Keystone, Ekim Ayındaki Web Sitesi İhlalinde Müşteri Verilerinin Çalındığını Doğruladı

Keystone Web Sitesi İhlalini Doğruladı

Hava aracılığıyla yalıtılan bir donanım cüzdanı üreten Keystone, çevrim içi mağazasından müşteri teslimat bilgilerinin dış bir taraftan çalındığını resmen doğruladı. Şirketin resmi hesabından 24 Ekim Cumartesi günü yapılan açıklamaya göre Keystone, web sitesine yetkisiz erişimi 20 Ekim Salı günü fark etti; e-ticaret sağlayıcısı Shopify ile birlikte uygulama programlama arayüzü (Application Programming Interface, API) hareketini inceledikten sonra 23 Ekim Cuma günü üçüncü bir tarafın veriye ulaştığını teyit etti. Açıklama bir özürle başlıyor ve şirketin kişisel bilgileri korumak için kendisine gösterilen güvene değiniyor. Donanım cüzdanı satın alımları sırasında ele geçirilen kayıtlar arasında isimler, iletişim bilgileri, teslimat adresleri, sipariş edilen ürünler ve fiyatları yer alıyor. Ödeme kartı bilgileri, banka verileri, kurtarma ifadeleri, özel anahtarlar ve cüzdan şifrelerine bu sızıntıda rastlanmadığı vurgulanıyor. Keystone, yetkisiz erişimi kestiğini, zafiyeti giderdiğini ve bir soruşturma başlattığını belirtiyor; etkilenen müşterilere e-posta göndermeye başladığını ve ayrıntılı bir olay raporunu hazırladığını da ekliyor. Buna karşılık duyuru birkaç somut soruyu açık bırakıyor: saldırganların kim olduğu, kaç müşterinin etkilendiği, sızmanın ne zaman başladığı ve hangi zafiyetin kullanıldığı bilinmiyor. Şirket, saldırganın çalınmış bir API kimlik bilgisi mi kullandığını, mağaza yazılımındaki bir hatayı mı istismar ettiğini yoksa başka bir altyapı zafiyetine mi dayandığını henüz kamuya açık şekilde belirleyebilmiş değil. Keystone'un Shopify API hareketine göndermesi, araştırmacıların nereye baktığını gösteriyor; ancak Shopify'ın kendi platformunun ele geçirildiğini kanıtlamıyor. Shopify, mağaza altyapısı ile tüccarların ve yetkili uygulamaların müşteri kayıtlarını ve siparişleri yönetmesini sağlayan programlama arayüzlerini sunuyor; bağlı bir uygulamaya verilen izinler, ne kadar veriye ulaşılabileceğini belirliyor. Bu olayda hangi kimlik bilgileri ya da izinlerin rol oynadığı açıklanmış değil.

@KeystoneWallet · X gönderisi

Açıklamaya.

X'te görüntüle

Oltalama Uyarıları ve Fiziksel Tehditler

Sızıntının asıl tehlikesi, Keystone'un sistemlerinin dışında bekliyor. İsimler ve ev adresleri, donanım cüzdanı satın almış kişileri doğrudan işaret ediyor; gerçek sipariş bilgileri ise dolandırıcı mesajları çok daha inandırıcı kılıyor. Şirket, sahte iadeler, yedek cihaz gönderimleri ve teslimat bilgisi düzeltme talepleri gibi yemler kullanarak Keystone taklidi yapan dolandırıcılara karşı müşterileri e-posta, telefon, SMS ya da fiziksel posta kanallarından uyardı. Kullanıcılara kurtarma ifadesini asla paylaşmamaları, kurtarma ifadesini sipariş etmedikleri bir cihaza asla girmemeleri ve şüpheli bir iletişim geldiğinde resmî destekle doğrudan temas etmeleri söylendi. Güvenlik geliştiricisi Taylor Monahan bir adım öteye gitti; sözkonusu verilerle hedeflenen kullanıcıların soygun ve kaçırma gibi fiziksel tehditlerle karşılaşabileceğini uyararak hatırlattı. Sektörde “anahtar alevli saldırı” olarak bilinen bu örüntüde suçlular, şiddet yoluyla sahiplerin varlıklarını teslim etmesini zorluyor. Açıklamada, çalınan kayıtları gerçekleşmiş bir saldırıya bağlayan doğrulanmış bir kanıt bulunmuyor. Binance'in eski CEO'su Changpeng Zhao duyuruya kısa bir mesajla yanıt verdi: “SAFU kalın!” Olay, rakip üretici Ledger'ın 2020'deki ihlalini akıllara getiriyor; saldırgan orada bir API anahtarıyla şirketin e-ticaret ve pazarlama veritabanının bir bölümüne ulaşmıştı. Ledger başlangıçta yaklaşık bir milyon e-posta adresinin etkilendiğini ve kabaca 9.500 müşteriye ait ayrıntılı kişisel bilgi listesi tuttuğunu belirtmişti; çalınan veritabanı Aralık 2020'de kamuya sızdığında ise şirket, isim, posta adresi ve telefon numarası içeren yaklaşık 272.000 kayıtlık çok daha geniş bir sızıntıyı kabul etti. Ledger taklidi dolandırıcı mektuplar, alıcılara QR kod okutup kurtarma ifadelerini girdirmeye çalışan bu sahtekârlık Nisan 2025'e kadar müşterilere ulaşmaya devam etti. Ayrıca Ledger, Güneydoğu Asya'daki bir satıcıdan cihaz alan kullanıcılar arasında yaşanan varlık kayıplarını soruşturuyor ve ihtiyat gereği satıcıya satış ile sevkiyatları durdurmasını istedi.

@tayvano_ · X gönderisi

Uyararak.

X'te görüntüle

Keystone'un Henüz Yanıtlayamadığı Sorular

Açıklamanın asıl taşıyıcı gerçeği, alınmayan şey: soğuk cüzdan tasarımı gereği çalınan sette hiçbir kripto cüzdanı kimlik bilgisi yer almıyor ve ele geçirilen veri tamamen kişisel bilgilerden oluşuyor. Risk bu nedenle insan katmanına kayıyor; saldırgan gerçek bir sipariş geçmişini bir telefon araması ya da mektupla birleştirebilir. Keystone'un bekleyen raporunun yanıtlaması gereken üç soru ortada: kaç müşterinin etkilendiği, erişimin ne zaman başladığı ve saldırganın hangi kimlik bilgisini kullandığı. Ledger'ın 2020 veritabanının, geçen yıl itibarıyla dolandırıcılıkları hâlâ besleyen altı yıllık izi, her istenmeyen iade, yedek cihaz ya da teslimat mesajının üreticiyle doğrudan doğrulanana kadar düşmanca sayılmasından yana bir ders çıkarıyor.