Keystone تعتزم إتلاف 18,835 محفظة بعد سرقة مفتاح توثيق الأجهزة

Keystone تخطط لإتلاف 18,835 محفظة عتادية غير مباعة بعد حصول مهاجم على مفتاح يُستخدم للتحقق مما إذا كانت أجهزتها أصلية. وكشفت الشركة النطاق الأوسع للحادثة في 26 أكتوبر، بما في ذلك الوصول إلى معلومات العملاء من متجرها الإلكتروني.

Keystone تدعم عدة محافظ Cardano، بما في ذلك Lace وEternl. وقد أضافت Lace دعم Keystone في أغسطس، ما يسمح للمستخدمين بإدارة أصول Cardano مع الموافقة على المعاملات على الجهاز العتادي.

خرق للموقع يكشف مفتاح التحقق من الجهاز

رصدت Keystone وصولًا غير معتاد إلى موقعها الرسمي في 20 أكتوبر. ووجد تحقيقها أن المهاجم استغل ثغرة في أداة لمراقبة البيانات تابعة لطرف ثالث يستخدمها الموقع، ما مكّنه من الحصول على صلاحيات مرتفعة والوصول إلى معلومات العملاء ومفتاح توثيق الجهاز.

مفتاح WebAuth المتأثر يُبرمج داخل الأجهزة أثناء التصنيع ولا يمكن محوه أو استبداله. وتستخدمه Keystone للتحقق مما إذا كان الجهاز أصليًا عبر صفحة المصادقة الخاصة بها.

وبحسب الشركة، فإن امتلاك المفتاح قد يسمح للمهاجم بإنشاء أجهزة مقلدة تتجاوز فحص التوثيق. وقد أوقفت Keystone استخدام المفتاح القديم في الإنتاج وتخطط لإتلاف جميع الأجهزة البالغ عددها 18,835 الموجودة في مخزونها والتي تحتوي عليه.

كما علّقت الشركة شحن الطلبات غير المنجزة من موقعها الرسمي. وستُحوَّل المبيعات إلى نموذج الطلب المسبق حتى يتم إنتاج أجهزة بمفتاح توثيق جديد.

Keystone تصدر إرشادات للأجهزة الحالية

أوضحت Keystone أن مفتاح التوثيق يُستخدم فقط للتحقق من أصالة الجهاز. ولا يُستخدم لتوليد عبارات الاستعادة أو اشتقاق المفاتيح الخاصة أو توقيع المعاملات.

وأفادت الشركة بأن الحادثة لم تشمل عبارات الاستعادة أو مفاتيح المحافظ الخاصة أو أي بيانات اعتماد أخرى للمحافظ. وأضافت أن العملاء لا يحتاجون إلى نقل أصولهم لمجرد وقوع هذا الخرق.

بالنسبة للأجهزة التي تم تسليمها قبل 20 أكتوبر، ذكرت Keystone أن التوثيق لا يزال غير متأثر. ويمكن اعتبار الجهاز الذي سُلِّم قبل ذلك التاريخ أصليًا إذا اجتاز فحص التوثيق الخاص بالشركة.

أما الأجهزة التي تم استلامها بعد 20 أكتوبر وتستخدم المفتاح القديم فتتطلب تحققًا إضافيًا. وحذّرت Keystone من أن جهازًا مقلدًا قد يجتاز الفحص الحالي ووجّهت المالكين إلى التواصل مع دعم العملاء قبل استخدامه.

تتصل Lace بـ Keystone عبر رموز QR، حيث تُعتمد المعاملات وتُوقّع على المحفظة العتادية. ويبقى المفتاح الخاص على الجهاز بدلًا من الظهور على شاشة متصلة بالإنترنت.

[NEWSBREAK]

سجلات العملاء وسياسات الاحتفاظ بالبيانات

شمل الخرق سجلات لمشتريات أُجريت عبر متجر Shopify على الموقع الرسمي لـ Keystone. ووجدت الشركة أن 25,964 سجلًا للمشترين بين عامي 2024 و2026 لا تزال تحتوي على معلومات شخصية، بما في ذلك الأسماء وبيانات التواصل وعناوين الشحن ومعلومات الطلبات.

كما كان قد جرى إخفاء الهوية لـ 25,119 سجلًا آخر للمشترين قبل الوصول غير المصرح به. وأدرجت Keystone أيضًا 12,873 سجل دفع غير مكتمل ضمن استجابتها للحادثة لأنها احتوت على معلومات قدّمها المستخدمون أثناء إتمام الشراء. ولم تتأثر معلومات الشراء من Amazon وقنوات البيع الأخرى، وفقًا للشركة.

وأقرت Keystone بأن بعض معلومات العملاء احتُفظ بها لما بعد حدها السابق البالغ 180 يومًا بسبب فشل أداة الحذف الآلي في إكمال مهام معينة. وقد قصّرت الشركة فترة الاحتفاظ إلى 90 يومًا وتتوقع أن يُكمل Shopify عملية حذف البيانات المتأخرة بحلول 3 نوفمبر.

وتخطط الشركة لإخطار العملاء المتأثرين بشكل فردي وتوفير صفحة يمكن للمستخدمين من خلالها التحقق مما إذا كانت معلوماتهم قد كُشِفَت. كما حذّرت Keystone من رسائل احتيالية تعرض ترحيل الأصول أو تطلب إعادة الأجهزة، مؤكدة أنها لن تطلب من العملاء إرسال أجهزتهم.