Trezor ve SafePal Veri İhlalleri: Donanım Cüzdanlarında Yeni Tehdit Kullanıcı Verisi
Donanım cüzdanlarının temel vaadi basit: private key’inizi internete karşı korumak.
Ancak son günlerde yaşanan iki ayrı veri ihlali, kripto güvenliğinin başka bir katmanını gündeme taşıdı.
Önce Trezor kullanıcılarının kişisel bilgileri, şirketin kargo sağlayıcısı ShipMonk’taki bir veri ihlali sonucunda açığa çıktı. Ardından SafePal, yaklaşık 39.798 müşterinin isim, e-posta adresi, telefon numarası, teslimat adresi ve sipariş bilgilerinin yetkisiz erişime maruz kaldığını açıkladı. SafePal’a göre olay, sipariş takip işlevinde kullanılan bir eklentideki yetkilendirme açığından kaynaklandı.
Mevcut açıklamalarda Trezor veya SafePal cihazlarının, private key’lerin ya da recovery seed’lerinin ele geçirildiğine ilişkin bir bulgu yer almıyor.
Yani bu, “donanım cüzdanları hacklendi” hikâyesi değil.
Daha önemli bir şeyin hikâyesi:
Donanım cüzdanı private key’i koruyabilir. Peki cüzdan sahibini kim koruyor?
SafePal veri ihlalinde ne yaşandı?
SafePal, 16 Ağustos 2026’da yaptığı resmi açıklamada müşteri sipariş bilgilerinin belirli bir dönem boyunca yetkisiz erişime maruz kaldığını duyurdu. Şirket, olayın sipariş bilgileriyle bağlantılı bir eklentinin sipariş takip işlevindeki yetkilendirme açığından kaynaklandığını belirtti. Belirli koşullarda bir müşterinin başka bir müşteriye ait sipariş bilgilerine erişebilmesine izin veren açık giderildi.
Etkilenen siparişler 2 Mart 2025 ile 11 Nisan 2026 arasındaki döneme ait. SafePal, yaklaşık 39.798 müşterinin bu kapsamda olduğunu açıkladı. Açığa çıkan bilgiler arasında isim, e-posta adresi, teslimat adresi, telefon numarası ve satın alma detayları bulunuyor.
Şirket ayrıca olayın seed phrase, private key, cüzdan şifresi, banka hesabı, ödeme kartı veya resmî kimlik bilgilerini içermediğini ve olayın SafePal cüzdanlarına veya fonlara erişimin ele geçirildiğine dair bir kanıt bulunmadığını belirtiyor.
Bu ayrım kritik.
Çünkü bir sipariş sistemindeki veri ihlali ile donanım cüzdanının ele geçirilmesi aynı olay değildir.
Ancak ilk olay, ikinci tür bir saldırı için zemin hazırlayabilir.
SafePal’da hangi bilgiler açığa çıktı?
SafePal’ın resmi açıklamasına göre tablo şöyle:
| Veri | Mevcut açıklamalara göre |
|---|---|
| İsim | Etkilendi |
| E-posta | Etkilendi |
| Telefon | Etkilendi |
| Teslimat adresi | Etkilendi |
| Sipariş bilgileri | Etkilendi |
| Satın alma detayları | Etkilendi |
| Seed phrase | Etkilenmediğine dair açıklama var |
| Private key | Etkilenmediğine dair açıklama var |
| Cüzdan şifresi | Olay kapsamında olmadığı belirtiliyor |
| Kripto varlıklar | Olayın cüzdanlara veya fonlara erişimi tehlikeye attığına dair kanıt bulunmadığı belirtiliyor |
Burada önemli olan yalnızca hangi verinin açığa çıktığı değil.
Bu verilerin birbirleriyle birleştirilebilmesi.
Bir e-posta adresi tek başına sınırlı bir bilgi olabilir.
Ancak isim, telefon, teslimat adresi ve sipariş bilgileri birlikte bulunduğunda saldırganın elindeki kullanıcı profili çok daha değerli hale gelir.
Trezor ve SafePal olaylarının ortak güvenlik problemi ne?
Trezor olayının teknik kaynağı SafePal’dan farklıydı.
Trezor, 13 Ağustos’ta bir kargo sağlayıcısının veri ihlalinin müşterilerin sipariş bilgilerini açığa çıkardığını duyurdu. Şirketin paylaşımına göre 11.742 müşterinin adı, e-posta adresi, telefon numarası ve teslimat adresi gibi tam veri seti; 1.947 müşterinin ise daha sınırlı bilgileri etkilendi. Böylece toplam sayı 13.689 müşteri kaydına ulaştı.
Trezor, kendi sistemlerinin ve cihazların güvenli kaldığını, ancak etkilenen müşterilerin artan phishing girişimleriyle karşılaşabileceğini belirtti.
İki olayın toplamını basitçe topladığımızda:
39.798 + 13.689 = 53.487 müşteri kaydı.
Ancak bu, 53.487 benzersiz kişinin etkilendiği anlamına gelmiyor. İki şirketin veri setleri arasında herhangi bir müşteri örtüşmesi olup olmadığı bilinmiyor.
Buradaki ortak problem sayıdan daha önemli:
Kullanıcı verisi saldırı yüzeyine dönüşüyor.
Trezor’da üçüncü taraf lojistik sağlayıcısı öne çıkarken, SafePal’da sipariş takip altyapısındaki yetkilendirme açığı öne çıktı.
İki farklı yol.
Aynı sonuç:
Cüzdanın etrafındaki veri ekosistemi de güvenlik zincirinin bir parçası.
Saldırganlar neden private key’e ihtiyaç duymuyor?
Kripto güvenliğinin en önemli yanılgılarından biri, saldırganın doğrudan cüzdana ulaşması gerektiğini düşünmek.
Oysa saldırı zinciri çok daha basit olabilir.
Bir kullanıcı SafePal satın alıyor.
Saldırgan onun adını, telefonunu ve sipariş bilgilerini biliyor.
Ardından kullanıcıya gerçek bir şirketten geliyormuş gibi görünen bir mesaj gönderiliyor:
“Cüzdanınızda güvenlik sorunu tespit edildi.”
Mesajdaki bağlantı sahte bir destek sayfasına yönlendiriliyor.
Kullanıcıdan recovery seed isteniyor.
Böyle bir saldırıda saldırganın hardware wallet’ı kırmasına gerek kalmayabilir.
Kullanıcının güvenlik modelini kullanıcı üzerinden aşması yeterli olabilir.
SafePal da resmi açıklamasında, açığa çıkan sipariş bilgilerinin daha gelişmiş phishing ve kimlik taklidi saldırılarında kullanılabileceği konusunda müşterilerini uyardı. Şirket, olayla bağlantılı 30’dan fazla sahte web sitesi ve phishing bağlantısını tespit edip kaldırdığını açıkladı.
Daha da önemlisi SafePal, sahte mesajların yalnızca e-posta ile sınırlı olmayabileceğini; telefon görüşmeleri, SMS, mektuplar, sahte iade teklifleri, firmware güncelleme talepleri ve sahte müşteri destek iletişimlerinin de kullanılabileceğini belirtiyor.
İşte veri ihlalinin gerçek güvenlik etkisi burada ortaya çıkıyor.
Adres sızıntısı neden diğer veri ihlallerinden daha hassas?
Bir e-posta adresinin sızması ile bir kişinin donanım cüzdanı müşterisi olduğuna ilişkin bilgilerinin ve teslimat adresinin açığa çıkması aynı risk seviyesinde değildir.
Çünkü ikinci durumda saldırgan potansiyel olarak:
- kişinin kim olduğunu,
- nerede yaşadığını,
- telefonuna nasıl ulaşacağını,
- donanım cüzdanı müşterisi olduğunu
biliyor olabilir.
Bu bilgiler phishing saldırılarını daha inandırıcı hale getirebilir.
Daha ileri bir aşamada dijital veri, fiziksel güvenlik açısından da hassas hale gelebilir.
Fakat burada alarmist bir sonuç çıkarmak doğru olmaz.
Bu veri ihlallerinin doğrudan fiziksel saldırıya yol açtığına dair bir kanıt bulunmuyor.
Doğru sonuç daha basit:
Kripto sahibinin kimliğini ve adresini gösteren veri, sıradan müşteri verisi değildir.
Kripto güvenliği artık sadece private key güvenliği değil
Kripto güvenliğinin klasik modeli şöyleydi:
Private key → korunmalı
Bu hâlâ doğru.
Fakat artık yeterli değil.
Daha geniş güvenlik modeli:
Private key güvenliği
Kişisel veri güvenliği
Kimlik gizliliği
Sosyal mühendislik savunması
Fiziksel güvenlik
şeklinde düşünülmeli.
Çünkü blockchain üzerindeki varlığınızın güvenliği ile gerçek dünyadaki kimliğinizin güvenliği tamamen birbirinden ayrı değil.
Bir saldırgan blockchain’e erişemese bile sizi hedef alarak güvenlik zincirinin başka bir halkasını kırmayı deneyebilir.
Cüzdanı kırmak yerine kullanıcıyı kandırmak daha kolay olabilir.
Donanım cüzdanı şirketlerinin en zayıf halkası kendi sistemi olmayabilir
Trezor olayı bu konuda önemli bir ders veriyor.
Şirketin kendi cüzdan altyapısı güvenli olsa bile müşteri verileri başka bir şirkette tutuluyorsa yeni bir saldırı yüzeyi ortaya çıkıyor.
Kargo şirketi.
CRM sistemi.
Sipariş takip sistemi.
Analitik altyapısı.
Ödeme sağlayıcısı.
Destek platformu.
Her biri kullanıcı hakkında farklı bilgiler taşıyabilir.
Trezor’un mevcut sipariş ve teslimat politikasında isim, adres, telefon ve e-posta gibi verilerin normal koşullarda 90 gün tutulduğu belirtiliyor. Teslimat verilerinin fulfillment sağlayıcılarının sistemlerinden de 90 gün sonra silindiği ifade ediliyor.
Bu, veri güvenliğinde önemli bir prensibi ortaya koyuyor:
Bir şirketin güvenliği yalnızca kendi sunucularının güvenliği değildir.
Verinin dokunduğu bütün ekosistemin güvenliğidir.
Donanım cüzdanı sahibi ne yapmalı?
Veri ihlalinden sonra kullanıcı açısından en önemli güvenlik kuralları oldukça basit.
1. Seed phrase’inizi asla paylaşmayın
SafePal açıkça seed phrase, private key veya şifreyi hiçbir koşulda istemeyeceğini belirtiyor. Trezor da wallet backup bilgilerinin çevrimiçi paylaşılmaması gerektiğini vurguluyor.
Gerçek destek ekibi seed phrase istemez.
2. Gelen mesajdaki bağlantıya güvenmeyin
Özellikle:
- güvenlik uyarısı,
- firmware güncellemesi,
- hesap doğrulama,
- cüzdan kurtarma
gibi başlıklarla gelen mesajlara dikkat edin.
Mesaj gerçek bilgilerinizi içeriyor olsa bile güvenilir olduğu anlamına gelmez.
3. Resmî siteye kendiniz gidin
E-postadaki veya SMS’teki bağlantıyı kullanmak yerine şirketin resmi internet sitesini kendiniz açın.
SafePal da kullanıcılarına web adresini tarayıcıya manuel olarak yazmalarını tavsiye ediyor.
4. Donanım cüzdanı satın aldığınızı bilen kişilere karşı ekstra dikkatli olun
Özellikle veri ihlalinden sonra size ulaşan ve geçmiş siparişleriniz hakkında bilgi sahibi olan kişiler daha ikna edici görünebilir.
Bilgi sahibi olmaları gerçek olduklarını kanıtlamaz.
5. Recovery seed’i internete bağlı ortamlarda saklamayın
Fotoğraf galerisi, bulut depolama, e-posta, mesajlaşma uygulaması veya benzeri dijital ortamlarda recovery seed bulundurmak saldırı yüzeyini artırır.
Bu olaylar donanım cüzdanlarının güvenliğini bozuyor mu?
Mevcut açıklamalara göre bu iki olay, donanım cüzdanlarının private key koruma modelinin kırıldığına dair bir kanıt sunmuyor.
Trezor olayında şirket sistemlerinin ve cihazların etkilenmediği bildirildi. SafePal ise olayın seed phrase, private key veya cüzdan şifrelerini içermediğini ve olayın SafePal cüzdanlarına veya fonlara erişimi tehlikeye attığına dair kanıt bulunmadığını açıkladı.
Bu nedenle:
Veri ihlali ≠ cüzdan hack’i
Cüzdan hack’i ≠ private key kaybı
Ancak:
Veri ihlali → daha güçlü phishing ve sosyal mühendislik saldırıları için zemin oluşturabilir.
Dolayısıyla donanım cüzdanlarının güvenlik modelini küçümsemek yanlış.
Tam tersine, güvenliği daha geniş düşünmek gerekiyor.