28 Ekim’de Trezor’un güvenlik ekibi, sorumlu güvenlik açığı bildirimi programı üzerinden bir ihbar aldı. Endonezya’daki bir alıcı, Trezor Safe 5’inin içinde yabancı bir kart bulmuştu: ana kart ile ekran arasında duruyor ve üzerinde bir hücresel modül ile bir anten taşıyor. Alıcıya göre kart, ekranda görünen her şeyi — cüzdanın yedeği olan seed phrase dahil — okuyor ve cihaz her bağlandığında bunu mobil ağ üzerinden gönderiyor. Cüzdan ağustosta, ekime kadar Güneydoğu Asya’da Trezor’un resmi bayisi olan CryptoBilis’ten, Tokopedia pazaryerindeki mağazası aracılığıyla satın alınmıştı.

Koyu renkli bir çalışma tezgâhında açılmış markasız bir donanım cüzdanı: ana kart ile kaldırılmış ekran arasına modüllü ve ince antenli küçük, fazladan bir kart gizlenmiş; yanında holografik bir etiket ve cımbız duruyor.
Görsel · Blackwood

Şimdi doğrulanmış olana gelelim. Trezor, cihazın kendisini henüz teslim almadığını ve laboratuvarda incelemediğini yazıyor. Şirketin elinde bir açıklama, fotoğraflar ve alıcıyla yapılmış bir video görüşmesi var; şirket ihbarı, inceleme sonucunu beklemeden müşterileri uyaracak kadar inandırıcı buldu. Şimdiye kadar CryptoBilis müşterileri arasında şirkete bildirilmiş bir hırsızlık yok. Kartı bulan kişi, kartı fark etmeden önce parasını cihazdan zaten çekmişti. Özetle: tek bir cüzdanda tek bir kart var ve tam olarak nasıl çalıştığını şimdilik yalnızca sahibinin anlattıklarından biliyoruz.

Trezor’unuzu CryptoBilis’ten aldıysanız ne yapmalısınız

Mart 2026’dan bu yana CryptoBilis’ten — doğrudan, Tokopedia’da ya da onun tedarik ettiği bir mağazada — Trezor aldıysanız, şirket varlıklarınızı mümkün olan en kısa sürede yeni seed phrase’li yeni bir cüzdana taşımanızı tavsiye ediyor. Eski ifadeyi başka bir cihazda geri yüklemenin anlamı yok: Zaten gözetlendiyse hırsızın elindeki kopya bir yere gitmez. Henüz kullanmaya başlamadığınız bir cihazı hiç kurmamak daha iyi; ona mevcut bir ifadeyi ise kesinlikle girmeyin. Help Net Security’nin aktardığına göre, Trezor ücretsiz değişim ya da kupon vaat ediyor ve CryptoBilis’ten alınan cüzdanın saklanmasını istiyor. Şirket cihazı tartmamanızı ve açmamanızı öneriyor: Onu kendi başınıza kontrol etmenin güvenilir bir yolu yok. Ayrıca “destek ekibinden” gelecek e-postalara, aramalara, hatta kâğıt mektuplara hazırlıklı olun — gerçek Trezor desteği seed phrase’i asla istemez.

Bu numara neden işe yarıyor

Burada güvenli çipi ya da yazılımı kırmak gerekmedi. İmplant için cüzdanın seed phrase’i kendisinin üretmesi ve kendi ekranında göstermesi yeterli. Gerisi basit: Bir parti cihazı satın almak ya da yolda ele geçirmek, kasayı açmak, kart ile ekran arasına görüntüyü okuyan ve mobil ağa bağlanabilen bir modül lehimlemek, özenle yeniden toplamak, mühürlemek ve olabilecek en resmi kanaldan satmak. Sonra alıcının ekrandaki kelimeleri kutudan çıkan yedekleme kartına yazmasını ve cüzdana para yüklemesini beklemek. İşlem imzalama, çip, uygulama — her şey olması gerektiği gibi çalışıyor. Ekran yalnızca ikinci bir izleyici kazandı. Bu yüzden herhangi bir cüzdanı almadan önce sorulacak ilk soru, içinde böyle bir izleyiciye yer olup olmadığıdır: Ekranı, bataryası, yazılımı ve USB’si olmayan bir taşıyıcıda fazladan bir kartı yerleştirecek yer de, onu besleyecek bir şey de yoktur.

Trezor ilk bağlantıda cihazın orijinalliğini güvenli çip aracılığıyla kontrol ediyor ve cihazın “orijinal ve değiştirilmemiş” olduğunu doğrulayacağını vaat ediyor. Endonezya’daki kartın bu kontrol sırasında nasıl davrandığını şirket henüz açıklamadı. Ama “çip orijinal” ile “yanına hiçbir şey lehimlenmedi” iki ayrı iddiadır ve ikinci sorunun cevabını alıcıya kimse vermiyor.

Böyle bir saldırıyı mümkün kılan kusurlar

  • Seed phrase’i cihazın kendisi üretiyor ve kendi ekranında gösteriyor. Ekranı gören parayı görür.
  • İçine bakamazsınız. Trezor’un kendisi de cihazı kendi başınıza kontrol etmenin güvenilir bir yolu olmadığını kabul ediyor ve açmamanızı öneriyor.
  • Kasada fazladan bir karta yer var ve USB her bağlantıda onu besliyor.
  • Korumanın kalbi kapalı bir secure element. Trezor’un yazılımı açık, ama sizin cihazınızın içinde tam olarak ne olduğunu ve ona neyin lehimlendiğini alıcı yine de kontrol edemiyor.
  • Alıcı, kutuyu elinde tutmuş herkese güvenmek zorunda: fabrikaya, depoya, distribütöre, bayiye, pazaryerine ve kuryeye. Görüldüğü gibi resmi satıcı statüsü hiçbir şeyi garanti etmiyor.
  • Donanımı kontrol edecek bir şey yok: Trezor’un kendisine göre tartı hiçbir şey kanıtlamıyor. Geriye inanç kalıyor.

Buradan, herhangi bir cüzdanı almadan önce sorulmaya değer birkaç soru daha çıkıyor. Taşıyıcı boş mu geliyor, yani anahtarı kendi telefonunuzda kendiniz oluşturup şifreliyor musunuz — ki o zaman kutuyu sizden önce kimin tuttuğunun bir önemi kalmasın? Üzerinde saklananı herhangi bir NFC uygulamasıyla okuyabilir ve şifreli kopyaları birkaç ucuz etikete dağıtabilir misiniz, ki tek bir donanım parçasına dua etmek zorunda kalmayasınız?

Uğur muskası olarak hologram

Holografik etiket ayrı bir hayranlığı hak ediyor. Safe 5’te USB bağlantı noktasını kapatıyor, kutu streç filmle sarılı geliyor ve kılavuz, mührün yırtıksız ve yapıştırıcı izi olmadan sağlam olduğundan emin olmanızı istiyor. Hologramlar bugün siparişe göre partiler hâlinde basılıyor, bir kutuyu yeniden filme sarmak da kahramanlık sayılmaz. En önemlisi, implantın bağlantı noktasına dokunması bile gerekmiyor: İçeride, kart ile ekran arasında yaşıyor. Etiket dürüstçe yalnızca tek bir şey söylüyor: Onu kimse sökmedi. Kapağın altında ne olduğunu bilmiyor ve bilemez. Bu bir koruma değil, yanardöner pırıltılı bir yatıştırıcı.

İki yönlü güven

Sonuçta alıcı birbirini dışlayan iki varsayımdan yola çıkıyor. Üretici ondan o kadar akıllı ki anahtarların oluşturulması bile ona emanet edilebilir. Ve yolda kutuya dokunan herkes, bir değiştirme için gerekenden daha dürüst — ya da daha aptal. Trezor şimdi bayileri daha sıkı denetleyeceğini ve sayılarını azaltacağını vaat ediyor. Bu doğru bir adım, ama yalnızca güvenilmesi gerekenlerin çemberini daraltıyor; güvenme zorunluluğunu ortadan kaldırmıyor.

Ne var ki CryptoBilis’in peşine düşmek hidranın başlarını kesmeye benziyor: Bir mağazayı kapatırsınız, yerine üç yenisi çıkar. Sorun kötü bir satıcı değil, dürüst bir satıcıya ihtiyaç duyan bir düzen. Şehrinizde bir yerde, yerel bir pazaryerinde ya da “güvenilir” bir aracıda implantlı cüzdanlar belki uzun zamandır satılıyor ve kimsenin haberi yok. Ne de olsa burası güvenlik araştırmacılarının uğradığı büyük bir Alman elektronik mağazası değil. Endonezya’daki kart yalnızca bir alıcı dikkatli çıktığı ve Trezor’a kendisi yazdığı için bulundu. Böyle kaç alıcının çıkmadığını kimse bilmiyor.

Kısa süre önce Tangem ve Mitilena’yı incelemiştik — artıları ve eksileriyle. Kutuyu sizden önce kimin tuttuğuna bağlı kalmak istemiyorsanız, anahtarı kendinizin oluşturduğu ve taşıyıcının boş geldiği cüzdanları seçin: Yolda değiştirilmiş bir kart o zaman hiçbir işe yaramaz — üzerine kendi şifreli anahtarınızı yazarsınız, o kadar. Örneğin Mitilena.