Bir varlığa sahip olmakla onu kullanabilmek aynı şey değildir. Stefan Thomas’ın hikâyesi, kripto para saklamanın bu yönünü görünür hale getirdi.

Thomas’ın erişemediği şifreli cihazın, 7.002 Bitcoin’e erişim sağlayan anahtarları tuttuğu bildirildi. Bitcoin’in fiyatı yükseldikçe, unutulan şifrenin ekonomik önemi de büyüdü.

Ancak olayın merkezinde blockchain tarafından konulmuş bir deneme sınırı yoktu. Sorun, anahtarların saklandığı cihazın güvenlik mekanizmasıyla ilgiliydi.

Stefan Thomas Olayında Ne Biliniyor?

Stefan Thomas, şifresini kaybettiği IronKey cihazına erişemediğini açıklayan bir yazılımcı ve kripto girişimcisidir.

Hikâyesine ilişkin haberlerde 7.002 BTC, on deneme sınırı ve sekiz başarısız giriş bilgileri yer aldı.

Dolayısıyla başlıktaki “43 kez yanlış şifre girdi” ifadesi bu olayla uyuşmuyor. Bütün deneme haklarını tüketerek verileri kalıcı biçimde kaybettiği de bu haberlerle doğrulanmıyor.

Bu ayrım önemlidir: Erişememek, verilerin kesin olarak silindiğini göstermekle aynı değildir.

IronKey Bir Bitcoin Cüzdanı mı?

IronKey, şifreli veri saklamak için tasarlanmış USB cihazları ailesidir. Bir cihazda Bitcoin anahtarları veya cüzdan verileri tutulabilir; ancak bu, cihazı doğrudan kripto donanım cüzdanıyla aynı ürün yapmaz.

Bitcoin, USB belleğin içinde duran dijital bir dosya değildir. Varlık kayıtları blockchain üzerinde bulunur.

Cihazdaki önemli veri, bu varlıkları kullanmayı sağlayan anahtarlar olabilir.

Bu nedenle “Bitcoin’ler USB’nin içinde kilitlendi” ifadesi anlaşılır bir benzetmedir; teknik olarak kaybolan erişim, anahtarların bulunduğu verilere yöneliktir.

Deneme Sınırı Neden Var?

Şifreli cihazlarda başarısız giriş sınırı, saldırganların çok sayıda parola tahmini yapmasını zorlaştırmayı amaçlar.

Ancak aynı koruma, şifresini unutan meşru kullanıcı için de risk oluşturabilir. Cihaz, doğru sahibini yalnızca niyetinden tanıyamaz.

Üstelik bütün IronKey modelleri aynı şekilde çalışmaz. Kullanıcı ve yönetici erişimleri, kurtarma seçenekleri ve veri silme davranışları modele göre değişebilir.

Bir modelin özelliği, bütün cihaz ailesine genellenmemelidir.

Kilitlenme ile Verilerin Silinmesi Aynı mı?

Hayır. Geçici erişim engeli, başka bir yetkiliyle açılabilen kilit ve şifreleme anahtarlarının silinmesi farklı durumlardır.

Bazı cihazlarda belirli koşullar altında şifreleme anahtarları silinerek veriler kullanılamaz hale getirilebilir. Bu işlem, sıradan bir hesap kilidinden daha ciddi sonuç oluşturur.

Ancak cihazın yalnızca açılmıyor olması, hangi aşamada olduğunu tek başına göstermez.

Erişim sorunu hakkında kesin hüküm vermek için cihazın modeli ve mevcut durumu bilinmelidir.

“240 Milyon Dolar” Sabit Bir Tutar mı?

Thomas’ın hikâyesindeki temel varlık miktarı, haberlerde belirtilen 7.002 BTC’dir. Dolar karşılığı ise Bitcoin fiyatına göre değişir.

Bu yüzden 220, 235 veya 240 milyon dolar gibi farklı tutarlar, farklı tarihlerdeki değerlemeleri yansıtabilir.

Belirli bir dolar rakamı kullanılırken tarih belirtilmelidir. Geçmiş bir haberin tutarını güncel değer gibi sunmak yanıltıcı olur.

Ayrıca erişilemeyen varlığın piyasa değeri, gerçekleşmiş bir satış geliri değildir.

Kurtarma İhtimali Tamamen Ortadan Kalktı mı?

Ekim 2023’te yayımlanan bir araştırmada, Unciphered ekibinin başka bir IronKey S200 üzerinde erişim gösterimi yaptığı anlatıldı.

Ancak bir test cihazında başarı sağlanması, Thomas’ın cihazının da açıldığı anlamına gelmez.

Belirli modelde bir yöntem geliştirilmesiyle, belirli kişinin verilerinin kurtarılması farklı aşamalardır. İncelenen kaynaklar, Thomas’ın Bitcoin’lerine erişimin başarıyla geri getirildiğini doğrulamıyor.

Bu nedenle hem “kesinlikle kurtarılamaz” hem de “Bitcoin’ler kurtarıldı” ifadeleri temkin gerektirir.

USB Şifresiyle Private Key Arasındaki Fark Nedir?

USB şifresi, cihazdaki verilere erişimi korur. Bitcoin özel anahtarı ise ilgili varlıkları harcamaya yetki veren kriptografik bilgidir.

İlkini bilmemek, ikincisinin bulunduğu dosyaya ulaşmayı engelleyebilir. Ancak aynı anahtarın kullanılabilir başka bir yedeği varsa cihaz sorununa rağmen erişim sağlanabilir.

Bu yüzden tek cihazın kilitlenmesiyle bütün erişim yollarının kaybolması aynı değildir.

Asıl soru, gerekli bilgilerin başka bir yerde güvenilir biçimde korunup korunmadığıdır.

Bitcoin’de Şifre Sıfırlama Neden Farklıdır?

Bir banka veya çevrim içi hizmet, kimlik doğrulamasından sonra hesabın şifresini değiştirebilir. Kullanıcının kendi anahtarlarıyla yönettiği Bitcoin’de aynı merkezi hesap kurtarma mekanizması bulunmaz.

Bir kişinin kimliğini kanıtlaması, gerekli işlem imzasını üretemediğinde tek başına yeterli olmaz.

Ancak buradan “kriptoyla ilgili hiçbir hizmette destek veya hesap kurtarma yoktur” sonucu çıkarılmamalıdır. Merkezi hizmetlerin hesaplarıyla kişisel anahtar kontrolü farklı yapılardır.

Kurtarma imkânı, kullanılan saklama modeline bağlıdır.

Seed Phrase Her Cüzdanda Bulunur mu?

Hayır. Kurtarma kelimeleri, onları destekleyen cüzdanlarda anahtarların yeniden oluşturulmasını sağlar.

BIP39 gibi standartlar bu amaçla kullanılır. Ancak bütün eski cüzdanların 12 veya 24 kelimelik yedeği bulunduğu varsayılamaz.

Bazı sistemlerde dosya yedeği veya başka anahtar saklama yöntemleri kullanılmış olabilir. Ek passphrase varsa, kurtarma kelimelerinin yanında bu bilgi de gerekebilir.

Bu nedenle güncel cüzdan alışkanlıklarını eski bir cihaz hikâyesine doğrudan uygulamak doğru değildir.

Kayıp Bitcoin Miktarı Kesin Biliniyor mu?

Uzun süredir hareket etmeyen Bitcoin’lerin tamamı kayıp sayılamaz. Sahipleri varlıklarını kullanmadan tutuyor olabilir.

Blockchain, işlemleri gösterir; bir kişinin anahtar yedeğinin bulunup bulunmadığını doğrudan göstermez.

Bu nedenle toplam kayıp Bitcoin miktarına ilişkin rakamlar, kullanılan varsayımlarla birlikte değerlendirilmelidir.

Erişilemeyen varlıkların bulunması da fiyatın mutlaka yükseleceği anlamına gelmez. Talep ve piyasa koşulları ayrıca önemlidir.

Güvenli Saklama Nasıl Değerlendirilmeli?

Saklama düzeni, yetkisiz erişimi önlerken sahibinin gerektiğinde erişebilmesini de sağlamalıdır.

Bir cihazın güçlü biçimde şifrelenmesi, yedeğin kullanılabilir olduğunu garanti etmez. Yedeğin var olması da doğru veya eksiksiz olduğunu tek başına göstermez.

Bu nedenle şifre yönetimi, cüzdan yedeği ve geri yükleme imkânı birlikte düşünülmelidir.

Deneme sınırı bulunan bir cihazda gelişigüzel tahminler yapmak ise kalan seçenekleri azaltabilir.

Stefan Thomas Hikâyesinin Temel Dersi Nedir?

Bu olay, 43 yanlış denemeyle kesinleşmiş bir kayıp hikâyesi olarak anlatılmamalıdır. Belgelenen anlatıda sekiz başarısız giriş ve kalan iki deneme öne çıkıyordu.

Asıl mesele, önemli anahtarların erişilemeyen şifreli bir cihazla bağlantılı olmasıydı.

Hikâyenin güçlü dersi de burada: Varlıkları korumak kadar, gerekli erişim bilgilerinin güvenilir biçimde geri getirilebilmesini sağlamak da önemlidir.

Güvenlik, yalnızca başkalarının içeri girememesiyle değil, yetkili kişinin gerektiğinde erişebilmesiyle tamamlanır.

Kaynaklar: Stefan Thomas ve IronKey S200 kurtarma çalışmasına ilişkin Ekim 2023 tarihli araştırma; Kingston’ın IronKey güvenlik ve kullanım belgeleri; Bitcoin’in kayıp varlık açıklamaları; BIP39 ve cüzdan yedekleme belgeleri. WIRED

Editör Notu

Bu içerik bilgilendirme amacıyla hazırlanmıştır ve yatırım tavsiyesi içermez. Stefan Thomas’ın 43 yanlış giriş yaptığı veya bütün deneme haklarını tükettiği doğrulanmamıştır. Sekiz başarısız giriş ve iki kalan deneme bilgisi, geçmiş haberlerde aktarılan duruma aittir. Kurtarma çalışmaları, Thomas’ın cihazına erişimin başarıyla sağlandığı anlamına gelmez.