نشست امنیتی Keystone عمیق‌تر می‌شود: هکرها کلید تأیید اصالت کیف‌پول‌ها را دزدیده‌اند
Tapbit Wireسازنده کیف‌پول سخت‌افزاری Keystone اعلام کرد که مهاجمی که هفته گذشته وب‌سایت آن را نفوذ کرده بود، کلید تأیید اصالت دستگاه‌هایش را نیز دزدیده است و این امر دامنه حادثه‌ای را که در ابتدا به‌عنوان نشت داده‌های مشتریان اعلام شده بود، گسترش می‌دهد.
در بیانیه‌ای روز دوشنبه، Keystone اعلام کرد که کلید احراز هویت دزدیده‌شده ممکن است به مهاجمان اجازه دهد کیف‌پول‌های جعلی تولید کنند که در بررسی‌های اصالت آن شرکت موفق به عبور می‌شوند.
«این دستگاه‌ها ممکن است سپس به مشتریان فروخته یا ارسال شوند که ممکن است بدون آگاهی از جعلی بودن آن‌ها از آن‌ها استفاده کنند و منجر به سرقت دارایی‌ها شوند»، Keystone اعلام کرد.
این حادثه به سلسله حملات اخیر علیه سازندگان کیف‌پول‌های سخت‌افزاری امسال افزوده می‌شود.
اوایل این ماه، لِجر از فروشندگان خود در جنوب شرق آسیا و هنگ کنگ خواست تا فروش دستگاه‌ها را پس از گزارش‌هایی مبنی بر وجود ایمپلنت‌های غیرمجاز در دستگاه‌های فروخته‌شده در این منطقه — که قادر به ثبت عبارات بازیابی بودند — موقتاً متوقف کنند.
در اواخر جولای، سازنده کولدکارد، کوینکایت، پس از اینکه مهاجمان از یک باگ سوءاستفاده کردند که باعث تولید بذر کیف‌پول با آنتروپی کمتر از حد موردانتظار شده و منجر به سرقت میلیون‌ها دلار ارز دیجیتال گردید، هشداری به کاربران صادر کرد.
Keystone بیش از ۱۸٬۰۰۰ دستگاه با کلید قدیمی را نابود می‌کند
در جدیدترین به‌روزرسانی خود، Keystone اعلام کرد که مهاجم از آسیب‌پذیری موجود در یک ابزار نظارتی شخص ثالث استفاده کرده تا دسترسی خود را ارتقا دهد.
«این امکان را به مهاجم داد تا برخی اطلاعات مشتریان و کلیدی برای تأیید اصالت دستگاه‌های ما را به دست آورد.»
Keystone اعلام کرد که قصد دارد ۱۸٬۸۳۵ دستگاه موجود در انبار خود که حاوی کلید نفوذشده هستند را نابود کند و ارسال تمام دستگاه‌هایی که از این کلید استفاده می‌کنند را موقتاً متوقف کرده است.
شرکت اعلام کرد که ارسال‌ها پس از آغاز تولید دستگاه‌هایی با کلید احراز هویت جدید از سر گرفته خواهد شد.
Keystone اعلام کرد که دستگاه‌هایی که قبل از تاریخ ۲۰ اکتبر ساخته و تحویل داده شده‌اند، امن محسوب می‌شوند و بررسی‌های اصالت آن‌ها همچنان قابل اعتماد هستند.
با این حال، امکان تضمین اصالت دستگاه‌های تحویل‌داده‌شده پس از آن تاریخ وجود ندارد و مشتریان تحت تأثیر را تشویق می‌کند تا برای احراز اضافی با تیم پشتیبانی تماس بگیرند.
Keystone تأیید می‌کند که ۲۵٬۹۶۴ رکورد خریدار نشت کرده است
Keystone همچنین میزان نشت داده‌های مشتری را افشا کرد و اعلام کرد که فروشگاه شاپیفای آن روی وب‌سایت، ۵۱٬۰۸۳ رکورد خریدار ایجاد کرده است.
از این تعداد، ۲۵٬۱۱۹ رکورد طبق سیاست نگهداری داده‌های ۱۸۰ روزه آن حذف شده بود.
با این حال، ۲۵٬۹۶۴ رکورد باقی‌مانده از سال ۲۰۲۴ تا ۲۰۲۶ ممکن است توسط مهاجم دزدیده شده باشند. کیستون اعلام کرد که رکوردهای قدیمی‌تر به دلیل خرابی ابزار خودکار خود برای پاک‌سازی دسته‌جمعی داده‌ها حذف نشده‌اند.
«این ابزار به‌صورت قابل اعتماد عمل نکرد. برخی از وظایف پاک‌سازی شکست خورد و ما این شکست‌ها را به‌موقع تشخیص و رفع نکردیم؛ در نتیجه اطلاعات شخصی خاصی فراتر از دوره مجاز نگهداری شدند»، کیستون اعلام کرد.
علاوه بر این، مهاجم ممکن است به ۱۲٬۸۷۳ رکورد صورتحساب مشتریان نگهداری‌شده توسط شاپیفای نیز دسترسی داشته باشد — اطلاعاتی از خریدهایی که تکمیل نشده‌اند.
کیستون اعلام کرد که با شاپیفای تماس گرفته و درخواست حذف اطلاعات شخصی موجود در رکوردهای صورتحساب که بیش از ۳۰ روز نگهداری شده‌اند را داده است.
این حادثه شبیه به نشت داده‌های ژوئن ۲۰۲۰ در لِجر است که بیش از یک میلیون آدرس ایمیل، همراه با نام مشتریان، شماره تلفن‌ها و آدرس‌های فیزیکی را آشکار کرد. اطلاعات نشت‌یافته سال‌ها ادامه‌دار تلاش‌های فیشینگ علیه کاربران تحت تأثیر قرار گرفته را تقویت کرد.
سایر تولیدکنندگان کیف‌پول‌های سخت‌افزاری نیز امسال دچار نشت‌هایی شامل اطلاعات مشتریان و خدمات شخص ثالث شده‌اند.
در آگوست، ترزور نشتی در شریک حمل‌ونقل خود را افشا کرد که منجر به آشکار شدن اطلاعات مشتریان شد و تعداد کاربران تحت تأثیر در سپتامبر به بیش از ۸۰٬۰۰۰ نفر افزایش یافت.
سیف‌پَل نیز در آگوست آسیب‌پذیری ردیابی سفارش را گزارش کرد که داده‌های تقریباً ۴۰٬۰۰۰ مشتری را آشکار کرد، در حالی که بیت‌باکس در یک کمپین فیشینگ سپتامبری هدف قرار گرفت که شامل یک ارائه‌دهنده ایمیل شخص ثالث مورد حمله بود.
مجله: ۵ جایگزین لِجر برای ذخیره بیت‌کوین شما
