هک Keystone کار دستش داد؛ ۱۸٬۸۳۵ کیف پول سخت‌افزاری این شرکت باید نابود شوند

شرکت Keystone، سازنده کیف پول‌های سخت‌افزاری رمزارز، پس از یک رخنه امنیتی اعلام کرده ۱۸٬۸۳۵ دستگاه موجود در انبار خود را نابود خواهد کرد؛ حادثه‌ای که به افشای یکی از کلیدهای مورد استفاده برای تأیید اصالت دستگاه‌ها منجر شده است.

براساس اطلاعیه این شرکت، مهاجمان با سوءاستفاده از یک آسیب‌پذیری در ابزار مانیتورینگ شخص ثالث مورد استفاده در وب‌سایت Keystone، به یک WebAuth Key دسترسی پیدا کرده‌اند.

این کلید در فرایند تأیید اصالت کیف پول‌های سخت‌افزاری استفاده می‌شود. بنابراین در سناریوی احتمالی، مهاجم می‌توانست دستگاهی تقلبی تولید کند که هنگام بررسی توسط کاربر، از سیستم تأیید اصالت Keystone عبور کند.

در واکنش به این حادثه، Keystone تولید دستگاه با کلیدهای قبلی را متوقف کرده و اعلام کرده تمام ۱۸٬۸۳۵ دستگاه موجود در انبار که از این کلیدها استفاده می‌کنند، نابود خواهند شد.

ارسال سفارش‌هایی که هنوز تحویل نشده‌اند نیز متوقف شده و فروش مستقیم شرکت فعلاً به مدل پیش‌سفارش تغییر کرده است.

Keystone می‌گوید دستگاه‌هایی که پیش از ۲۰ اکتبر دریافت و تأیید اصالت شده‌اند، تحت تأثیر این مشکل نیستند و کاربران می‌توانند به استفاده از آنها ادامه دهند.

اما افرادی که پس از ۲۰ اکتبر دستگاهی با کلید قدیمی دریافت کرده‌اند، حتی در صورت موفقیت در فرایند تأیید اولیه، باید برای بررسی مجدد با پشتیبانی Keystone تماس بگیرند. شرکت اعلام کرده برای این بررسی نیازی به بازگرداندن دستگاه نیست.

رخنه امنیتی تنها به سیستم احراز اصالت محدود نبوده است. طبق اعلام Keystone، اطلاعات مربوط به ۲۵٬۹۶۴ سفارش ثبت‌شده در Shopify و همچنین ۱۲٬۸۷۳ فرایند خرید نیمه‌تمام نیز در معرض دسترسی قرار گرفته است.

این داده‌ها شامل بخشی از اطلاعات شخصی مشتریان بوده، اما Keystone تأکید کرده عبارت‌های بازیابی یا Seed Phrase، کلیدهای خصوصی و اطلاعات پرداخت کاربران در این حمله افشا نشده‌اند.

شرکت همچنین پذیرفته بخشی از داده‌های مشتریان بیش از مدت تعیین‌شده نگهداری شده بود. این اطلاعات قرار بود پس از ۱۸۰ روز به‌صورت خودکار حذف شوند، اما نقص در ابزار حذف خودکار باعث باقی‌ماندن آنها شده بود. Keystone اکنون دوره نگهداری اطلاعات شخصی را به ۹۰ روز کاهش داده است.

اهمیت این حادثه در این است که مشکل مستقیماً به سازوکار اعتماد به اصالت یک کیف پول سخت‌افزاری مربوط می‌شود؛ ابزاری که کاربران معمولاً برای کاهش ریسک نگهداری رمزارزها انتخاب می‌کنند. با این حال، براساس اطلاعات منتشرشده تاکنون، شواهدی از افشای کلیدهای خصوصی یا Seed Phrase کاربران گزارش نشده است.