Keystone veri ihlali derinleşiyor: Saldırganlar cüzdanların orijinalliğini doğrulamak için kullanılan anahtarı çaldı

Donanım cüzdan üreticisi Keystone, geçen hafta web sitesine yapılan saldırının aynı zamanda cihazlarının orijinalliğini doğrulamak için kullanılan bir anahtarı da ele geçirdiğini açıkladı; bu durum başlangıçta müşteri verilerinin sızdırılması olarak duyurulan olayın kapsamını genişletti.

Keystone, Pazartesi günü yaptığı açıklamada, çalınan kimlik doğrulama anahtarının sahte cüzdanların orijinallik kontrollerini geçmesini sağlayabileceğini belirtti.

“Bu cihazlar ardından müşterilere satılabilecek veya gönderilebilecek; müşteriler bunları bilmeden orijinal ürün gibi kullanarak varlıklarının çalınmasına neden olabilir,” dedi Keystone.

Bu olay, bu yıl donanım cüzdan üreticilerini hedef alan bir dizi saldırıyı daha da artırıyor.

Daha önce bu ay, Ledger, Güneydoğu Asya ve Hong Kong’taki bayilerden, bölgede satılan cihazlarda kurtarma ifadelerini yakalayabilen yetkisiz implantlar tespit edildiği için satışları askıya almalarını istedi.

Geçen Temmuz sonunda, Coldcard üreticisi Coinkite, cihazlarının kasıtlı olmayan düşük entropili cüzdan tohumları üretmesine neden olan bir hatayı saldırganların istismar etmesi üzerine kullanıcılarına uyarıda bulundu; bu durum milyonlarca dolarlık kripto para kaybına yol açtı.

Keystone, eski anahtarla üretilen 18.000’den fazla cihazı imha edecek

En son güncellemesinde Keystone, saldırganın web sitesinde kullanılan üçüncü taraf izleme aracıdaki bir güvenlik açığını yükseltme amacıyla istismar ettiğini açıkladı.

“Bu durum saldırganın bazı müşteri bilgilerini ve cihazlarımızın orijinalliğini doğrulamak için kullanılan bir anahtarı ele geçirmesini sağladı.”

Keystone, ihlal edilen anahtar içeren envanterindeki 18.835 cihazı imha etmeyi planladığını ve bu anahtarı kullanan tüm cihazların üretim sevkiyatlarını askıya aldığını açıkladı.

Şirket, yeni kimlik doğrulama anahtarıyla üretim başladığında sevkiyatların yeniden başlayacağını belirtti.

Keystone, 20 Ekim olayından önce üretilip teslim edilen cihazların güvenli olduğunu ve orijinallik kontrollerinin hâlâ güvenilir olduğunu söyledi.

Ancak bu tarihten sonra teslim edilen cihazların orijinalliğini garanti edemeyeceğini belirterek etkilenen müşterilerin ek doğrulama için destek ekibiyle iletişime geçmelerini önerdi.

Keystone, 25.964 alıcı kaydının sızdırıldığını doğruladı

Keystone ayrıca müşteri verisi ihlalinin kapsamını açıkladı ve web sitesindeki Shopify mağazasının 51.083 alıcı kaydı oluşturduğunu belirtti.

Bu kayıtların 25.119’u, 180 günlük veri saklama politikasına göre silinmişti.

Ancak 2024-2026 tarihli kalan 25.964 kayıt, saldırgan tarafından çalınmış olabilir. Keystone, daha eski kayıtların otomatikleştirilmiş veri toplu silme aracı başarısızlığı nedeniyle silinmediğini açıkladı.

“Araç güvenilir şekilde çalışmamıştır. Bazı silme görevleri başarısız olmuş ve bu hataları zamanında tespit edip giderememişiz; bu da belirli kişisel bilgilerin izin verilen süreyi aşarak saklanmasına yol açmıştır,” dedi Keystone.

Ayrıca saldırgan, Shopify tarafından tutulan 12.873 müşteri ödeme kaydına da erişim sağlamış olabilir — tamamlanmamış satın alma işlemlerinden alınan bilgilerdir.

Keystone, 30 günden fazla süreyle saklanan ödeme kayıtlarındaki kişisel bilgilerin silinmesini talep etmek için Shopify ile iletişime geçtiğini açıkladı.

Bu olay, 2020 Haziran ayında Ledger’da gerçekleşen ve 1 milyondan fazla e-posta adresiyle birlikte müşteri adlarını, telefon numaralarını ve fiziksel adreslerini açıkta bırakan veri ihlalini hatırlatıyor. Sızdırılan bilgiler, etkilenen kullanıcıları hedef alan yıllar süren kimlik avı girişimlerine neden oldu.

Diğer donanım cüzdan üreticileri de bu yıl müşterilere ait bilgilerle ilgili ve üçüncü taraf hizmetlerle bağlantılı ihlaller yaşadı.

Ağustos ayında Trezor, müşteri bilgilerini ortaya çıkaran bir taşıma ortağı ihlali duyurdu; etkilenen kullanıcı sayısı Eylül ayında 80.000’i aştı.

SafePal Ağustos ayında neredeyse 40.000 müşteriye ait verileri ortaya çıkaran bir sipariş takip zafiyeti bildirdi; BitBox ise Eylül ayında bir üçüncü taraf e-posta sağlayıcısı ele geçirildiğinde hedef alınan bir kimlik avı kampanyasına maruz kaldı.

Dergi: Bitcoin’inizi saklamak için Ledger’a alternatif 5 çözüm