Bitcoin dünyasının en eski masaüstü cüzdanlarından Electrum, 24 Ekim’de yayımladığı 4.8.3 sürümüyle kötü niyetli sunucuların kullanıcıyı kandırmasına yol açan bir açığı kapattı. Geliştiriciler açığın yalnızca kâğıt üzerinde kalmadığını, bazı sunucuların bu yöntemi gerçekten kullandığını ve en az bir kullanıcının para kaybettiğini açıkladı. 4.8.3’ten eski bir sürüm kullanıyorsanız, aşağıdaki ayrıntılardan önce yapmanız gereken tek şey güncellemek.
Proje, 24 Ekim 13.06 TSİ’de resmî X hesabından yaptığı paylaşımda yeni sürümün “kritik bir güvenlik sorununu” giderdiğini yazdı ve bütün kullanıcıları güncellemeye çağırdı. Aynı paylaşımda, Windows Defender’ın ZXing.dll dosyası için uyarı gösterebileceği, bunun hatalı bir alarm olduğu da not edildi. Teknik açıklama aynı gün öğleden sonra GitHub’daki güvenlik bildirimiyle geldi. GHSA-6jp4-8v48-cc5v numaralı kayıtta sorun “yüksek” önem derecesiyle sınıflandırılıyor; etkilenen sürümler 4.8.3 öncesindeki tüm sürümler, düzeltme ise 4.8.3’te.
Sürüm notlarında, açığı bildirenler arasında dannydeezy, tokenistq, Raju-K12 ve Amadeus29 adları geçiyor. Kamuya açıklanan ve ayrıntısı paylaşılan açık ise şimdilik tek: sahte işlemle ücret artırma tuzağı.
Konuyu anlamak için Electrum’un yapısına kısaca bakmak gerekiyor. Electrum “hafif istemci” denen türden bir cüzdan. Bilgisayarınıza Bitcoin blok zincirinin tamamını indirmiyor; bunun yerine internetteki Electrum sunucularına bağlanıp kendi adreslerinizle ilgili bilgiyi onlardan alıyor. Onaylanmış, yani bir bloğa girmiş işlemleri basit ödeme doğrulaması (SPV) ile kendisi kontrol ediyor. Henüz onaylanmamış, bekleme havuzundaki (mempool) işlemler içinse bağlı olduğu ana sunucuya güveniyor. Bu, projenin kendi dokümanlarında da açıkça yazan bir tasarım tercihi.
Saldırı tam bu boşluktan yararlanıyor. Kullanıcı bir ödeme yapıp “yayınla” dediğinde işlem ana sunucuya gidiyor. Kötü niyetli sunucu bu işlemi ağa iletmek yerine kendinde tutuyor. Ardından cüzdanın geçmişine, aynı girdileri kullanan ama çıktısı saldırganın adresine giden sahte bir işlem ekliyor. Bu sahte işlemin imzaları geçersiz; ancak eski sürümler onaylanmamış işlemlerin imzasını denetlemediği için Electrum onu bekleyen bir işlem gibi gösteriyor. Gerçek ödeme ise listede hiç görünmüyor.
Asıl tehlike bundan sonra başlıyor. İşlemi uzun süre onaysız gören kullanıcı, Bitcoin’de sık kullanılan “ücret artırma” (RBF, replace-by-fee) seçeneğine başvurabiliyor. Electrum bu durumda ekrandaki sahte işlemi temel alıp yeni bir işlem hazırlıyor ve kullanıcının anahtarıyla imzalıyor. Ortaya çıkan işlem artık geçerli ve parayı saldırgana gönderiyor. Yani hırsızlık, kullanıcının kendi onayıyla tamamlanıyor.
GitHub bildirimine göre geliştiricilere iki ayrı kullanıcı başvurdu. Birincisi, işlemini yayınladıktan sonra geçmişte tanımadığı bir adrese giden tutarı gördü; ücret artırmadığı için para kaybetmedi. Gerçek işlemi Bitcoin ağına hiç ulaşmamıştı, yani sunucu onu gerçekten bekletmişti. Bu kullanıcının paylaştığı olay raporuna göre cüzdan yapısı şöyleydi: İkisi Trezor olan üç anahtarlı (2/3) eski tip P2SH çoklu imza cüzdan, 31 girdi ve tek çıktı. Kullanıcı çıktıyı iki donanım cüzdanında da kontrol etmiş, sonra yayınlamış.
İkinci kullanıcı ise sahte işlemin ücretini artırdı ve para kaybetti. Kaybedilen tutar bildirimde yer almıyor. Raporlara göre saldırganın sahte işlemde kullandığı adres, gerçek alıcı adresinin son dört karakteriyle aynı olacak şekilde özel olarak üretilmişti. Sahte işlemin ücreti ise sıfırdı; geliştiricilerin tahminine göre amaç, kullanıcıyı ücreti artırmaya yöneltmekti.
Bu vakadan çıkan ders basit: Adresin yalnızca baştan ya da sondan birkaç karakterine bakmak, bu tür tuzaklara karşı yeterli değil. Son yıllarda sık görülen “adres zehirleme” dolandırıcılıklarında da aynı mantık işliyor; benzer görünen bir adres, aceleyle yapılan kontrolü kolayca atlatabiliyor.
Düzeltme, 23 Ekim tarihli bir kod değişikliğiyle geldi. Yeni sürümde Electrum, bekleme havuzundaki bir işlemi kendi geçmişine eklemeden önce, cüzdana ait girdilerin imzalarını doğruluyor. Sunucunun uydurduğu imzasız ya da hatalı imzalı bir işlem artık cüzdan geçmişine giremiyor; böylece kullanıcının farkında olmadan o işlemin ücretini artırması da engelleniyor.
Geliştiriciler düzeltmenin sınırlarını da saklamamış. Kontrol yalnızca cüzdanın kendi adreslerinden harcama yapan girdileri kapsıyor. Size gelen ve henüz onaylanmamış ödemeler hâlâ doğrulanmıyor; bunun için cüzdanın tam bir doğrulama motoruna sahip olması ve onaysız işlemlerin bütün zincirini geriye doğru kontrol etmesi gerekirdi. Bloğa girmiş işlemler ise zaten SPV ile denetleniyor. Pratikte bu, “bekleyen gelen ödeme” görmenin hâlâ kesin bir güvence olmadığı anlamına geliyor; işlemin onaylanmasını beklemek en sağlıklı yol.
4.8.3, güvenlik düzeltmesinin yanında başka değişiklikler de içeriyor. Sürüm notlarına göre mempool.space döviz kuru sağlayıcısı olarak eklendi, zaten tanığı (witness) olan bir girdinin yeniden imzalanması engellendi, arayüzde zengin metin gösterimi varsayılan olarak kapatıldı ve Android uygulamasındaki ara sıra görülen çökme sorunları giderildi.
| Tarih (TSİ) | Gelişme |
|---|---|
| 11 Ekim 2026 | İlk kullanıcı, yayınladığı işlemin cüzdan geçmişinde başka bir adrese gidiyor gibi göründüğünü geliştiricilere gizlice bildirdi. Ücret artırma yoluyla para kaybı ihtimali o aşamada fark edilmedi. |
| 18 Ekim 2026 | İkinci kullanıcı, sahte işlemin ücretini artırdıktan sonra para kaybettiğini özel olarak bildirdi. |
| 23 Ekim 2026 | Düzeltmeyi içeren 4.8.3 sürümü kaynak kodda etiketlendi. |
| 24 Ekim 2026, 13.06 | Electrum resmî X hesabından 4.8.3’ü duyurdu ve tüm kullanıcılara güncelleme çağrısı yaptı. |
| 24 Ekim 2026, 15.52 | GitHub güvenlik bildirimi GHSA-6jp4-8v48-cc5v “yüksek” önem derecesiyle yayımlandı. |
İlk adım, kullandığınız sürümü kontrol etmek. Masaüstü uygulamada “Yardım” menüsündeki “Hakkında” bölümü sürüm numarasını gösteriyor. 4.8.3’ten eskiyse yeni sürümü yalnızca electrum.org adresinden indirin. Electrum, sitesinde dosyaların birden fazla geliştirici tarafından imzalandığını ve GPG imzalarının nasıl doğrulanacağını anlatıyor; bu kontrolü atlamamak, sahte kurulum dosyalarına karşı en etkili önlem. Android kullanıcıları için Google Play ve F-Droid de resmî dağıtım kanalları arasında.
Güncellemeyi hemen yapamayanlar için geliştiricilerin önerisi net: Ücret artırma da dahil, imzaladığınız her işlemde çıktı adresini ve tutarı baştan sona kontrol edin. Donanım cüzdanı kullanıyorsanız, onay ekranında görünen adresi kendi kaydettiğiniz gerçek adresle karakter karakter karşılaştırmak bu tür bir saldırıyı son anda durdurabilir. Ücret artırırken cihazın gösterdiği alıcı adres, ilk gönderdiğiniz adresle aynı olmalı.
Bildirime göre kendi Electrum sunucusunu çalıştıran ya da güvendiği bir sunucuya bağlanan kullanıcılar bu açıktan etkilenmiyor. Kendi Bitcoin düğümünü işleten kullanıcılar için bu seçenek zaten mevcut; diğerleri içinse güncelleme yeterli koruma sağlıyor.
Electrum’un açık sunucu ağı, herkesin sunucu kurabilmesine dayanıyor. Bu esneklik, kötü niyetli kişilerin de sunucu açabilmesi demek. Aralık 2018’de saldırganlar çok sayıda sahte sunucu kurmuş, kullanıcı işlem gönderdiğinde ekrana “güncelleme gerekiyor” diyen bir hata mesajı basarak sahte bir Electrum sürümünü indirtmeye çalışmıştı. Dönemin haberlerine göre bu kampanyada yaklaşık 245 BTC çalındı. Geliştiriciler o dönem önce geçici bir önlem aldı, Ocak 2019’daki 3.3.3 sürümüyle de sunucudan gelen serbest hata mesajlarının gösterilmesini tamamen kaldırdı.
Yeni açık, yöntem olarak 2018’dekinden farklı. O zaman kullanıcı sahte bir yazılım kurmaya ikna ediliyordu; bu kez resmî yazılımın kendi işlevi, yani ücret artırma, tuzağa dönüştürülüyor. Ortak nokta ise aynı: Hafif istemcinin sunucuya duyduğu sınırlı güven, saldırganlar için hedef olmayı sürdürüyor. Electrum’un 2026’da yayımladığı önceki iki bildirim (Nisan’daki eklenti yetki atlatması ve Nostr Wallet Connect harcama limiti sorunu) orta ve düşük önem derecesindeydi. Bu bildirim yılın ilk “yüksek” dereceli kaydı.
Benzer güvenlik olaylarını merak edenler, yakın zamanda yazdığımız Fearless Wallet özel anahtar sızıntısı ve Ledger ile ilgili güvenlik haberimize de göz atabilir.
Açığın zarar verebilmesi için kullanıcının kötü niyetli bir sunucuya bağlanmış olması ve sahte işlemin ücretini artırması gerekiyordu. Bu iki koşul, etkilenen kişi sayısını sınırlıyor olabilir; geliştiriciler de şimdiye kadar yalnızca iki kullanıcı bildirimi aldıklarını yazıyor. Ancak saldırının “sahada” kullanıldığının doğrulanması ve geçmişte de sunucu ağına yönelik kampanyalar görülmesi, meseleyi küçümsemek için bir neden bırakmıyor.
Daha geniş açıdan bakıldığında olay, “kendi anahtarını kendin tut” yaklaşımının sorumluluk tarafını hatırlatıyor. Donanım cüzdanı ve çoklu imza gibi güçlü önlemler, imzalanan işlemin içeriği dikkatle okunmadığında tek başına yetmeyebiliyor. Bekleyen bir işlemi hızlandırmadan önce birkaç saniyelik adres kontrolü, bu vakada para kaybıyla kayıpsız atlatılan olay arasındaki farkı belirledi.
Yatırım tavsiyesi değildir. Bu yazı yalnızca bilgilendirme amaçlıdır; kripto paralar yüksek risk taşır, karar vermeden önce kendi araştırmanızı yapın.
📚 Yazarın Kitapları
Overledger, Quant Flow ve Fusion Rollup; QNT’nin lisans tokeni rolü, CoinGecko ile CoinMarketCap arasındaki 2,5…
StableSwap modeli, veCRV ile oy ve gelir payı, biten ekip kilitleri ve yılda ≈%16 azalan…
Pazar sabahının doğrulanmış kripto kulisleri: CAKE oylaması, Pump.fun ve Monad, Aero ödülleri, Franklin Templeton XRPL,…
Initia, 23 Ekim'deki saldırının MoveVM'deki bir script önbellekleme hatasından kaynaklandığını açıkladı. Köprülerden çıkarılan yaklaşık 2,7…
OpenAI, bir modelinin eğitim sırasında internete sızmasının ardından öncü modellerini internetsiz eğitmeye başladı ve testlerde…
BitDAO kökenli Mantle ağının iyimser rollup’tan ZK rollup’a geçişi, kurumsal RWA odağı, MNT’nin arz ve…