OneKey kurucusu Yishi Wang, eski bir iPhone’u internete bağlamadan kripto para cüzdanı olarak kullanmanın özel olarak üretilmiş bir donanım cüzdanıyla aynı güvenliği sağlamadığını belirtti.
Bazı kripto yatırımcıları yedek telefonlarını sıfırlayıp internet bağlantısını kapatarak cihazı soğuk cüzdan olarak kullanıyor. Wang ise özellikle yüksek miktardaki veya uzun süre saklanacak varlıklar için bu yöntemin taşıdığı güvenlik risklerine dikkat çekiyor.
Eski iPhone Modellerinde Güvenlik Riski
Wang, farklı iPhone nesillerinde tespit edilen düşük seviyeli güvenlik açıklarına dikkat çekti. Bunlar arasında eski modelleri etkileyen ve kamuya açık şekilde belgelenen checkm8 açığının yanı sıra daha yeni bazı cihazlarda bildirilen zayıflıklar da bulunuyor.
Söz konusu açıkların bazıları cihazın önyükleme sürecinin ilk aşamalarını etkiliyor ve saldırı için telefona kötü amaçlı bir uygulama yüklenmesini gerektirmeyebiliyor. Ayrıca değiştirilemeyen önyükleme kodunda bulunan bir zayıflığın standart iOS güncellemeleriyle giderilmesi mümkün olmayabilir. Bu durum özellikle saldırganın telefona fiziksel olarak erişebildiği senaryolarda önem taşıyor.
Kurtarma Kelimelerini Saklamayın
Bununla birlikte bir iPhone’da güvenlik açığı bulunması, saldırganın doğrudan cüzdanın kurtarma kelimelerine ulaşabileceği anlamına gelmiyor. Cihaz şifrelemesi, güçlü bir ekran kilidi parolası ve güvenli anahtar yönetimi saldırganların aşması gereken ek güvenlik katmanları oluşturuyor.
Wang özellikle iPhone 11 ve daha eski modellerde kripto varlıkların kurtarma kelimelerinin saklanmamasını tavsiye ediyor. Mevcut kurtarma kelimelerinin ele geçirilmiş olabileceğinden şüphelenen kullanıcıların ise güvenilir bir cihaz üzerinden tamamen yeni bir kelime dizisi oluşturması ve varlıklarını buna bağlı yeni cüzdana aktarması gerekiyor.
Aynı kurtarma kelimelerinden yeni bir adres oluşturmak sorunu çözmüyor. Temel kurtarma bilgileri ele geçirilmişse bu kelimelerden türetilen diğer adresler de aynı güvenlik riskiyle karşı karşıya kalıyor.
Donanım Cüzdanları Neden Farklı?
Wang, telefon kullanan kişilerin işletim sistemlerini güncel tutmasını, uzun ve karmaşık parolalar belirlemesini ve USB bağlantılarına dikkat etmesini öneriyor. Ancak daha yeni iPhone modellerinin dahi özel olarak tasarlanmış imzalama cihazlarıyla aynı şekilde değerlendirilmemesi gerektiğini belirtiyor.
Donanım cüzdanları, özel anahtarları izole etmek ve işlem ayrıntılarının doğrudan cihaz ekranından doğrulanmasını sağlamak amacıyla geliştiriliyor. Böylece özel anahtarların genel amaçlı bir telefon veya bilgisayar ortamında tutulmasına duyulan ihtiyaç azaltılıyor.
Ancak bu cihazlar da tamamen risksiz değil. Sahte veya fiziksel olarak değiştirilmiş ürünler, güvenliği ihlal edilmiş satış kanalları ve kurtarma kelimelerinin hatalı saklanması kullanıcıların varlıklarını tehlikeye atabiliyor. Bu nedenle Wang’a göre güvenlik açısından temel unsur, kullanılan cihazın markasından ziyade olası saldırı yöntemlerine karşı nasıl koruma sağladığı.
OneKey Kurucusundan Uyarı: iPhone’unuzu Donanım Cüzdanı Olarak Kullanmayın yazısı ilk önce CryptoPotato üzerinde ortaya çıktı.
