Keystone ilk olarak müşteri bilgilerinin sızdırıldığını açıklamıştı ancak şimdi saldırganların cihazların doğruluğunu doğrulamak için kullanılan anahtarı da çaldığını duyurdu.
Donanım cüzdan üreticisi Keystone, geçen hafta web sitesine giren saldırganın cihazlarının doğruluğunu doğrulamak için kullanılan anahtarı da çaldığını, böylece başlangıçta müşteri verisi sızıntısı olarak açıklanan olayın kapsamının genişlediğini söyledi.
Pazartesi günü yaptığı açıklamada Keystone, çalınan doğrulama anahtarının saldırganların sahte cüzdanların şirketin doğrulama kontrollerinden geçmesini sağlayacak şekilde üretmesine olanak tanıyabileceğini belirtti.
“Bu cihazlar daha sonra müşterilere satılabilir veya gönderilebilir, müşteriler bunları gerçek ürün sanarak kullanabilir ve bu durum varlık hırsızlığına yol açabilir” dedi Keystone.
Olay, bu yıl donanım cüzdan üreticilerini hedef alan saldırı serisine ekleniyor.
Bu ayın başlarında Ledger, Güneydoğu Asya ve Hong Kong’daki yeniden satıcılara, bölgede satılan cihazların kurtarma ifadelerini yakalayabilen yetkisiz implantlar içerdiği yönündeki raporlar üzerine satışları durdurma çağrısında bulundu.
Temmuz sonlarında Coldcard üreticisi Coinkite, saldırganların bir hatadan yararlanarak cihazlarının daha az entropiyle cüzdan tohumları üretmesine neden olması ve bunun sonucunda milyonlarca dolarlık kripto paranın çalınması üzerine kullanıcıları uyardı.
Keystone eski anahtarla üretilen 18 binden fazla cihazı imha edecek
En son güncellemesinde Keystone, saldırganın web sitesi tarafından kullanılan üçüncü taraf bir izleme aracındaki bir güvenlik açığından yararlanarak ayrıcalıklarını yükselttiğini söyledi.
“Bu, saldırganın bazı müşteri bilgilerini ve cihazlarımızın doğruluğunu doğrulamak için kullanılan bir anahtarı elde etmesini sağladı.”
Şirket, tehlikeye atılan anahtarı içeren envanterindeki 18.835 cihazı imha etmeyi planladığını ve bu anahtarı kullanan tüm cihazların üretim sevkiyatını askıya aldığını açıkladı.
Keystone, yeni bir doğrulama anahtarıyla cihaz üretmeye başlamasının ardından sevkiyatların yeniden başlayacağını söyledi.
Şirket, 20 Ekim’deki olaydan önce üretilen ve teslim edilen cihazların güvenli kabul edilmesi gerektiğini ve doğrulama kontrollerinin güvenilirliğini koruduğunu belirtti.
Ancak o tarihten sonra teslim edilen cihazların doğruluğuna garanti veremeyeceğini vurgulayan Keystone, etkilenen müşterilerin ek doğrulama için destek ekibiyle iletişime geçmesini istedi.
Keystone 25.964 alıcı kaydının sızdırıldığını doğruladı
Keystone ayrıca müşteri veri ihlalinin boyutunu da açıkladı ve web sitesindeki Shopify mağazasının 51.083 alıcı kaydı oluşturduğunu belirtti.
Bunlardan 25.119’u 180 günlük veri saklama politikası gereği silinmişti.
Ancak 2024’ten 2026’ya kadar olan dönemden kalan 25.964 kayıt saldırgan tarafından çalınmış olabilir. Keystone, eski kayıtların toplu veri silme işlemini yönetmek için kullanılan otomatik aracın arızalanması nedeniyle silinemediğini söyledi.
“Araç güvenilir çalışmadı. Bazı silme görevleri başarısız oldu ve bu başarısızlıkları zamanında tespit edip ele alamadık, bu da bazı kişisel bilgilerin izin verilen süreden daha uzun süre saklanmasına yol açtı” dedi şirket.
Ek olarak saldırganın, tamamlanmamış satın alma işlemlerinden gelen bilgiler içeren Shopify tarafından saklanan 12.873 müşteri ödeme kaydı bilgisine de erişmiş olabileceği belirtildi.
Keystone, 30 günden uzun süre saklanan ödeme kayıtlarındaki kişisel bilgilerin silinmesi talebiyle Shopify ile iletişime geçtiğini açıkladı.
Olay, Haziran 2020’de Ledger’da meydana gelen ve bir milyondan fazla e-posta adresinin yanı sıra müşteri adları, telefon numaraları ve fiziksel adreslerin açığa çıktığı veri ihlalini anımsatıyor. Sızdırılan bilgiler yıllarca etkilenen kullanıcıları hedef alan kimlik avı girişimlerini besledi.
Bu yıl diğer donanım cüzdan üreticileri de müşteri bilgileri ve üçüncü taraf hizmetlerle ilgili ihlaller yaşadı.
Ağustos ayında Trezor, kargo ortağında meydana gelen bir ihlalin müşteri bilgilerini açığa çıkardığını duyurdu ve etkilenen kullanıcı sayısı eylülde 80 binin üzerine çıktı.
SafePal da ağustos ayında sipariş takibi açığından yaklaşık 40 bin müşteriye ait verinin açığa çıktığını bildirdi, BitBox ise eylül ayında üçüncü taraf bir e-posta sağlayıcısının ele geçirilmesiyle yürütülen bir kimlik avı kampanyasına maruz kaldı.
