Keystone sızıntı sonrası binlerce donanım cüzdanını imha ediyor

Donanım cüzdanı üreticisi Keystone, geçtiğimiz hafta web sitesine sızan bir saldırganın cihazların orijinalliğini doğrulamak için kullanılan kritik bir anahtarı çaldığını duyurdu. Başlangıçta müşteri verisi sızıntısı olarak açıklanan olayın kapsamı bu gelişmeyle genişledi.

Pazartesi günü yapılan açıklamada Keystone, çalınan kimlik doğrulama anahtarının, saldırganların şirketin orijinallik kontrollerinden geçebilen sahte cüzdanlar üretmesine imkan tanıyabileceğini belirtti. Şirket, "Bu cihazlar daha sonra müşterilere satılabilir veya gönderilebilir. Kullanıcılar bunları orijinal ürün sanarak farkında olmadan kullanabilir ve bu durum varlık hırsızlığıyla sonuçlanabilir" uyarısında bulundu.

Yaşanan gelişme, bu yıl donanım cüzdanı üreticilerini hedef alan bir dizi siber saldırının son halkası oldu. Ayın başlarında Ledger, Güneydoğu Asya ve Hong Kong'daki yetkili satıcılarından, bölgede satılan cihazlarda kurtarma kelimelerini ele geçirebilen izinsiz donanımların yer aldığına dair raporların ardından satışları durdurmalarını istemişti. Temmuz ayı sonlarında ise Coldcard üreticisi Coinkite, cihazların hedeflenenden daha az entropiye sahip cüzdan tohumları üretmesine yol açan ve milyonlarca dolarlık kripto hırsızlığına neden olan bir güvenlik açığının istismar edilmesinin ardından kullanıcıları uyarmıştı.

Son güncellemesinde Keystone, saldırganın yetkilerini artırmak için web sitesinde kullanılan üçüncü taraf bir izleme aracındaki güvenlik açığından yararlandığını kaydetti. Açıklamada, "Bu durum saldırganın bazı müşteri bilgilerine ve cihazlarımızın orijinalliğini doğrulamak için kullanılan bir anahtara erişmesini sağladı" denildi.

Keystone, envanterinde bulunan ve güvenliği ihlal edilen anahtarı içeren 18 bin 835 cihazı imha etmeyi planladığını, bu anahtarı kullanan tüm cihazların üretim ve sevkiyatını askıya aldığını bildirdi. Sevkiyatların yeni bir kimlik doğrulama anahtarıyla üretim başladığında yeniden devreye alınacağı açıklandı. Şirket, 20 Ekim'deki olaydan önce üretilen ve teslim edilen cihazların güvenli kabul edilmesi gerektiğini, orijinallik kontrollerinin güvenilirliğini koruduğunu aktardı. Ancak bu tarihten sonra teslim edilen cihazların orijinalliğinin garanti edilemeyeceği vurgulanarak etkilenen müşterilerden doğrulama için destek ekibiyle iletişime geçmeleri istendi.

Keystone ayrıca müşteri verisi ihlalinin boyutunu da paylaştı. Web sitesinin Shopify mağazasında 51 bin 83 alıcı kaydı oluşturulduğu, bunlardan 25 bin 119'unun 180 günlük veri saklama politikası uyarınca silindiği belirtildi. Ancak 2024 ile 2026 yılları arasına ait kalan 25 bin 964 kaydın saldırgan tarafından çalınmış olabileceği ifade edildi. Eski kayıtların, toplu veri silme işlemlerini yürüten otomatik araçtaki bir arıza nedeniyle silinemediği açıklandı.

Şirket, "Araç güvenilir şekilde çalışmadı. Bazı silme görevleri başarısız oldu ve biz bu arızaları zamanında tespit edip çözemedik. Bu da belirli kişisel bilgilerin izin verilen sürenin ötesinde saklanmasına yol açtı" değerlendirmesinde bulundu. Buna ek olarak saldırganın, Shopify tarafından tutulan ve tamamlanmamış alışverişlere ait 12 bin 873 müşteri ödeme kaydına da erişmiş olabileceği bildirildi. Keystone, 30 günden uzun süredir saklanan kişisel bilgilerin silinmesi talebiyle Shopify ile iletişime geçtiğini duyurdu.

Benzer bir olay Haziran 2020'de Ledger'da yaşanmış, 1 milyondan fazla e-posta adresinin yanı sıra isimler, telefon numaraları ve açık adresler sızdırılmıştı. Bu veriler kullanıcıları hedef alan uzun süreli oltalama saldırılarına zemin hazırlamıştı. Diğer üreticiler de benzer üçüncü taraf riskleriyle karşılaştı. Ağustos ayında Trezor, nakliye ortağında müşteri verilerini açığa çıkaran bir ihlal bildirmiş, etkilenen kullanıcı sayısı Eylül ayında 80 bini aşmıştı. SafePal Ağustos ayında yaklaşık 40 bin müşterinin verisini riske atan bir sipariş takip açığı rapor ederken, BitBox ise Eylül ayında üçüncü taraf e-posta sağlayıcısının hedef alındığı bir oltalama kampanyasına maruz kalmıştı.