Keystone, Ekim Ayındaki Web Sitesi İhlalinde Müşteri Verilerinin Çalındığını Doğruladı

Güncelleme 06:40 UTC: Uyarının işaret ettiği tablo aslında çok daha geniş.

Keystone, Web Sitesindeki Veri İhlalini Doğruladı

Hava boşluklu (air-gapped) bir donanım cüzdanı üreticisi Keystone, çevrimiçi mağazasından müşteri kargo bilgilerinin dış bir tarafça çalındığını resmen doğruladı. Şirketin resmi hesabından 24 Ekim'de yayımlanan açıklamaya göre Keystone, 20 Ekim Salı günü web sitesinde yetkisiz bir erişim tespit etti. E-ticaret sağlayıcısı Shopify ile birlikte uygulama programlama arayüzü (API) etkinliğini inceleyen şirket, 23 Ekim Cuma günü üçüncü bir tarafın veriye ulaştığını teyit etti. Açıklama bir özürle başlıyor: müşterilerin kişisel bilgilerini korumak için kendine duyulan güvenin ihlal edildiği kabul ediliyor.

Çalınan kayıtlar, donanım cüzdanı satın alımları sırasında paylaşılan ad-soyad, iletişim bilgileri, teslimat adresleri, sipariş edilen ürünler ve fiyatlarından oluşuyor. Şirketin açıklamasına göre ödeme kartı bilgileri, banka hesap detayları, kurtarma ifadeleri (recovery phrase), özel anahtarlar ve cüzdan şifreleri sızan veri setinde yer almıyor. Keystone, yetkisiz erişimi kapattığını, zafiyeti giderdiğini ve bir inceleme başlattığını belirtiyor; etkilenen müşterilere e-posta gönderimine başlandı, detaylı bir olay raporu da hazırlanıyor. Yine açıklama pek çok soruyu cevapsız bırakıyor: saldırganlar isimlendirilmiyor, etkilenen müşteri sayısı verilmüyor, erişimin ilk ne zaman başladığı ve hangi zafiyetin kullanıldığı açıklanmıyor. Saldırganın çalınan bir API anahtarını mı yoksa mağaza uygulamasındaki bir hatayı mı (ya da altyapıdaki başka bir zafiyeti mi) kullandığı henüz kamuya açıklanmadı. Keystone'un Shopify API etkinliğine göndermesi, araştırmacıların neye baktığını gösteriyor; ancak Shopify platformunun kendisinin ele geçirildiği anlamına gelmiyor. Shopify, tüccarların ve yetkili uygulamaların müşteri kayıtlarını ve siparişleri yönetebilmesini sağlayan mağaza altyapısı ve programlama arayüzleri sunuyor ve bağlanan bir uygulamanın ne kadar veriye ulaşabileceği, kendisine tanınan izinlere bağlı. Bu olayda hangi kimlik bilgilerinin ya da izinlerin rol oynadığı henüz açıklanmadı.

@KeystoneWallet · X gönderisi

Disclosure.

X'te görüntüle

Kimlik Avı Uyarıları ve Fiziki Tehditler

Sızıntının asıl riski, Keystone'un sistemlerinin dışında, insan faktöründe yatıyor. Adlar ve ev adresleri, donanım cüzdanı satın almış kişileri işaret ediyor; gerçek sipariş detayları da sahte mesajları son derece ikna edici kılıyor. Şirket, dolandırıcıların e-posta, telefon, kısa mesaj ya da postayla Keystone'u taklit edebileceği, sahte iade vaatleri, hileli yedek cihaz teklifleri ve teslimat bilgisi düzeltme taleplerinin başlıca yemler olacağı konusunda müşterilerini uyardı. Kullanıcılar, kurtarma ifadesini asla paylaşmamaları, bu ifadeyi sipariş etmedikleri bir cihaza asla girmemeleri ve şüpheli bir iletişimde doğrudan resmi destek hattına başvurmaları gerektiği konusunda bilgilendirildi. Güvenlik geliştiricisi Taylor Monahan çok daha ileri gitti: uyarısı, kripto sahiplerini varlıklarını teslim etmeye zorlamak için şiddete başvurulan ve sektörde "anahtarlı saldırı" (wrench attack) olarak bilinen soygun ve kaçırma senaryolarını da kapsıyordu. Açıklamada çalınan kayıtları gerçekleşmiş bir saldırıya bağlayan doğrulanmış bir bulgu yok. Eski Binance CEO'su Changpeng Zhao, duyuruya kısa bir mesajla tepki gösterdi: "Stay SAFU!"

Olay, rakip üretici Ledger'ın 2020'deki ihlalini de akıllara getiriyor. Saldırgan, bir API anahtarıyla şirketin e-ticaret ve pazarlama veritabanının bir bölümüne ulaşmıştı. Ledger ilk etapta yaklaşık 1 milyon e-posta adresinin tehlikeye düştüğünü ve 9.500 kadar müşterinin ayrıntılı kişisel bilgilerinin sızdığını hesaplamıştı; çalınan veritabanı Aralık 2020'de kamuyaSurface ettiğinde ise şirket, ad, posta adresi ve telefon numarası içeren yaklaşık 272.000 kayıtlık daha geniş bir açığın altını çizmek zorunda kalmıştı. Ledger taklidi sahte mektuplar Nisan 2025'e kadar müşterilere ulaşmaya devam etti; alıcıları QR kod okumaya ve kurtarma ifadelerini girmeye yönlendiren bu mektuplar hâlâ vakaya dosyalar ekliyor. Ayrıca Ledger, Güneydoğu Asya'daki bir satıcıdan cihaz satın alan kullanıcılarında yaşanan varlık kayıplarını inceliyor ve ihtiyati tedbir olarak ilgili satıcıdan satış ile sevkiyatları duraklatmasını istedi.

Uyarı şimdi Dogecoin topluluğuna da ulaştı. Keystone cihazlarının Bitcoin, Ethereum ve Solana ile birlikte desteklediği bu token'ın sahiplerine, topluluk içinde tanınan isim Mishaboar, X üzerinden bir uyarı yayımladı. Mishaboar, hedefli kimlik avı e-postaları, kısa mesajlar, telefon aramaları ve olası fiziki postaya hazır olunması gerektiğini söyledi; adres temelli posta dolandırıcılıklarının daha önce Trezor ve Ledger müşterilerini vurduğunu hatırlattı. Ona göre çalınan bir kargo kaydı, ev adresini donanım cüzdanı satın alımıyla eşleştirebiliyor. Bu yüzden etkilenen müşterilere, sosyal medyada kendileri ya da aileleri hakkında ek bilgi paylaşmaktan kaçınmaları, kurtarma ifadesini asla paylaşmamaları ve istenmeyen yedek cihaz tekliflerine güvenmemeleri tavsiyesinde bulundu.

İhlal, güvenlik olayları dizisiyle boğuşan bir sektörün içine düştü. Ledger, bu ayın başlarında Güneydoğu Asya'daki bazı satıcılar üzerinden satılan orijinal cihazların içine gizli donanım yerleştirildiğini duyurmuştu; kurcalanan cihazlar ilk kurulum sırasında 24 kelimelik kurtarma ifadesini okuyup LTE ağı üzerinden dışarı aktarıyordu. Şirket, güvenlik çipi, işletim sistemi ve iç sunucularının sızmadığını vurgulayarak olayı altyapısal bir ihlal değil, belirli bir dağıtım kanalına yönelik yerel bir saldırı olarak çerçeveliyor. Çalınan varlıkların 86 milyon doları aştığı yönündeki ilk haberleri ise doğrulamış değil. Öte yandan Trezor, lojistik sağlayıcısı ShipMonk'taki yaz ihlalini hâlâ sindiriyor; müşteri adları, e-posta adresleri, telefon numaraları, teslimat adresleri ve sipariş detaylarının açığa çıktığı olay önce 13.000 ABD'li müşteriyle ölçülmüştü, sonraki açıklamalarla bu rakam 80.000'i aştı.

Sızıntı, Keystone'un gizlilik pazarlamasını da sorgulanır hale getirdi. Şirket son aylarda kargo verilerinin siparişten 180 gün sonra kalıcı olarak silindiği taahhüdünü defalarca tanıttı; bu iddiayı 5 Ocak Pazartesi günü X'te paylaştı, Mart'ta ve Ağustos'ta yineledi ve Privacy Promise sayfasında öne çıkardı. Açıklamanın ardından bu taahhüdü sorgulayan kullanıcılar ortaya çıktı: @trintaetres_33, iki yıl önce aldığı bir cihazın sızıntı bildirimine dahil olduğunu söyledi; @BlockchainBarmy son siparişi ile ihlal arasında 214 gün hesapladı; @PEPE_Whale69 ise Montreal polisini taklit eden birinin, 2024 tarihli Keystone sipariş detaylarını ezbere okuyarak kendisini aradığını bildirdi. Keystone'un Mayıs 2021'de son güncellenen gizlilik politikası ise daha dar bir dil kullanıyor; destek merkezi, şehir ve ülke kayıtlarının silinmediğini ve bu sürecin Shopify tarafından yönetildiğini belirtiyor.

Uyarının daha geniş bir arka planı var. CertiK'in raporuna göre kripto sahiplerini hedefleyen, sektörde anahtarlı saldırı olarak bilinen 52 doğrulanmış fiziki zorlama olayı, 2026'nın ilk yarısında dünya genelinde kayda geçti; geçen yıl aynı dönemdeki 39 olaya kıyasla artış yüzde 33,3. Kayıtlı kayıp ve şant tutarları, bir yıl önceki 10,5 milyon dolara karşılık yaklaşık 124,1 milyon dolara ulaştı. Monahan'ın alıcıların gerçek adreslerini ifşa etmemesi yönündeki uyarısı bu verilerle aynı döneme denk düştü. Yeni kaynak ayrıca SafePal'ı da sektörün olay listesine ekledi: sipariş takibindeki bir zafiyet, şirketin yaklaşık 40.000 müşterisinin verisini açığa çıkarmış. Keystone ise tartışmalı eski siparişlere ilişkin acil bir soruşturma başlattı; iki yıl öncesine ait kayıtların bu sızıntıdan geldiği iddiaları ise henüz bağımsız olarak doğrulanabilmiş değil.

@tayvano_ · X gönderisi

Warning about physical threats.

X'te görüntüle

Keystone'un Cevaplanmayı Bekleyen Soruları

Açıklamadaki belirleyici gerçek, çalınmayan şey: soğuk cüzdan (cold wallet) tasarımı ayakta kaldı, çalınan sette hiçbir kripto cüzdanı kimlik bilgisi yer almadı ve açığa çıkan verinin tamamı kişisel bilgilerden oluşuyor. Risk bu yüzden insan katmanına kayıyor: saldırgan, gerçek bir sipariş geçmişini bir telefon araması ya da mektupla eşleştiriyor. Keystone'un beklenen raporu üç açık soruya yanıt vermeli: kaç müşteri etkilendi, erişim ne zaman başladı ve saldırgan hangi kimlik bilgisini kullandı. Ledger'ın 2020 veritabanının, geçen yıla kadar dolandırıcılıkları besleyen altı yıllık kuyruğu şunu gösteriyor: doğrulanana kadar her istenmeyen iade, yedek cihaz ya da teslimat mesajı düşmanca kabul edilmeli.