Keystone Doğrulama Anahtarının Çalınması Nedeniyle 18 Binden Fazla Kripto Cüzdanını İmha Ediyor

Keystone Doğrulama Anahtarının Çalınması Nedeniyle 18 Binden Fazla Kripto Cüzdanını İmha Ediyor

Kripto para donanım cüzdanı üreticisi Keystone, internet sitesine sızan bir saldırganın cihazların orijinalliğini teyit etmekte kullanılan doğrulama anahtarını ele geçirdiğini duyurdu. Şirket, 26 Ekim tarihinde yaptığı açıklamada söz konusu güvenlik ihlalinin detaylarını paylaştı.

Ele geçirilen anahtar, sahte donanımların Keystone’un çevrim içi doğrulama testlerini başarıyla geçmesini sağlayabilecek nitelikte. Bu durum, sahte cihazları satın alan kullanıcıların kripto varlıklarının çalınma riskini doğursa da ihlalin mevcut kullanıcıların kurtarma ifadelerini (seed phrase) veya özel anahtarlarını kapsamadığı belirtildi. Yaşanan olayın ardından Keystone, eski anahtarı barındıran ve henüz satışı yapılmamış 18.835 donanım cüzdanını imha etme kararı aldı. Üretilecek yeni cihazlara ise farklı bir anahtar entegre edilecek.

Saldırının Detayları ve Cihaz Doğrulama Süreci

Şirket, yetkisiz erişimi 20 Ekim’de tespit ettiğini açıkladı. Saldırganın, Keystone web sitesi tarafından kullanılan üçüncü taraf bir veri izleme aracındaki açıktan yararlanarak yetkilerini yükselttiği, müşteri bilgilerine ve kritik doğrulama anahtarına bu yolla ulaştığı bildirildi. Erişim 20 Ekim’de kesildi ve güvenlik açığı kapatıldı; ancak anahtarın nerede saklandığına dair bilgi paylaşılmadı.

Keystone cihazlarındaki doğrulama mekanizması, kullanıcının ekrandaki QR kodu taratması ve cihazın ürettiği şifreli kodu doğrulama sayfasına girmesi esasına dayanıyor. Cihaz, belleğindeki anahtarla kodu çözdüğünde orijinal olduğunu kanıtlıyor. Bu anahtar sadece doğrulama için kullanılıyor; özel anahtar üretimi ya da işlem imzalamada rol oynamıyor. Üretim bandında donanıma kalıcı olarak yazılan bu anahtar tek yazımlık hafızada tutulduğundan, üretilmiş cihazların yazılım güncellemesiyle yeni anahtara geçirilmesi mümkün olmuyor.

Müşteri Verileri de Sızdırıldı

İhlal yalnızca cihaz anahtarını değil, müşteri veritabanını da etkiledi. 24 Ekim’deki ilk açıklamanın ardından 26 Ekim’de kapsam netleşti: 2024 ile 2026 yılları arasında firmanın Shopify altyapılı mağazasından alışveriş yapan 25.964 müşterinin adı, iletişim bilgileri, teslimat adresleri ve sipariş detayları ele geçirildi. Ayrıca tamamlanmamış alışverişlere ait 12.873 kayıt da önlem amaçlı bu kapsama dahil edildi.

Ödeme kartı, banka bilgileri veya resmi kimlik numaralarının sızıntıdan etkilenmediği; Amazon ve diğer yetkili satış kanallarındaki müşteri kayıtlarının güvende olduğu belirtildi. Keystone, siparişten 180 gün sonra verilerin otomatik silinmesi yönündeki politikasının teknik bir arıza nedeniyle aksadığını kabul ederek, veri saklama süresini derhal 90 güne indirdiğini duyurdu.

Kullanıcıların Dikkat Etmesi Gerekenler

Keystone, müşterilerin cihaz teslim tarihine göre hareket etmesini tavsiye ediyor:

• 20 Ekim Öncesinde Teslim Alanlar: Çevrim içi doğrulama testinden başarıyla geçen cihazlar güvenli kabul ediliyor ve normal şekilde kullanılmaya devam edilebiliyor.
• 20 Ekim Sonrasında Teslim Alanlar: Doğrulama testini geçse dahi eski anahtara sahip bu cihazların sahte olma ihtimali dışlanamıyor. Kullanıcıların [email protected] adresi üzerinden destek ekibiyle iletişime geçmesi ve onay alana kadar cihazı kullanmaması isteniyor.
• Yeni Sipariş Bekleyenler: Yeni anahtarı taşıyan modeller hazır olana dek gönderimler durduruldu. Keystone 3 Pro modeli şu anda ön sipariş sürecinde görünüyor.
• Dolandırıcılık Uyarıları: Şirket hiçbir müşterisinden cihaz iadesi talep etmeyeceğini bildirdi. Değişim, geri çağırma, cüzdan doğrulama veya varlık aktarımı vaat eden arama ve mesajların dolandırıcılık amaçlı olduğu; kurtarma ifadelerinin kesinlikle üçüncü taraflarla paylaşılmaması gerektiği vurgulandı.