Keystone, WebAuth Anahtarı Çalınması Sonrası 18.835 Donanım Cüzdanını İmha Edecek

Çalılan WebAuth Anahtarı Envanter İmhasını Zorunlu Kıldı

Keystone, saldırganın şirketin cihazları orijinal olarak sertifikalandırmak için kullandığı kriptografik anahtarı çalmasının ardından, sevk edilmemiş 18.835 donanım cüzdanını imha edecek. Üretici, 26 Ekim Pazartesi günü yayımladığı olay sonrası inceleme raporunda, çalınan WebAuth anahtarının üretim sırasında cihazlara kalıcı olarak gömüldüğünü ve sonradan yeniden yazılamayacağını ya da silinemeyeceğini açıkladı. Bu nedenle o anahtarla üretilmiş bir cihaz sahte olsa bile Keystone'un orijinallik testini geçebiliyor. Testin amacı zaten sahte cihazların alıcılara ulaşmasını engellemek; üretim seviyesindeki bir anahtarın kaybı tam da bu yüzden bu kadar ağır bir sonuç doğuruyor. Saldırgan, satıcının tüm kontrollerini geçen bir sahte cihaz aracılığıyla fiilen kendi kontrolündeki bir kripto cüzdanına fon yükleyebilecek, halihazırda üretilmiş cihazlar için anahtarı iptal etmek ise imkânsız. Şirketin soruşturması, izinsiz girişin resmi web sitesinde saldırgana yetki yükseltme imkânı tanıyan üçüncü taraf bir veri izleme aracındaki güvenlik açığından kaynaklandığını ortaya koydu. Şüpheli aktivite 20 Ekim Salı günü fark edildi; etkilenen web sitesi işlevleri devre dışı bırakıldı ve adli inceleme başlatıldı. Keystone, 23 Ekim Cuma günü bir üçüncü tarafın müşterilere ait kargo bilgilerini ele geçirdiğini doğruladı. Açık web siparişlerinin sevkiyatı durduruldu, mağaza ön satış modeline geçti ve şirket, yeni bir anahtarla yapılacak yedek üretimin ne zaman tamamlanacağı konusunda henüz bir tarih vermedi. Şirket, yayımladığı güncellemde kurtarma ifadelerinin, özel anahtarların, cüzdan kimlik bilgilerinin ve ödeme bilgilerinin ele geçirilmediğini belirtti. 20 Ekim'den önce teslim edilen cihazlar, orijinallik doğrulamasından geçmeleri koşuluyla kullanılmaya devam edebilecek; bu tarihten sonra teslim alınan cihazlar ise müşteri desteği üzerinden ek kontrol gerektiriyor. Keystone, Avrupa Birliği, Birleşik Krallık ve diğer yargı bölgelerinde düzenleyici raporlamalar yaptı, bir veri sızıntısı sorgulama aracı hazırlıyor ve müşterilerinden yalnızca bu olay nedeniyle fonlarını taşımasını istemedi. Alıcılara yaptığı uyarı da net: cihazları geri göndermelerini isteyen sahte geri çağırma mesajlarını yok sayın.

@KeystoneWallet · X gönderisi

Yayımladığı güncellemde.

X'te görüntüle

Silme Tarihi Geçmiş 25.964 Alıcı Kaydı Ortaya Çıktı

Aynı soruşturma, Keystone'un müşteri verisi yönetimindeki bir hatayı da gün yüzüne çıkardı. İncelenen 51.083 Shopify alıcı kaydının 25.964'ü, isimler, kargo adresleri, iletişim bilgileri ve 2024'ten 2026'ya uzanan satın alma geçmişini içeren kişisel verileri hâlâ barındırıyordu. Şirket, otomatik silme sisteminin arızalandığını kabul ederek, bilgilerin müşterilere söz verilen 180 günlük saklama süresinin çok ötesinde depoda kaldığını doğruladı. Şirketin açıklaması şu şekilde: “Müşteri verilerini zamanında silme taahhüdümüzü yerine getiremedik ve bunun sorumluluğunu üstleniyoruz.” Bir diğer 25.000 kayıt, saklama politikası uyarınca zaten kalıcı olarak silinmiş durumdaydı; ancak yaşanan aksaklık, silme araçlarının güvenilir çalışmadığını gösterdi. Soruşturmacılar ayrıca, potansiyel olarak hassas bilgiler taşıyan 12.873 ödenmemiş ödeme kaydı tespit etti ve bu kayıtlar silme kuyruğuna eklendi. Bundan sonra saklama süresi 90 günle sınırlanacak ve 24 Ekim'de iletilen aşırı gecikmiş silme taleplerinin 3 Kasım Salı gününe kadar tamamlanması bekleniyor. Sızıntı, bir müşterinin Keystone sipariş bilgilerinin kullanıldığı bir “sosyal mühendislik” telefon aramasını anlatmasının ardından ortaya çıktı; üretici, kargo verisi hırsızlığını 24 Ekim Cumartesi günü yayımladığı bir özür mesajıyla doğruladı ve bu bildirimin ardından yaklaşık 18 saat geçmişti. Zorlanan tek üretici Keystone değil. Foundation Passport kullanıcılarına Pazartesi sabahının erken saatlerinde oltalama e-postaları ulaşmaya başladı ve bu e-postalar, Cloudflare üzerindeki bir ya da daha fazla API anahtarının ele geçirilmesi sonucu Foundation'ın kendi alan adından gönderilmişti. Şirket, sistemleri genelinde 20.000'den fazla oltalama girişimi sayıyor ve kaç kullanıcının kişisel verisinin ifşa olduğunun tespitine hâlâ devam ediyor. E-postalar bir ekran modülü etrafında korku taktikleri kullanıyor ve bu yaklaşım, son dönemde ele geçirilen Ledger cihazlarında görülen oyunu anımsatıyor. Foundation, ifşayı eski sipariş tablolarının hiçbir zaman temizlenmediği hatalı veritabanı göçlerine bağlıyor, daha yeni verilen Shopify siparişlerinin de etkilenebileceğini belirtiyor ve müşterilere daha önce verilerinin 60 gün içinde otomatik olarak silineceği güvencesini vermişti.

@KeystoneWallet · X gönderisi

Bir özür mesajıyla.

X'te görüntüle

İki olayın ortak noktası şu: hiçbirinde cihazların kendisi kırılmadı, her iki başarısızlık da işletimsel katmanda, yani web altyapısında, veri saklama hijyeninde ve veritabanı göçlerinde yaşandı. Bu, pratikteki riski phishing tarafına kaydırıyor. Sızan isimler, adresler ve sipariş geçmişleri, sahte telefon aramalarını ve e-postaları inandırıcı kılıyor; son dönemdeki Ledger casus yazılımı olayı ile Coldcard'ın tohum üretim hatası benzer sosyal mühendislik oyunlarıyla toplamda 200 milyon doların üzerinde kayba yol açtı. Keystone'un kurtarma ifadelerine dokunulmadığını doğrulaması buradaki en rahatlatıcı bilgi, çünkü sızan bir kurtarma ifadesi bir HD cüzdanın türettiği tüm adresleri tehlikeye atar. Soğuk cüzdan kullanan herkes için doğrulamayı yalnızca resmi kanallardan yapmak gerekiyor ve herhangi bir geri çağırma ya da iade mesajı, teyit edilene kadar şüpheli sayılmalı. Olay aynı zamanda şunu bir kez daha gösteriyor: gerçek hasarın önemli bölümü, arızalı donanımdan çok yaygın donanım cüzdanı hatalarına ve satıcı tarafındaki ihmallere dayanıyor.