Ledger’dan iç rahatlatan bir haber var: güvenlik çipi kırılmamış. Boş cüzdanlarına bakanlar artık buna nasıl sevineceklerini düşünebilir.

9 Ekim 2026’da, CryptoBilis adlı satıcıdan cihaz alan kişilerin kripto paraları çalındı. Bitquery’nin 15 Ekim’de kontrol ettiğimiz verileri, 324 cüzdandaki kaybı yaklaşık 102 milyon dolar olarak gösteriyor. Bu, araştırmacıların tahmini; Ledger bu tutarı doğrulamadı.

Siz kasanın şifresini girerken biri izledi

Ledger, 13 Ekim’de bir mağdurun cihazında bulunan gizli donanım parçasını anlattı. Cihazın kasasına eklenmiş bir bileşen, kurulum sırasında ekranda görünen 24 kurtarma kelimesini okuyup mobil şebeke üzerinden saldırganlara gönderiyordu. Güvenlik çipine, cihazın işletim sistemine ve işlem imzalarına dokunulmamıştı.

Bu kelimeler, seed phrase denen kurtarma ifadesini oluşturur. Ek bir parola kullanılmayan standart bir cüzdana başka bir cihazdan yeniden erişmek için bu kelimeler yeterlidir. Hırsızın artık sizin Ledger’ınıza ihtiyacı yoktur. Düğmelerine dokunması bile gerekmez.

Mükemmel kilidi olan bir kasa düşünün. Biri tuş takımının yanına kamera gizleyip şifreyi nasıl girdiğinizi izliyor. Kilit bütün testleri geçiyor. Ne hikmetse kasanın içindekiler bu başarıya pek sevinemiyor.

Cihaz orijinal. İçinden çıkanlar sürpriz.

Ledger, cihazın orijinalliğini kontrol eden bir doğrulama sunuyor. Şirketin kendi donanım inceleme kılavuzu bunun sınırını açıkça belirtiyor: orijinal güvenlik çipi sağlam kaldığı sürece, bu kontrol casus bileşenler dâhil fiziksel değişiklikleri tespit edemiyor.

“Bu, orijinal bir Ledger” ile “içine kimse bir şey eklemedi” aynı iddia değil. Bir mühendis aradaki farkı anlayabilir. Korunmak için para ödeyen ve cihazı kontrolden geçen bir alıcı içinse bu farkı öğrenmenin bedeli bütün birikimi olabilir.

Sonraki adım da ayrı bir incelik taşıyor. Aynı kılavuz, cihazın içini inceleyebilmeniz için fotoğraflar veriyor. Yanında da cihazı açmanın ona zarar verebileceği uyarısı var. Güvenliği daha az dert etmek için cüzdan aldınız. Artık devre kartlarını incelemek için de bir nedeniniz var.

Kara kutunun içi sandığımızdan kalabalıkmış

Burada suçu rastgele bir ucuzcuya atmak pek kolay değil: CryptoBilis, Ledger’ın resmî satıcı listesinde yer alıyordu. Cihazlara kimin, nerede müdahale ettiği hâlâ araştırılıyor.

İç rahatlığı vaadi tam burada çatlamaya başlıyor. Alıcıdan üreticiye, satıcıya, teslimat sürecine ve kutunun içindekilere güvenmesi bekleniyor. Sonra yapılan kontrolün sorunun yalnızca bir kısmına cevap verdiği ortaya çıkıyor. Kontrolün dışında kalan her şey bir anda alıcının şahsi meselesi oluyor.

Bu olayda saldırganların cihazın yazılımını değiştirmesine bile gerek kalmadı. İçeriye kendi gözcülerini eklediler. Orijinal cihazda bir hırsıza da yer varmış.

Bu, Ledger Live uygulamasının kırıldığının doğrulandığı anlamına gelmiyor; bütün Ledger cihazlarının ele geçirildiğini de göstermiyor. Ledger, 14 Ekim tarihli açıklamasında, Alman perakendecilerin ve distribütörlerin stoklarında yapılan kontrollerde müdahale izine rastlanmadığını, internette gösterilen şüpheli cihazların ise henüz şirkete ulaşmadığını söyledi. Bu, olayın kapsamı hakkında söyleyebileceklerimizi sınırlıyor. Bulunan gizli parçayı ortadan kaldırmıyor.

Alıcılar şimdi ne yapmalı?

CryptoBilis müşterilerine Ledger’ın tavsiyesi açık: kullanılmamış cihazı kurmayın; kullandıysanız varlıklarınızı güvenilir bir cihazda, yeni kurtarma kelimeleriyle oluşturulmuş yeni bir cüzdana taşıyın. Eski kelimeleri yeniden kullanmak, hırsızın elindeki olası kopyayı silmez. Bunları “güvenlik kontrolü” vadeden bir siteye girmeyin.

Kart saklar. Siz şifrelersiniz.

Neye güvendiğiniz, cihazdan ne yapmasını istediğinize de bağlıdır.

Bir Mitilena kartı, kendi şifrelediğiniz veriler için bir kasadır. Bir parola seçer, verilerinizi bu parolayla şifreler, şifrelenmiş veriyi karta kaydedersiniz.

Standart NFC biçiminde saklanan bir kaydı NFC Tools gibi sıradan bir uygulamayla okuyabilirsiniz. Kartı okumak, verinin şifresini çözmez. Şifrelemeyi siz yaparsınız. Kart, içine koyduğunuzu saklar.