Cake Wallet güvenli mi?
Cake Wallet, 2018'den beri faaliyette olan meşru, açık kaynaklı, kendi kendine saklamalı bir cüzdandır ve resmî bir kaynaktan kurulup doğru şekilde yedeklendiğinde çoğu kullanıcı için güvenlidir. En kötü olayı, 2020–2021 sürümlerinin oluşturduğu ve Cake'in Mayıs 2021'de açıkladığı zayıf Bitcoin seed'leriydi. Gerçek dünyadaki kayıpların çoğu uygulamanın kendisinden değil; sahte uygulamalardan, oltalamadan ve paylaşılan seed'lerden kaynaklanıyor.
Kendi kendine saklamalı bir cüzdan için "güvenli" kavramının iki boyutu vardır: yazılımın anahtarlarınızı koruyup korumadığı ve çevresindeki dolandırıcılıklardan kaçınıp kaçınamayacağınız. Bu sayfa, Ekim 2026 itibarıyla her ikisini de tarihleriyle ele alıyor.
Kısa cevap
- Meşru mu: evet. Cake Wallet'ı Cake Labs geliştiriyor; 2018'den beri App Store'da ve kodunu GitHub'da MIT lisansıyla yayımlıyor.
- Anahtarlarınız sizde kalır: zincir üstü coin'ler emanetçisizdir. Cake fonlarınızı donduramaz, işlemleri geri alamaz veya kurtaramaz.
- Kusursuz değil: bir ciddi açığı (2020–2021'de zayıf Bitcoin seed'leri), 2026'da bir orta düzey uyarısı ve bağımsız olarak yeniden üretilemeyen derlemeleri var.
- En büyük risk: kod değil, insanlar. Tartışıldığını gördüğümüz kayıpların çoğu sahte uygulamalar, sahte destek ve seed hırsızlığından kaynaklanıyor.
Güvenlik faktörleri
| Faktör | Durum (Ekim 2026) |
|---|---|
| Saklama | Zincir üstü coin'ler için emanetçisiz; anahtarlar cihazınızda oluşturulur ve saklanır |
| Kaynak kodu | GitHub'da herkese açık, MIT lisansı |
| Yeniden üretilebilir derlemeler | Hayır; Cake derlemelerinin henüz yeniden üretilebilir olmadığını söylüyor |
| İmzalı sürümler | Eylül 2026'da Cake, checksum dosyalarını ve sürüm etiketlerini imzalamak için bir sürüm anahtarı yayımladı; imzalı checksum dosyası olmayan sürümler SHA-256 hash'lerini notlarda listeler |
| Bağımsız denetim | Uygulamaya ait denetim bulunamadı |
| Açık bildirimi | Özel bir GitHub advisory kanalı ve şifreli bir e-posta adresi içeren güvenlik politikası |
| Hesap veya KYC | Cüzdan için yok |
| Veri toplama | App Store etiketi "Data Not Collected" (Veri Toplanmıyor) diyor (geliştiricinin kendi beyanı) |
| Uygulama koruması | PIN, biyometri, isteğe bağlı Cake 2FA, Duress PIN |
2020–2021 zayıf Bitcoin seed'leri
En önemli olay budur. 2020'de ve 2021 başında yayımlanan Cake Wallet sürümleri, Bitcoin cüzdanlarını güvensiz bir rastgele sayı üreteciyle oluşturdu. Etkilenen seed'ler 12 kelimelik Electrum tarzı ("Segwit") Bitcoin seed'leridir. Araştırmacılar, etkin rastgeleliğin o kadar düşük olduğunu tahmin ediyor ki anahtarlar bir saldırgan tarafından yeniden oluşturulabilir.
| Tarih | Olay |
|---|---|
| 10 Mayıs 2021 | 4.1.7 sürümü Bitcoin seed'lerinin üretilme biçimini değiştirir |
| 11 Mayıs 2021 | 4.2.0 sürümü kullanıcılardan cüzdanlarını yeniden oluşturmalarını isteyen bir uygulama içi uyarı bandı ekler; Mayıs 2021'de Cake sorunu kamuoyuna açıklar ve kullanıcılara yeni cüzdan oluşturup fonlarını taşımalarını söyler |
| Aralık 2023 | Cake, Milk Sad araştırmacılarının sağladığı 8.700'den fazla cüzdana ait verileri kullanarak, bilinen zayıf bir seed'i hâlâ kullananlar için uygulama içi uyarı ekler (kod 18 Aralık 2023'te birleştirildi, yaklaşık 4.12.0 sürümüyle yayımlandı) |
| Mayıs 2024 | Milk Sad ekibi teknik bir rapor yayımlar |
| 21 Mayıs 2024'ten itibaren | Araştırmacılar, zayıf cüzdanlardan çıkan büyük işlemlerin çoğunlukla kötü niyetli olduğunu değerlendirir |
Araştırmacılar 8.757 zayıf cüzdan ve Kasım 2020 ile Ekim 2024 arasında bunlardan geçen yaklaşık 548,9 BTC saydı; bunun tamamı çalınmadı ve toplam kayıp rakamı yayımlanmadı (Milk Sad araştırma güncellemesi, 2024). Bilindiği kadarıyla Monero, Litecoin ve diğer coin'ler etkilenmedi.
Ne yapmalı: 2020'de veya 2021 başında Cake Wallet'ta oluşturulmuş 12 kelimelik bir Bitcoin seed'iniz varsa ya da böyle bir seed'i başka bir cüzdana aktardıysanız, onu ele geçirilmiş kabul edin. Güncel bir sürümle yeni bir cüzdan oluşturun ve kalan fonları hemen taşıyın. Seed türü denetleyicimiz, seed türünü yalnızca kelime sayısından belirlemenize yardımcı olur. Kelimelerin kendisini asla bir web sitesine yazmayın.
Açık kaynağın neyi kanıtladığı, neyi kanıtlamadığı
Açık kaynak kodu, Cake Wallet'ın anahtarları nasıl oluşturduğunu, node'larla nasıl konuştuğunu ve işlemleri nasıl oluşturduğunu herkesin okumasını sağlar. Dışarıdaki araştırmacıların 2021 seed açığını ayrıntılı inceleyebilmesi bu sayede oldu ve koddaki değişikliklerin GitHub'da herkesin gözü önünde yapıldığı anlamına gelir.
Ancak mağazadaki uygulamanın o koddan derlendiğini kanıtlamaz. Cake, derlemelerinin henüz yeniden üretilebilir olmadığını söylüyor; yani kodu kendiniz derleyip karşılaştırmak için birebir aynı dosyayı elde edemezsiniz (Cake Wallet VERIFY.md, 2026). Kontrol edebileceğiniz şey, bir indirmenin özgün olduğudur: Eylül 2026'da Cake, yeni sürümlerin checksum dosyalarını ve etiketlerini imzalamak için bir sürüm anahtarı yayımladı, her sürüm SHA-256 hash'lerini listeler ve GitHub, Accrescent ve Cake'in F-Droid deposundan gelen Android APK'ları aynı imzalama sertifikasını paylaşır. İndirme rehberimiz her ikisinin nasıl kontrol edileceğini gösteriyor.
Ekim 2026 itibarıyla Cake Wallet uygulamasının yayımlanmış bağımsız bir güvenlik denetimini de bulamadık. Cake bir güvenlik açığı bildirim politikası yürütüyor: araştırmacılar sorunları GitHub üzerinden veya şifreli e-postayla gizlice bildirebilir ve Cake düzeltmeler yayımlandıktan sonra uyarıları yayınlar.
Diğer uyarılar
4 Eylül 2026'da Cake, orta düzey olarak derecelendirilen GHSA-695v-fhpj-fv8x numaralı GitHub uyarısını yayımladı. 6.1.2 ile 6.3.0 arasındaki sürümlerde, chain ID düşürüldüğü için Ethereum tarzı bir ödeme talebi yanlış EVM ağında hazırlanabiliyordu. Risk, anahtar hırsızlığı değil, başarısız veya yanlış yere giden bir ödemeydi ve 6.4.4'te düzeltildi. En son sürüme güncelleyin. Olayların tam listesi güvenlik geçmişi sayfamızda.
Lightning meselesi
6.0 sürümünde (Şubat 2026) eklenen Lightning, Breez SDK aracılığıyla Spark ağı üzerinde çalışır. Cake bunu, yönetilecek kanal olmayan, kendi kendine saklamalı bir çözüm olarak tanımlıyor. Belgeleri ayrıca Spark transferlerinin, tutarları ve adresleri görebilen küçük, izinli bir operatör grubu tarafından ortak imzalandığını söylüyor (Cake Wallet belgeleri, 2026).
6 Ekim 2026'da WalletScrutiny, kendi analizine göre uygulama bir Lightning bakiyesini operatörler olmadan zincir üstüne geri taşımanın hiçbir yolunu sunmadığı için Cake Wallet'ı "Custodial" (emanetçi) olarak yeniden sınıflandırdı. Bu yalnızca Lightning bakiyesine ilişkin bir değerlendirmedir; Monero'yu, zincir üstü Bitcoin'i veya diğer coin'leri ilgilendirmez. Temkinli bir yaklaşım, Lightning'de yalnızca harcama parası tutmaktır. Bkz. Cake Wallet'ta Lightning.
Gizlilik ve güvenlik
Cake Wallet varsayılan olarak Cake'in kendi node'larına ve hizmetlerine bağlanır. Bu kullanışlıdır, ancak bu hizmetler IP adresinizi ve hangi cüzdan verilerini istediğinizi görebilir. Daha fazla gizlilik için kendi node'unuzu veya Tor'u kullanın. Bir uyarı: Silent Payments için, kendi Bitcoin sunucunuzda gerekli dizin yoksa Cake'in belgelerine göre uygulama bir Cake sunucusuna geri döner. Ayrıntılar gizlilik ve Tor ile özel node'lar sayfalarında.
Kayıplar gerçekte nerede yaşanıyor
- Seed'inizi isteyen sahte uygulamalar ve klon web siteleri. Yalnızca indirme rehberimizdeki resmî kaynaklardan kurun ve bağlantıları indirme denetleyicisiyle kontrol edin.
- Sahte destek. Cake Wallet, desteğinin seed'inizi asla istemeyeceğini ve size ilk mesajı atıp destek teklif eden kişinin neredeyse her zaman dolandırıcı olduğunu söylüyor (Cake Wallet belgeleri, 2026).
- Ekran görüntülerinde, not uygulamalarında, bulut depolamada veya e-postada çevrim içi saklanan seed.
- Yanlış adres veya ağ. İşlemler geri alınamaz. Adres denetleyicisini kullanın ve önce küçük bir test gönderimi yapın.
- Çalınan kriptoyu geri getirmeyi vaat eden "kurtarma" hizmetleri. Bunlar dolandırıcılıktır.
Daha fazla uyarı işareti sahte Cake Wallet uygulamaları ve dolandırıcılıklar sayfasında.
Güvenlik kontrol listesi
- cakewallet.com adresini kendiniz yazarak ulaştığınız App Store, Google Play, Accrescent, Cake'in F-Droid deposu veya GitHub'dan kurun.
- Uygulamayı güncel tutun.
- Her seed'i kâğıda yazın ve çevrim dışı saklayın. 25 kelimelik bir Monero seed'i için restore height değerini de yazın. Bkz. seed yedeği.
- Güçlü bir PIN belirleyin; Cake 2FA'yı değerlendirin. Cake, 2FA'nın telefonunuzu ele geçiren birine karşı yardımcı olduğunu, seed'inizi ele geçiren birine karşı olmadığını belirtiyor.
- Büyük tutarlar için bir donanım cüzdanı veya Cupcake kullanın. Bkz. Ledger ve Trezor.
- 2020–2021'den kalma, 12 kelimelik Electrum seed'li eski Cake Bitcoin cüzdanlarını değiştirin.
- Seed'inizi asla paylaşmayın ve sizinle ilk iletişime geçen herkesi görmezden gelin.
Cüzdanınızın ele geçirildiğini düşünüyorsanız
Cake'in tavsiyesi şu: etkilenen her coin için hemen yeni bir cüzdan oluşturup kalan fonları oraya taşıyın, eski cüzdanı kullanmayı bırakın, her şeyin kaydını tutun ve hırsızlığı polise ve Cake desteğine bildirin (Cake Wallet belgeleri, 2026). Monero cüzdanlarının bir saldırgan tarafından senkronize edilmesi daha uzun sürebilir; bu size harekete geçmek için kısa bir zaman aralığı tanıyabilir. "Kurtarma" yardımcılarına asla daha fazla para göndermeyin.
Sıkça sorulan sorular
Cake Wallet güvenilir mi?
Evet. Cake Labs tarafından geliştirilen, 2018'den beri App Store'da bulunan gerçek, açık kaynaklı bir cüzdandır. Sahte kopyaları mevcut, bu yüzden yalnızca resmî kaynaklardan kurun.
Cake Wallet hacklendi mi?
Cake'in kendi sistemlerinde kullanıcı fonlarını açığa çıkaran bir ihlal bulamadık. Ciddi sorun, 2020–2021 sürümlerinin ürettiği zayıf Bitcoin seed'leriydi; araştırmacılar, kullanıcıların fonlarını hiç taşımadığı bu cüzdanlardan çıkan büyük işlemlerin 21 Mayıs 2024'ten beri çoğunlukla kötü niyetli olduğunu değerlendiriyor.
Cake Wallet fonlarımı görebilir veya dondurabilir mi?
Zincir üstü coin'ler için hayır. Cake işlemleri donduramaz, geri alamaz veya kurtaramaz. Tor veya kendi node'unuzu kullanmadığınız sürece Cake'in sunucuları IP adresinizi görebilir.
Cake Wallet büyük tutarlar için güvenli mi?
Büyük tutarlar için onu bir Ledger veya Trezor ile eşleştirin ya da çevrim dışı imzalayıcı olarak Cupcake'i kullanın ve seed yedeğini çevrim dışı tutun.
Cake Wallet desteği size hiç ilk mesajı atar mı?
Cake Wallet, size ilk mesajı atıp destek teklif ettiğini iddia eden kişinin neredeyse her zaman dolandırıcı olduğunu ve desteğinin seed'inizi asla istemeyeceğini söylüyor.
Monero fonlarım 2021 seed açığından etkilendi mi?
Hayır. Açık, Monero seed'lerini değil, 2020'de ve 2021 başında oluşturulan 12 kelimelik Electrum tarzı Bitcoin seed'lerini etkiledi.