasçılara devretmenin zorluklarını ele alıyor.

Donanım cüzdanları neden hâlâ güvenlik açıklarına karşı savunmasız?

Trezor, donanım kripto para cüzdanı pazarının öncülerinden biridir. Şirket ilk cihazını 2014 yılında piyasaya sürdü. O tarihten bu yana dijital varlık saklama teknolojisi önemli ölçüde gelişti, ancak özel olarak tasarlanmış cihazlar bile ciddi güvenlik sorunlarıyla karşılaşmaya devam ediyor.

En çok ses getiren vakalardan biri, Temmuz 2026'da yaşanan Coldcard güvenlik ihlaliydi. Galaxy Research'e göre doğrulanmış kullanıcı kayıpları 112 milyon doları aştı. Olay, saldırganların cihazlara fiziksel erişim olmadan özel anahtarları yeniden oluşturmasına olanak tanıyan bir firmware hatasından kaynaklandı.

Komarek'e göre bu olay, kripto para güvenliği uygulamalarında ciddi bir zayıflığı ortaya çıkardı, ancak kişinin varlıklarını kendi kendine saklamasının gerekliliğini sorgulatmadı.

“Coldcard sorunu, Coldcard'ın kendi firmware'indeki bir hataydı. 2021'de yapılan bir kod değişikliği, bazı cihazlarının donanımsal rastgele sayı üretecini kullanmayıp bunun yerine zayıf bir yazılımsal üreteç kullanmasına yol açtı. Bu cihazların oluşturduğu seed'leri tahmin etmek, olması gerekenden çok daha kolaydı.”

Ancak bu tür güvenlik açıkları, saldırganlar bunlardan yararlanmadan önce her zaman keşfedilmiyor. Bu durum, üreticilerin cihazlarının güvenlik mimarisinin güvenilirliğini daha geniş kapsamda sorgulamasına neden oluyor.

“Buradan çıkaracağım ders, kritik güvenlik özelliklerinin asla tek bir savunma hattına bağlı olmaması gerektiği.”

Ancak teknik güvenlik açıkları, tehdidin yalnızca bir kısmını oluşturuyor. Saldırganlar, cihaz korumalarını aşmak için giderek daha fazla psikolojik manipülasyondan ve kripto para sahiplerinin yaptığı hatalardan yararlanmayı tercih ediyor.

“Bugün en zayıf halka genellikle cihazı elinde tutan kişidir ve saldırganlar bunu biliyor. Güvenli bir çipi kırmak için, mümkünse, bir laboratuvar ve özel ekipman gerekir. Birini kurtarma ifadesini sahte bir web sitesine yazmaya ikna etmek içinse inandırıcı bir e-posta yeterlidir.”

Hangisi daha güvenli: donanım cüzdanı mı, akıllı telefon mu?

Mobil teknolojideki gelişmeler, kripto para saklamak için ayrı bir cihaz satın almanın gerekliliğini gündeme getirdi. Modern akıllı telefonlar güvenli çiplerle donatılmıştır ve kripto cüzdanı olarak kullanılabilir. Bazı uzmanlar ise bu amaçla özel bir telefon kullanılmasını öneriyor. Ancak bu yaklaşımın da sınırlamaları var.

“Günümüzde telefonların güvenlik donanımı iyi; dolayısıyla bu görüş saçma değil. Sorun, telefonun yaptığı diğer her şey. Telefon sürekli internete bağlı ve güvenmeniz gereken, üstelik büyük ölçüde inceleyemediğiniz bir işletim sistemi çalıştırıyor.”

Akıllı telefonu tamamen çevrimdışı tutmak bazı riskleri azaltabilir, ancak kripto para işlemlerini de daha karmaşık hâle getirir. Pek çok kullanıcı için kullanım kolaylığı, teknik güvenlik kadar önemini koruyor.

“Telefon cüzdanının doğru araç olduğu durumlar var. Günlük harcamalarınız için ayırdığınız küçük tutarlar bakımından cebinizdeki nakit gibidir ve kullanım kolaylığı önemlidir. Birikimlerim içinse donanım cüzdanı kullanırdım.”

Desteklenen kripto para sayısı cüzdan güvenliğini etkiler mi?

Donanım cüzdanı üreticileri, dijital varlık desteği konusunda farklı yaklaşımlar benimsiyor. Bazı cihazlar yalnızca Bitcoin için tasarlanırken bazıları kullanıcıların onlarca, hatta yüzlerce kripto para saklamasına olanak tanıyor. Peki bu çok yönlülük güvenliği etkiliyor mu?

“Bir cüzdanın desteklediği her coin firmware'e eklenir; firmware arttıkça hata bulunabilecek noktaların sayısı da artar. Bu, göz ardı edilemeyecek bir ödünleşimdir.”

Kullanıcılar kripto cüzdanı seçerken genellikle desteklenen varlık sayısını, üreticinin itibarını ve ek özellikleri dikkate alıyor. Ancak özel teknik bilgi olmadan bir cihazın güvenliğini değerlendirmek zor olabilir.

“Ancak cüzdanın güvenli olup olmadığını belirleyen şey coin sayısı değil. Coldcard yalnızca Bitcoin destekleyen bir cihaz ve onu etkileyen hata, her cüzdanda bulunan seed oluşturma mekanizmasındaydı. Daha önemli olan, bu temel kodun ne kadar özenle yazıldığı ve şirket dışından kişilerin kodu inceleyip inceleyemediğidir.”

Trezor-Ledger rekabetinin diğer yönü

Trezor, Fransız donanım cüzdanı üreticisi Ledger ile rekabet ediyor. Ancak rekabet, cihaz satışlarının çok ötesine uzanıyor. Güvenlik uzmanları, rakiplerin yazılım ve donanım bileşenlerini güvenlik açıkları açısından düzenli olarak inceliyor.

Özellikle Ledger'ın Donjon araştırma ekibi, Trezor cihazlarında olası sorunları defalarca tespit etti. Bu tür bulgular ürün güvenliğine dair soru işaretleri doğurabilir, ancak Komarek bu uygulamayı haksız rekabet olarak görmüyor.

“Araştırmacıların kimin için çalıştığından bağımsız olarak bu çalışmalar değerli. Ledger'ın Donjon ekibi bulgularını sorumlu açıklama süreci aracılığıyla bize iletti; gerekli düzeltmeleri yaptık ve kendilerine kamuoyu önünde teşekkür ettik.”

Örnek olarak Trezor Safe 3'ü inceleyen araştırmayı gösteriyor. Saldırı için Ledger araştırmacılarının cihaza fiziksel erişimi gerekiyordu ve özel anahtarları ya da PIN'leri ele geçiremediler.

“Mümkün olduğunca çok kişinin sorunları araştırmasını istiyoruz. İyi finanse edilen bir laboratuvara sahip rakip bir şirketten daha istekli bir inceleyici isteyemezdik. Piyasadaki her cüzdanın bu düzeyde dış denetime tabi tutulmasını isterim; kod herkese açık olduğunda bunu sağlamak çok daha kolay.”

Bitcoin ETF'leri neden yeni riskler yaratıyor?

ABD'de spot Bitcoin ETF'lerinin piyasaya sürülmesi, yatırımcıların kripto paraya nasıl maruz kaldığını önemli ölçüde değiştirdi. Yatırımcılar artık kendi cüzdanlarını oluşturmadan veya özel anahtarlarını yönetmeden, geleneksel aracı kurum hesapları üzerinden Bitcoin'in fiyat hareketlerini takip edebiliyor.

Ancak bu ürünlerin giderek daha popüler hâle gelmesi, Bitcoin ETF'lerine yatırım yapmanın kripto para birimine doğrudan sahip olmaya gerçek bir alternatif sayılıp sayılamayacağı konusunda tartışma başlattı. Merkeziyetsizliği savunan ve dijital varlıklar üzerinde doğrudan kontrolü destekleyenler için bu konu özellikle önem taşıyor.

“Bence burada bir çelişki yok. ETF, bitcoin fiyatına maruz kalmanızı sağlar. Kendi anahtarlarınızı tutmak ise bitcoin'e sahip olmanızı sağlar. Bunlar farklı amaçlara hizmet eden farklı ürünler ve ikisi bir arada var olabilir.”

Borsa yatırım fonlarının yaygınlaşması, Bitcoin sahipliğinin yapısını da değiştiriyor. Daha önce piyasada bireysel kullanıcılar ve kripto para borsaları önemli rol oynarken, büyük finansal aracılar giderek daha etkili hâle geliyor.

“Güvenlik açısından burada bir yoğunlaşma meselesi de var. ABD'deki spot ETF'lerin bünyesindeki bitcoinlerin çoğu az sayıda saklayıcının elinde bulunuyor; bu da onları çok büyük bir hedef hâline getiriyor. Kendi saklama, bu riski milyonlarca bireysel cihaza dağıtıyor.”

İki yaklaşım arasındaki fark güvenliğin ötesine geçiyor; sahibinin varlıklarını kontrol etme ve kullanma kabiliyetiyle de ilgili.

“Herkesin ETF payını bitcoin sahibi olmakla aynı şey sanması en kötü senaryo olur. ETF'deki varlığı taşıyamaz, harcayamaz veya platformdan çekemezsiniz. Anahtarlar başka birinin elindedir.”

Kripto paralar mirasçılara nasıl aktarılır?

Kendi saklama, dijital varlık sahiplerine fonları üzerinde tam kontrol verir; ancak özel anahtarlarını koruma sorumluluğunu da onlara yükler. Kripto paraların mirasçılara aktarılması gerektiğinde bu durum özellikle zorlayıcı hâle gelir.

Banka hesaplarından farklı olarak, bir kripto cüzdanına erişim çoğu zaman bir finans kuruluşu veya mahkeme kararı aracılığıyla geri yüklenemez. Sahibi gerekli bilgileri bırakmadan ölürse fonlara erişim kalıcı olarak kaybedilebilir.

Komarek, bu soruna yönelik evrensel bir çözümün hâlâ bulunmadığını kabul ediyor.

“Bugün bu sorunu çözen tek bir ürün yok ve bence bu, ele almamız gereken önemli bir konu. Zor olan şu: Ailenizin cüzdana erişmesini kolaylaştıran her şey, başkasının erişmesini de kolaylaştırıyor.”

Olası yöntemlerden biri, cüzdan yedeğini birden fazla parçaya bölmektir. Erişimi yeniden sağlamak için üç parçadan ikisi gibi belirli sayıda parçaya ihtiyaç duyulur. Bu parçalar farklı yerlerde saklanabilir veya farklı mirasçılara emanet edilebilir.

Bir diğer seçenek, ayrı gizli cüzdanlara erişmek için farklı parola ifadeleri kullanmaktır. Böylece sahibi, hangi varlıkların hangi mirasçıya kalacağına önceden karar verebilir.

Ancak dikkatle hazırlanmış bir miras planı bile taraflar arasında yaşanabilecek olası sorunları tamamen ortadan kaldıramaz.

“Her iki seçenek de sizinle mirasçılar arasında belli bir düzeyde güven gerektiriyor.”

Donanım cüzdanlarının yaygınlaşmasını ne engelliyor?

Kripto para sektöründeki büyümeye rağmen donanım cüzdanları hâlâ sınırlı bir kullanıcı kitlesine hitap ediyor. Çoğu yatırımcı, özel anahtarlarını bağımsız biçimde yönetmek yerine varlıklarını borsalarda saklamayı veya mobil uygulamaları kullanmayı tercih ediyor.

Komarek'in aktardığı tahminlere göre, dünya çapında kripto para sahibi yaklaşık 600 milyon kişinin yalnızca 12 milyon ila 13 milyonu donanım cüzdanı kullanıyor. Bu, pazarın yaklaşık %2'sine karşılık geliyor.

“Çoğu kişi kendi saklamayı hâlâ mühendislere uygun bir şey olarak görüyor. Kurtarma ifadesi de onları kaygılandırıyor. Ya kaybedersem? Ya yanlış yazarsam?”

Sorun yalnızca teknolojik karmaşıklıktan ibaret değil. Kullanıcılar, erişimi geri kazandırma ve sorunları çözme sorumluluğunun bir kısmını bankaların veya diğer kurumların üstlendiği finansal hizmetlere alışkın. Kendi saklamada böyle bir aracı yok.

“Banka kartı tanıdık gelir, çünkü arkasında bir banka vardır. Donanım cüzdanında kontrol sizdedir ve bunun ilk kullanımda açıklanması gerekir. Bu nedenle sektörün, sade bir dille ve bire bir eğitim verme konusunda kendini geliştirmesi gerekiyor.”

Trezor halka arz planlıyor mu?

Bu arada donanım cüzdanı üreticileri işlerini büyütmeye ve yeni büyüme fırsatlarını değerlendirmeye devam ediyor. Daha fazla kripto para şirketi borsaya açılırken, Trezor'un da halka arz yapıp yapmayacağı sorusu gündeme geliyor.

Komarek, halka arzla ilgili belirli bir plan açıklamıyor ancak şirketin bağımsızlığının önemini vurguluyor.

“Trezor bağımsız ve bununla gurur duyuyoruz. Bu, dış yatırımcılara hesap vermek zorunda olmadığımız anlamına geliyor. Güvenlik her zaman ilk önceliğimiz oldu; bağımsız olmak da şirket dışından kimsenin bunu öncelik sıralamasında aşağı çekemeyeceği anlamına geliyor.”

Sonuç olarak kendi saklama, dijital varlıklar üzerindeki kontrol ile bunların güvenliğinden kişisel olarak sorumlu olma arasında bir tercih meselesi olmaya devam ediyor. Donanım cüzdanları gelişse de dolandırıcılığı, fonlara erişimi kaybetme riskini veya kripto paraları mirasçılara aktarma zorluklarını tamamen ortadan kaldıramıyor.