Cihaz Kimlik Doğrulama Anahtarının Çalınmasının Ardından Keystone 18,835 Cüzdanı İmha Edecek

Bir saldırganın cihazlarının gerçek olup olmadığını doğrulamak için kullanılan bir anahtarı ele geçirmesinin ardından Keystone, satılmamış 18,835 donanım cüzdanını imha etmeyi planlıyor. Şirket, çevrim içi mağazasındaki müşteri bilgilerine erişim de dahil olmak üzere olayın daha geniş kapsamını 26 Ekim tarihinde açıkladı.

Keystone, Lace ve Eternl dahil olmak üzere birkaç Cardano cüzdanını destekliyor. Lace, Ağustos ayında Keystone desteği ekledi ve kullanıcıların işlemleri donanım cihazında onaylarken Cardano varlıklarını yönetmesine olanak tanıdı.

Web Sitesi İhlali Cihaz Kimlik Doğrulama Anahtarını Ortaya Çıkardı

Keystone, 20 Ekim tarihinde resmi web sitesine olağandışı erişim tespit etti. Yapılan inceleme, saldırganın sitenin kullandığı üçüncü taraf bir veri izleme aracındaki bir güvenlik açığından yararlanarak yüksek ayrıcalıklar elde ettiğini ve müşteri bilgileri ile cihaz kimlik doğrulama anahtarına eriştiğini ortaya koydu.

Etkilenen WebAuth anahtarı, üretim sırasında cihazlara yazılıyor ve silinemiyor veya değiştirilemiyor. Keystone, kimlik doğrulama sayfası aracılığıyla bir cihazın gerçek olup olmadığını doğrulamak için bu anahtarı kullanıyor.

Şirkete göre bu anahtara sahip olmak, bir saldırganın kimlik doğrulama kontrolünü geçen sahte cihazlar üretmesine olanak tanıyabilir. Keystone, üretimde eski anahtarın kullanımını durdurdu ve envanterinde bu anahtarı içeren tüm 18,835 cihazı imha etmeyi planlıyor.

Şirket, resmi web sitesindeki karşılanmamış siparişlerin sevkiyatını da askıya aldı. Yeni bir kimlik doğrulama anahtarına sahip cihazlar üretilene kadar satışlar ön sipariş modeline geçecek.

Keystone Mevcut Cihazlar İçin Yönerge Yayınladı

Keystone, kimlik doğrulama anahtarının yalnızca cihazın gerçekliğini doğrulamak için kullanıldığını açıkladı. Bu anahtar, kurtarma ifadeleri oluşturmak, özel anahtarlar türetmek veya işlemleri imzalamak için kullanılmıyor.

Şirket, olayın kurtarma ifadelerini, cüzdan özel anahtarlarını veya diğer cüzdan kimlik bilgilerini içermediğini bildirdi. Ayrıca müşterilerin yalnızca bu ihlal nedeniyle varlıklarını taşımalarına gerek olmadığını ekledi.

20 Ekim tarihinden önce teslim edilen cihazlar için Keystone, kimlik doğrulamanın etkilenmediğini belirtti. O tarihten önce teslim edilen bir cihaz, şirketin kimlik doğrulama kontrolünü geçerse gerçek kabul edilebilir.

20 Ekim sonrasında teslim alınan ve eski anahtarı kullanan cihazlar için ek doğrulama gerekiyor. Keystone, mevcut kontrolü geçebilecek sahte bir cihaza karşı uyarıda bulundu ve sahiplerini kullanmadan önce müşteri desteği ile iletişime geçmeye yönlendirdi.

Lace, Keystone ile QR kodlar aracılığıyla bağlantı kurar ve işlemler donanım cüzdan üzerinde onaylanıp imzalanır. Özel anahtar, internet bağlantılı bir ekranda görünmek yerine cihazın üzerinde kalır.

[NEWSBREAK]

Müşteri Kayıtları ve Veri Saklama

İhlal, Keystone’un resmi web sitesindeki Shopify mağazası üzerinden yapılan satın alımlara ilişkin kayıtları kapsadı. Şirket, 2024 ile 2026 arasında yer alan 25,964 alıcı kaydının adlar, iletişim bilgileri, gönderim adresleri ve sipariş bilgileri dahil kişisel veriler içerdiğini tespit etti.

Diğer 25,119 alıcı kaydı ise yetkisiz erişimden önce zaten anonimleştirilmişti. Keystone, kullanıcıların ödeme sırasında gönderdiği bilgileri içerdiği için olay müdahalesine 12,873 ödenmemiş ödeme kaydını da dahil etti. Şirkete göre Amazon ve diğer satış kanallarındaki satın alma bilgileri etkilenmedi.

Keystone, otomatik silme aracının bazı görevleri tamamlayamaması nedeniyle bazı müşteri bilgilerinin önceki 180 günlük sınırın ötesinde tutulduğunu kabul etti. Şirket, saklama süresini 90 güne indirdi ve Shopify’ın gecikmiş verilerin silinmesine yönelik talebi 3 Kasım tarihinde tamamlamasını bekliyor.

Şirket, etkilenen müşterileri bireysel olarak bilgilendirmeyi ve kullanıcıların bilgilerinin ifşa edilip edilmediğini kontrol edebilecekleri bir sayfa sağlamayı planlıyor. Keystone, varlık taşımayı teklif eden veya cihaz iadesi talep eden sahte mesajlar konusunda da uyarıda bulundu ve müşterilerden cihazlarını geri göndermelerini istemeyeceğini belirtti.