Keystone: Cihaz Doğrulama Anahtarı Çalındıktan Sonra 18.835 Donanım Cüzdanını İmha Edecek.

Görsel Kaynağı: The Hacker News

Keystone, 26 Ekim’de yayımladığı açıklamada, web sitesine erişim sağlayan bir saldırganın donanım cüzdanlarının gerçekliğini kanıtlamak için kullandığı anahtarı ele geçirdiğini belirtti.

Bu anahtara sahip biri, sahiplerin Keystone’ın gerçekliğini doğrulamak için kullandığı çevrimiçi doğrulamayı geçen sahte cihazlar üretebilir. Sahte bir cizdana güvenen bir alıcı, kripto varlıklarının çalınmasına yol açabilir; ancak yaşanan olay, sahiplerin kurtarma ifadelerini veya cüzdan özel anahtarlarını içermemektedir.

Keystone, anahtarı taşıyan 18.835 satılmayan cihazı yok edecek ve tüm yeni cihazlara yeni bir anahtar verilecek.

Keystone, yetkisiz erişimi 20 Ekim’de tespit etti ve sahiplere yönelik tavsiyeleri, bir cihazın ne zaman ulaştığına bağlıyor. Bu tarihten sonra, eski anahtarla teslim edilen bir cihaz için şirket şunu söylüyor: “Böyle bir cihaz doğrulamayı geçse bile, sahte olma ihtimalini tamamen elemememiz mümkün değil.”

Bu tür bir cüzdana sahip sahipler, Keystone destek ekibiyle iletişime geçmeli ve şirket gerçekliğini onaylayana kadar cihazı kullanmamalıdır.

20 Ekim’den önce teslim edilen ve doğrulamayı geçen bir cihazın gerçek kabul edileceği ve normal şekilde kullanılabileceği Keystone’a göre, saldırganın ilk kez ne zaman giriş yaptığı şirket tarafından açıklanmadı.

Şirketin bilgisine göre saldırgan, Keystone’ın web sitesinde kullandığı üçüncü taraf bir veri izleme aracındaki bir açığı kullanarak ayrıcalıkları yükseltmişti. Bu da saldırgana müşteri verilerini ve anahtarı elde etme imkanı tanımıştı.

Keystone, 20 Ekim’de saldırganın erişimini engelledi ve o günden beri açığı kapattı. Anahtarın nerede saklandığına dair bir bilgi vermedi.

Cihaz Doğrulaması Nasıl Çalışıyor

Sahip, Keystone’ın doğrulama sayfasındaki QR kodunu cihazıyla tarar, ardından cihazın ekranda gösterdiği kodu sayfaya girer.

Keystone’ın açık kaynaklı yazılımında, QR kodu bu kodu şifreli biçimde taşır ve cihaz, saklı anahtarı kullanarak onu şifresini çözer. Böylece doğru kod, cihazın anahtara sahip olduğunu gösterir.

Anahtar yalnızca bu doğrulama için kullanılır. Kurtarma ifadesi oluşturmak, özel anahtar türetmek veya işlem imzalamak konusunda hiçbir rol oynamaz.

Bu anahtarın bir kopyasına sahip anyone doğru kodları üretebilir, böylece bu anahtarı taşıyan sahte bir cihaz kontrolü geçebilir. Böyle cihazlar satılabilir veya müşterilere gönderilebilir, bu da kripto paralarının çalınmasına yol açabilir; Keystone belirtiyor. Şirket herhangi bir sahte cihaz veya hırsızlık bildirmedi.

Anahtar, her cihazda üretim sırasında yazılır ve silinemez veya yeniden yazılamaz. Firmware bunu, yalnızca bir kez yazılabilecek bellekte tutar ve ikinci bir anahtarı kabul etmeyi reddeder. Dolayısıyla zaten üretilmiş cihazlar yeni anahtara geçirilemez.

Müşteri Kayıtları

Keystone ihlali ilk olarak 24 Ekim’de açıkladı, üçüncü bir tarafın müşterilerin gönderim bilgilerine eriştiğini belirtti.

Olay, şirketin 26 Ekim’de açıkladığı gibi, 2024 ile 2026 arasında Keystone web sitesinde yapılan satın alımlardan 25.964 alıcı kayıtlarını etkiledi. Kayıtlar isimler, iletişim detayları, gönderim adresleri ve sipariş detaylarını içeriyor. Keystone’in online mağazası Shopify üzerinde çalışıyor ve bu kayıtları saklıyor ve yönetiyordu.

Ödeme kartı ve banka bilgilerinin ve devlet kimlik numaralarının dahil olmadığınu Keystone söyledi. Amazon’dan ve Keystone’in diğer satış kanallarından yapılan satın alımların kayıtları etkilenmedi.

Keystone, önlem olarak yanıtsında 12.873 ödenmemiş ödeme kayıtlarını da dahil etti. Bunlar, hiç tamamlanmayan satın alımlardan isimler, iletişim detayları ve gönderim bilgilerini içeriyor.

Etkilenen verilerin bazıları zaten silinmiş olmalıydı. Keystone, her siparişten 180 gün sonra gönderim bilgisini silme sözü vermişti.

Keystone’in toplu kayıtları silmek için yaptığı otomatik araç güvenilir çalışmadı. Bazı silmeler başarısız oldu ve Keystone bu başarısızlıkları zamanında fark etmedi.

Keystone, müşterilerin kişisel verilerini sakladığı süreyi 180 günden 90 güne kısaltıyor, bu da derhal yürürlüğe giriyor. Shopify’dan 90 günden eski alıcıların kişisel verilerini silmesini istedi ve bunun 3 Kasım’da tamamlanmasını bekliyor. 27 Ekim itibarıyla, gizlilik politikası hâlâ 180 günü listeliyordu.

Keystone, etkilenmüş müşterilere e-posta gönderiyor ve insanların bilgilerinin etkilenip etkilenmediğini kontrol edebilecekleri bir sayfa planlıyor.

Keystone Sahipleri Ne Yapmalı

Keystone’ın rehberi şu durumları kapsıyor:

• 20 Ekim öncesi teslim alınan: Doğrulama başarılı olan bir cihaz normal şekilde kullanılabilir.
• 20 Ekim sonrası eski anahtarla alınan: Cihaz, Keystone desteği (support@keyst.one) cihazın özgün olduğunu onaylayana kadar kullanılmamalıdır. Keystone, bu sahiplere cihaz doğrulama sayfasındaki talimatları izlemelerini iletti; ancak 27 Ekim itibarıyla sayfada böyle bir talimat gösterilmiyordu. Keystone, bir cihazın hangi anahtarı taşıdığının nasıl anlaşılacağı ya da zaten böyle bir caza kripto göndermiş sahiplerin ne yapması gerektiği konusunda bir açıklama yapmadı.
• Keystone web sitesinden sipariş beklenen: Yeni anahtarlı cihazlar hazır olana kadar kargo işlemleri duraklatıldı. 27 Ekim itibarıyla mağazada Keystone 3 Pro, 4 ila 6 hafta içinde kargolanması öngörülen ön sipariş olarak listelenmişti.
• Amazon veya bir bayiden alınan: Aynı rehber geçerlidir, çünkü bu, bir cihazın nerede değil ne zaman alındığına dayanır. Keystone, Amazon resmi mağazaları ve yetkili bayiler üzerinden satış yapar. Keystone, eski anahtarlı cihazların orada hâlâ satıl_satmadığını açıklamadı.
• Zaten bir Keystone ile kripto saklayan: Sahipler, olay nedeniyle kriptolarını taşıma ihtiyacı yoktur, Keystone belirtti. 20 Ekim sonrası eski anahtarla cihaz alanlar, yine yukarıdaki adımları izlemelidir.
• Dolandırıcılık mesajları: İade, değiştirme cihazı, geri çağırma, cüzdan doğrulama veya kripto taşıma yardımı sunan her türlü çağrı, mesaj, e-posta veya mektubu bir dolandırıcılık olarak değerlendirin. Keystone, anyone’dan bir cihaz iadesini istemeyecektir. Sipariş vermediğiniz bir caza geri alma ifadenizi asla girmeyin ve bağlantıları takip etmek yerine tarayıcınıza keyst.one yazın.