Bildirilen bir **Ledger cüzdan casus yazılım çipi** haberi, temkinli kripto sahiplerinin bile bir an durup düşünmesine neden olan türden bir hikaye. Risky Bulletin bülteninin haberlerine ve takip raporlarına göre, Ledger cihazlarında gizli bir donanım implantı bulundu ve güvenlik aracı olarak satılan bir ürün olası bir gözetleme kanalına dönüştü. Aynı bülten bir süpermarket siber saldırısını ve Avrupa'nın akıllı gözlüklerin kayıt sırasında bip sesi çıkarmasını zorunlu kılma girişimini de işaret etti. Bu maddeler birlikte, modern mahremiyetin ne kadarının çevremizdeki donanıma güvenmeye bağlı olduğunu gösteriyor. Kaynak notu: bülten girişinin kendisi kısa bir özettir. Aşağıdaki ayrıntılar yazım sırasında mevcut olan haberlere dayanmaktadır ve soruşturma devam ettikçe bazı rakamlar değişebilir. ## Ledger cüzdanlarının içinde ne bulundu Yayımlanan haberlere göre Ledger, CryptoBilis adlı bir satıcı tarafından satılan cüzdanlara gizli donanım yerleştirildiğini söylüyor. İmplantın, kullanıcıların kurtarma ifadelerini cihaz ekranından okuyup bir mobil ağ üzerinden ilettiği bildiriliyor. Raporlar tahmini kayıpları yaklaşık 90 milyon ila 93 milyon dolar olarak veriyor, ancak kesin rakam yayın kuruluşuna göre değişiyor. Burada iki ayrıntı önemli. Birincisi, bildirilen sorun cüzdanın temel tasarımındaki bir kusur değil. Bu, alıcılara bir satıcı aracılığıyla ulaşan belirli birimlerde yapılan kurcalamadır. İkincisi, kurtarma ifadesi bir cüzdanın ana anahtarıdır. Onu ele geçiren herkes, orijinal cihaza hiç dokunmadan fonları taşıyabilir. Ledger'ın cihazlarının alıcılara nasıl ulaştığını gözden geçirdiği bildiriliyor. Kaç birimin etkilendiği ve implantların nasıl eklendiğine dair sorular kamuya açık haberlerde hâlâ ele alınıyor. ## Donanım tedarik zinciri kurcalaması güveni neden zayıflatır Çoğu insan güvenliği, cihazı açtıktan sonra gerçekleşen bir şey olarak düşünür: güçlü parolalar, güncellemeler, şifreleme. Tedarik zinciri kurcalaması daha önceki adıma saldırır. Bir cihaz size ulaşmadan önce değiştirilmişse, yazılım korumaları atlanabilir veya içeriden izlenebilir. Bir donanım cüzdanı basit bir vaat üzerine kuruludur: anahtarlarınız cihazdan asla ayrılmaz. Bu da onu yüksek değerli bir hedef haline getirir. Sadece ekranı izleyen ve gördüğünü ileten bir implantın herhangi bir kriptografiyi kırması gerekmez. Yalnızca cihaz ile kullanıcı arasında durması yeterlidir. Bu, hikayenin kripto dışında da neden önemli olduğunu açıklıyor. Yönlendiriciler, telefonlar, güvenlik anahtarları ve mahremiyet açısından kritik olan diğer tüm cihazlar aynı varsayıma dayanır: kutunun içindekiler, üreticinin gönderdiği şeydir. Bu zincir kırıldığında, alıcının genellikle fark etmesinin bariz bir yolu yoktur. Bu olay, bir cihaza duyulan güvenin, onu eline alan herkese duyulan güveni de içerdiğini hatırlatıyor. Araçların sahiplerinin amaçlamadığı şekillerde davranmasına dair benzer bir tema, [Anthropic'in dördüncü yapay zeka ajanı olayı](/en/anthropic-discloses-fourth-ai-agent-hacking-incident) haberimizde de görülüyor, ancak o vaka donanım yerine yazılımı içeriyor. ## AB akıllı gözlüklerin ne yapmasını istiyor Aynı Risky Bulletin sayısı, AB'nin akıllı gözlüklerin kayıt yaparken yüksek sesle bip çıkarmasını istediğini belirtiyor. Fikir basit: giyilebilir bir kamera insanları habersizce görüntüleyebiliyorsa, çevredekiler net bir sinyal almalıdır. Özet, yasal mekanizmayı veya takvimi ayrıntılı olarak belirtmiyor, bu nedenle şimdilik bunu bir öneri olarak ele almak en iyisidir. Yine de bu, Ledger hikayesiyle bağlantılıdır. Her iki durumda da endişe gizli yakalamadır: sessizce bir ekranı izleyen bir çip ya da sessizce bir odayı izleyen bir kamera. Düzenleyiciler ve güvenlik araştırmacıları aynı ilkede birleşiyor: gizli veri toplama, tasarım gereği görünür kılınmalı veya engellenmelidir. Bülten ayrıca süpermarket buzdolaplarını çözen ve Ahold Delhaize mağazalarını birçok yerde çevrimdışı bırakan bir siber saldırıdan da bahsetti. Bu ayrı bir olay, ancak dijital arızaların çok fiziksel sonuçları olabileceğini vurguluyor. ## Mahremiyete önem veren kullanıcılar cihaz riskini nasıl azaltabilir Her cihazdaki her çipi inceleyemezsiniz, ancak maruziyetinizi azaltabilirsiniz. - **Üreticiden veya yetkili bir satıcıdan satın alın.** Satıcı kanalları, göremediğiniz ek elleçleme adımları ekler. Satın almadan önce üreticinin yetkili satıcılar listesini kontrol edin. - **Ambalajı inceleyin.** Kırık mühürler, yeniden mühürleme izleri veya olağandışı görünen herhangi bir şey arayın. Ancak yalnızca ambalaja güvenmeyin. - **Önceden ayarlanmış bir kurtarma ifadesini asla kullanmayın.** Bir cihaz, ifadesi zaten yazılı olarak gelirse, kullanmayı bırakın. Her zaman kendi ifadenizi cihazda oluşturun. - **Üreticinin orijinallik kontrolünü çalıştırın.** Donanım cüzdan üreticileri genellikle bir cihazı doğrulamanın bir yolunu sunar. Bunu geldiğinde ve herhangi bir şüpheniz varsa tekrar kullanın. - **Olağandışı donanıma dikkat edin.** Beklenmeyen radyolar, ekstra bileşenler veya ısınma ya da hızlı güç tüketimi gibi tuhaf davranan bir cihaz inceleme gerektirir. - **Tek bir cihazda risk altında olanı sınırlayın.** Varlıkları cüzdanlar arasında dağıtmak, tek bir ihlalin hasarını azaltır. ## Bu Sizin İçin Ne Anlama Geliyor Bir donanım cüzdanınız varsa, özellikle üçüncü taraf bir satıcıdan satın alınmışsa, nereden geldiğini kontrol edin. CryptoBilis tarafından satıldıysa, Ledger'ın resmi rehberliğini izleyin ve doğrulanmış bir cihazdan yeni oluşturulmuş bir cüzdana fon taşımayı düşünün. Cihazınızın kaynağından emin değilseniz, aynı temkinli adım geçerlidir. Kripto sahibi değilseniz bile ders geçerliliğini koruyor. Bir güvenlik anahtarından bir yönlendiriciye kadar mahremiyet açısından kritik olan her cihaz, yalnızca tedarik zinciri kadar güvenilirdir. Resmi kanallardan satın almak, mevcut en ucuz ve en etkili korumalardan biridir. ## Çıkarımlar Ledger cüzdan casus yazılım çipi hikayesi hâlâ gelişiyor ve Ledger ile soruşturmacılar daha fazlasını paylaştıkça ayrıntılar netleşebilir. Şimdiden açık olan şu ki donanım güveni varsayılamaz. Sahip olduğunuz herhangi bir donanım cüzdanının veya mahremiyet açısından kritik cihazın bütünlüğünü doğrulayın, yalnızca üreticiden veya yetkili satıcılardan satın alın ve önceden yapılandırılmış olarak gelen her şeye şüpheyle yaklaşın. Bu alışkanlıklar dakikalar alır ve hiçbir yazılım düzeltmesinin geri alamayacağı kayıpları önleyebilir.