Keystone, 26 Ekim'de yaptığı açıklamada, şirket sitesine erişim sağlayan bir saldırganın donanım cüzdanlarının gerçek olduğunu kanıtlamak için kullandığı anahtarı ele geçirdiğini bildirdi.
O anahtara sahip biri, sahiplerin Keystone cihazını doğrulamak için kullandığı çevrimiçi kontrolü geçen sahte cihazlar üretebilir. Sahte bir cihaza güvenen bir alıcının kripto parası çalınabilir, ancak olay sahiplerin kurtarma ifadeleri ya da cüzdan özel anahtarlarını içermedi.
Keystone, anahtarı taşıyan 18.835 adet satılmamış cihazı imha edecek ve tüm yeni cihazlara yeni bir anahtar verilecek.
Keystone, yetkisiz erişimi 20 Ekim'de tespit etti ve sahiplere vereceği tavsiye cihazın ne zaman ulaştığına bağlı. 20 Ekim'den sonra gelen ve eski anahtarı taşıyan bir cihaz için şirket şöyle dedi: 'Böyle bir cihaz kimlik doğrulamasını geçse bile, sahte olma ihtimalini tamamen dışlayamayız.'
Böyle bir cihaza sahip olanlar Keystone destek ile iletişime geçmeli ve şirket cihazın gerçek olduğunu onaylayana kadar kullanmamalı.
20 Ekim'den önce teslim edilen ve kontrolü geçen bir cihaz gerçek kabul edilebilir ve normal şekilde kullanılabilir. Şirket saldırganın ilk ne zaman içeri girdiğini söylemedi.
Saldırgan, Keystone sitesinde kullanılan üçüncü taraf bir veri izleme aracındaki güvenlik açığından yararlanarak ayrıcalıklarını yükseltti. Bu sayede saldırgan müşteri verilerine ve anahtara ulaştı.
Keystone, saldırganın erişimini 20 Ekim'de engelledi ve güvenlik açığını giderdi. Anahtarın nerede saklandığı konusunda bilgi vermedi.
Cihaz Kontrolü Nasıl Çalışır
Sahibi, Keystone'un doğrulama sayfasındaki QR kodu cihazla tarar, ardından cihazın ekranda gösterdiği kodu sayfaya girer.
Keystone'un açık kaynaklı ürün yazılımında QR kodu, bu kodu şifrelenmiş biçimde taşır ve cihaz kodu kendi sakladığı anahtarla çözer. Doğru kod, cihazın anahtara sahip olduğunu gösterir.
Anahtar yalnızca bu kontrol için kullanılır. Kurtarma ifadelerinin oluşturulması, özel anahtarların türetilmesi ya da işlemlerin imzalanması ile ilgisi yok.
Anahtarın bir kopyasına sahip olan herkes doğru kodları üretebilir, dolayısıyla anahtarı taşıyan sahte bir cihaz kontrolü geçebilir. Bu tür cihazlar satılabilir ya da müşterilere gönderilebilir ve kripto paralarının çalınmasına yol açabilir. Keystone, sahte cihaz ya da hırsızlık bildirmedi.
Anahtar her cihaz üretim sırasında yazılır ve silinemez ya da yeniden yazılamaz. Ürün yazılımı anahtarı yalnızca bir kez yazılabilen bellekte tutar ve ikinci bir anahtarı kabul etmez. Bu yüzden üretilmiş cihazlar yeni anahtara geçirilemez.
Müşteri Kayıtları
Keystone, ihlali ilk olarak 24 Ekim'de duyurdu ve üçüncü bir tarafın müşterilerin kargo bilgilerine ulaştığını söyledi.
Olay, 26 Ekim'de şirketin açıklamasına göre 2024 ile 2026 arasında Keystone sitesinde alışveriş yapan 25.964 alıcı kaydını etkiledi. Kayıtlarda isimler, iletişim detayları, kargo adresleri ve sipariş detayları bulunuyor. Keystone'un çevrimiçi mağazası Shopify üzerinde çalışıyor ve kayıtları Shopify saklıyor ve yönetiyor.
Ödeme kartı ve banka detayları ile devlet kimlik numaraları etkilenmedi. Amazon ve Keystone'un diğer satış kanallarındaki satın alma kayıtları etkilenmedi.
Keystone, önlem olarak 12.873 adet ödenmemiş ödeme kaydı da yanıtına dahil etti. Bu kayıtlar tamamlanmamış alışverişlerden isim, iletişim detayları ve kargo bilgilerini içeriyor.
Etkilenen verilerin bir kısmı zaten silinmiş olmalı. Keystone, her siparişten sonra kargo bilgilerini 180 gün sonra sileceğini vaat etmişti.
Keystone'un toplu olarak kayıtları silmek için geliştirdiği otomatik araç güvenilir çalışmadı. Bazı silmeler başarısız oldu ve Keystone başarısızlıkları zamanında fark etmedi.
Keystone, müşterilerin kişisel verilerini saklama süresini 180 günden derhal geçerli olmak üzere 90 güne indirdi. Shopify'dan 90 günden eski alıcı kişisel verilerini silmesini istedi ve bunun 3 Kasım'da yapılmasını bekliyor. 27 Ekim itibarıyla gizlilik politikasında hâlâ 180 gün yazıyordu.
Keystone etkilenen müşterilere e-posta gönderiyor ve insanların bilgilerinin etkilenip etkilenmediğini kontrol edebilecekleri bir sayfa planlıyor.
Keystone Sahiplerinin Yapması Gerekenler
Keystone'un rehberliği şu durumları kapsıyor:
20 Ekim'den önce teslim edilen: Kontrolü geçen bir cihaz normal şekilde kullanılabilir.
20 Ekim'den sonra gelen ve eski anahtarı taşıyan: Cihazı Keystone destek, [email protected], gerçek olduğunu onaylayana kadar kullanmayın. Keystone bu sahiplere cihaz doğrulama sayfasındaki talimatları izlemesini söyledi, ancak 27 Ekim itibarıyla sayfada böyle bir talimat yoktu. Keystone cihazın hangi anahtarı taşıdığının nasıl anlaşılacağını ya da daha önce kripto para göndermiş olanların ne yapması gerektiğini söylemedi.
Keystone sitesinden sipariş bekleyen: Yeni anahtarlı cihazlar hazır olana kadar kargo askıda. 27 Ekim itibarıyla mağazada Keystone 3 Pro ön siparişte ve 4 ila 6 hafta içinde gönderilmesi bekleniyor.
Amazon ya da bir yeniden satıcıdan alınan: Rehberlik cihazın ne zaman geldiğine bağlı, nereden alındığına değil. Keystone Amazon resmi mağazaları ve yetkili yeniden satıcılar üzerinden satış yapıyor. Eski anahtarı taşıyan cihazların orada hâlâ satılıp satılmadığı belirtilmedi.
Zaten Keystone ile kripto para tutan: Keystone'a göre olay nedeniyle kripto parayı taşıma zorunluluğu yok. 20 Ekim'den sonra gelen ve eski anahtarı taşıyan bir cihaza sahip olanlar yine de yukarıdaki adımları izlemeli.
Dolandırıcılık mesajları: İade, değiştirme cihazı, geri çağırma, cüzdan doğrulama ya da kripto para taşıma konusunda yardım teklif eden her arama, mesaj, e-posta ya da mektubu dolandırıcılık olarak değerlendirin. Keystone kimseye cihazı geri göndermesini istemez. Sipariş vermediğiniz bir cihaza kurtarma ifadesi girmeyin ve bağlantıları takip etmek yerine tarayıcınıza keyst.one yazın.
