Keystone, kalıcı fabrika anahtarının saldırganın eline geçmesinin ardından sahte cihaz riskine karşı 18.835 cihaz imha edilecek ve sevkiyat askıya alındı. Şirket satılmamış donanım cüzdanlarını imha edecek ve sevkiyatı durdurdu.
20 Ekim’de tespit edilen ihlal, Keystone’un Shopify mağazasındaki 25.964 alıcı kaydı etkilendi. Kayıtlar 2024-2026 dönemine ait ve isim, iletişim bilgisi ile kargo adreslerini içeriyor.
Keystone, kurtarma ifadelerinin ve özel anahtarların etkilenmediğini, 20 Ekim’den önce teslim edilen cihazların güvende olduğunu söylüyor.
Kripto paranın gizli kodlarını çevrimdışı tutan Bitcoin donanım cüzdanı üreticisi Keystone, pazartesi günü yaptığı açıklamada donanımının gerçekliğini kanıtlayan anahtarın ele geçirilmesi üzerine 18.835 adet satılmamış cihazı imha edeceğini duyurdu. Şirket web sitesinden yapılacak tüm sevkiyatları da durdurdu.
Alıcılar açısından risk, saldırganın doğrulama kontrolünün dayandığı anahtarı ele geçirmesi nedeniyle Keystone’un kendi kontrolünden geçen, sıfır gibi görünen sahte bir cüzdanla karşılaşmak. Suçlu böyle bir cihazı gerçek tasarruflarını yükleyecek birine satabilir.
“Açığa çıkarsa saldırgan bunu kimlik doğrulama kontrollerini geçen sahte cihazlar üretmek için kullanabilir” dedi Keystone açıklamasında. “Bu cihazlar müşterilere satılabilir ya da gönderilebilir, kullanıcılar farkında olmadan gerçek ürün olarak kullanabilir ve bu durum varlık hırsızlığına yol açabilir.”
Keystone bu anahtara WebAuth anahtarı diyor. Her cihaz fabrikada yazılan ve şirket sitesindeki bir sayfanın donanımın gerçek olduğunu onaylamasını sağlayan gizli bir kod. Bu kod silinemiyor ya da yeniden yazılamıyor ve üzerinde bulunan 18.835 adet stok ürünü satılmak yerine imha ediliyor.
Keystone cumartesi günü üçüncü bir tarafın müşteri kargo bilgilerine ulaştığını bildirmişti. Pazartesi açıklamasında çalınan anahtar ve etkilenen 25.964 alıcı kaydı sayısı eklendi, ancak sorumlunun kim olduğu ya da saldırganın ne zaman içeri girdiği belirtilmedi.
Olay, çevrimiçi satışlarını yöneten e-ticaret platformu Shopify’daki kayıtları etkiledi. Keystone’a göre 51.083 alıcı kaydı söz konusu, ancak 25.119’unun kişisel bilgileri zaten silinmişti. Geriye 2024-2026’dan isim, iletişim, kargo adresi ve sipariş bilgilerini hâlâ içeren 25.964 kayıt kaldı. Amazon ve diğer kanallardan yapılan alışverişler etkilenmedi.
Bazı verilerin zaten silinmiş olması gerekiyordu. Keystone’un politikası alıcı kayıtlarını 180 gün sonra silmekti ve bu iş için geliştirdiği toplu silme aracı güvenilir çalışmıyordu.
“Bazı silme işlemleri başarısız oldu ve bu başarısızlıkları zamanında tespit edip çözemedik, bu da bazı kişisel bilgilerin izin verilen sürenin ötesinde saklanmasına yol açtı” diyen Keystone, “Müşteri verilerini zamanında silme taahhüdümüzü yerine getiremedik ve bu başarısızlığın sorumluluğunu kabul ediyoruz” ifadelerini kullandı.
Müşteri listeleri cüzdan üreticileri için tekrarlayan bir zayıf nokta. Ledger’ın 2020’de yaşadığı sızıntı sonunda yaklaşık 292.000 müşteriye ulaştı ve sonrasında kimlik avı e-postası alanlar ev baskınına hedef olma endişesi taşıdı.
Trezor ve SafePal da ağustos ayında müşteri verisi ihlali açıkladı; sırasıyla 13.689 ve yaklaşık 39.798 müşteri etkilendi.
İsim ve adresler, suçluların tehdit ya da şiddet kullanarak sahiplerini kripto paralarını teslim etmeye zorladığı tornavida saldırıları nedeniyle önemli. Chainalysis, 2026’nın ilk yarısında 46 şiddetli saldırı saydı ve 30 milyon dolardan fazla çalındı.
Üretici ayrıca “varlık taşıma”, “cüzdan doğrulama” ya da “soruşturma yardımı” teklif eden dolandırıcılar konusunda uyardı.
Şirket “Cihazınızı geri göndermenizi istemeyeceğiz” dedi. “Sizi ‘geri çağırma’ bahanesiyle arayıp cihazı kendilerine göndermenizi isteyen herkes dolandırıcı olarak görülmelidir.”
Keystone’un sitesindeki satışlar, yeni anahtarlı cihaz üretimi tamamlanana kadar ön siparişe geçecek ve şirket AB, İngiltere ve diğer yargı bölgelerindeki yetkililere bildirimde bulunduğunu söylüyor.
Keystone müşteri verisi saklama süresini 180 günden 90 güne indirdi ve 24 Ekim’de Shopify’dan tüm gecikmiş alıcı verilerini silmesini istedi; işlemin bekleme süresi 10 gün. Şirket silmenin 3 Kasım’da biteceğini bekliyor.
