১৮,৮৩৫ ক্রিপ্টো হার্ডওয়্যার ওয়ালেট ধ্বংসের ঝুঁকিতে, কীস্টোন লঙ্ঘন গভীরতর

চুরি হওয়া অথেন্টিকেশন কী Keystone-কে ১৮,৮৩৫টি ওয়ালেট বাতিল করতে বাধ্য করেছে

প্রথমে যা গ্রাহক তথ্যের লঙ্ঘন মনে হচ্ছিল, তা এখন অনেক বেশি গুরুতর একটি নিরাপত্তা সমস্যায় পরিণত হয়েছে। ২৬ অক্টোবর, ২০২৬-এ Keystone জানিয়েছে যে হামলাকারীরা হার্ডওয়্যার ওয়ালেটগুলো আসল কিনা যাচাই করার জন্য ব্যবহৃত অথেন্টিকেশন কী-ও সংগ্রহ করেছে।

কোম্পানিটি অনুপ্রবেশের উৎস খুঁজে বের করেছে একটি তৃতীয় পক্ষের ডেটা মনিটরিং টুলে থাকা একটি দুর্বলতা, যা আক্রমণকারীদের তাদের অ্যাক্সেসের বিশেষাধিকার বাড়াতে সাহায্য করেছিল। Keystone ২০ অক্টোবর সন্দেহজনক কার্যকলাপ সনাক্ত করে, দুর্বল ওয়েবসাইট ফাংশনগুলো নিষ্ক্রিয় করে এবং ফরেনসিক তদন্ত শুরু করে।

চুরি হওয়া WebAuth কী একটি বিশেষভাবে অস্বস্তিকর সমস্যা তৈরি করেছে। এটি ধারণকারী কোনো হামলাকারী নকল ডিভাইস তৈরি করতে পারবে যা Keystone-এর সত্যতা যাচাই পরীক্ষায় উত্তীর্ণ হবে, ফলে অসতর্ক ক্রেতাদের সম্পত্তি চুরির মুখে পড়ার সম্ভাবনা রয়েছে।

Keystone ব্যাখ্যা করেছে যে কীটি উৎপাদন প্রক্রিয়ায় স্থায়ীভাবে এম্বেড করা হয় এবং এটি পুনরায় লেখা বা মুছে ফেলা যায় না। ফলস্বরূপ, হার্ডওয়্যার ওয়ালেট প্রস্তুতকারী প্রতিষ্ঠানটি আপস হওয়া কী ধারণকারী বিদ্যমান ইনভেন্টরির ১৮,৮৩৫টি ডিভাইস ধ্বংস করার পরিকল্পনা করছে। নতুনভাবে তৈরি ওয়ালেটগুলোতে একটি প্রতিস্থাপনকৃত প্রমাণীকরণ কী দেওয়া হবে। এদিকে, কীস্টোন বকেয়া ওয়েবসাইট অর্ডারের চালান স্থগিত করেছে এবং প্রতিস্থাপন উৎপাদন প্রস্তুত না হওয়া পর্যন্ত প্রি-অর্ডারে স্যুইচ করেছে।

ডেটা মুছে ফেলার সিস্টেম ব্যর্থ হওয়ায় প্রায় ২৬,০০০ ক্রেতার রেকর্ড উন্মুক্ত

তদন্তে Keystone-এর গ্রাহক তথ্য ব্যবস্থাপনায় একটি গুরুতর ব্যর্থতাও প্রকাশ পেয়েছে। পর্যালোচিত ৫১,০৮৩টি Shopify ক্রেতার রেকর্ডের মধ্যে ২৫,৯৬৪টিতে নাম, শিপিং ঠিকানা, যোগাযোগের বিবরণ এবং ২০২৪ থেকে ২০২৬ সাল পর্যন্ত কেনাকাটার ইতিহাসসহ ব্যক্তিগত তথ্য সংরক্ষিত ছিল। কীস্টোন স্বীকার করেছে যে তাদের স্বয়ংক্রিয় মুছে ফেলার সিস্টেম বিকল হয়ে গিয়েছিল, যার ফলে গ্রাহকের তথ্য তাদের ১৮০ দিনের সংরক্ষণ নীতির বাইরেও সংরক্ষিত থেকে গিয়েছিল।

"আমরা সময়মতো গ্রাহকের ডেটা মুছে ফেলার প্রতিশ্রুতি পূরণ করতে ব্যর্থ হয়েছি, এবং আমরা এই ব্যর্থতার দায় স্বীকার করছি," কোম্পানিটি জানিয়েছে।

তদন্তকারীরা আরও ১২,৮৭৩টি অপ্রদত্ত চেকআউট রেকর্ড শনাক্ত করেছেন, যেগুলোতে সম্ভাব্য সংবেদনশীল গ্রাহক তথ্য রয়েছে। Keystone সেই রেকর্ডগুলো তাদের প্রতিক্রিয়ায় অন্তর্ভুক্ত করেছে এবং অতিরিক্ত মুছে ফেলার অনুরোধ শুরু করেছে। নির্মাতা তার সংরক্ষণকাল ৯০ দিনে কমিয়েছে, এবং আশা করছে ২৪ অক্টোবর জমা দেওয়া বকেয়া ক্রেতা ডেটা মুছে ফেলার অনুরোধগুলো ৩ নভেম্বরের মধ্যে চূড়ান্ত হবে। Keystone-এর সর্বশেষ পোস্টমর্টেম রিপোর্টটি এসেছে বস্টনের হার্ডওয়্যার ওয়ালেট নির্মাতা Foundation-এর তথ্য ফাঁসের প্রকাশের পর, যারা নিজেও গ্রাহক ডেটা লঙ্ঘনের শিকার হয়েছিল।

বিদ্যমান ওয়ালেট মালিকদের জন্য নতুন নিরাপত্তা নির্দেশিকা

কীস্টোন দাবি করেছে যে রিকভারি ফ্রেজ, প্রাইভেট কী, ওয়ালেট ক্রেডেনশিয়াল এবং পেমেন্ট তথ্য কোনোভাবেই ক্ষতিগ্রস্ত হয়নি। শুধুমাত্র এই ঘটনার কারণে গ্রাহকদের তাদের ক্রিপ্টোকারেন্সি সরানোর নির্দেশ দেওয়া হচ্ছে না। কোম্পানির মতে, ২০ অক্টোবর-এর আগে সরবরাহিত ডিভাইসগুলো যদি অথেন্টিকেশন পাস করে, তবে সেগুলো ব্যবহার করা নিরাপদ। পরবর্তীতে ক্ষতিগ্রস্ত কী ব্যবহার করে প্রাপ্ত ডিভাইসগুলো, এমনকি প্রমাণীকরণ সফল হলেও, গ্রাহক সহায়তার মাধ্যমে অতিরিক্ত যাচাইকরণ প্রয়োজন।

Keystone গ্রাহকদের জাল ফেরত-আহ্বান বার্তা সম্পর্কে সতর্ক করেছে, যেখানে ডিভাইস ফেরত পাঠাতে বলা হয়। কোম্পানিটি ইইউ, যুক্তরাজ্য এবং অন্যান্য অঞ্চলে নিয়ন্ত্রক প্রতিবেদন জমা দিয়েছে, এবং লঙ্ঘন অনুসন্ধান সরঞ্জাম চালু করার ও আরও নিরাপত্তা নিরীক্ষা পরিচালনার পরিকল্পনা করছে। তৃতীয় পক্ষের ওপর বিশ্বাস দূর করার জন্য ডিজাইন করা ডিভাইস বিক্রি করা একটি প্রস্তুতকারকের জন্য, নিজস্ব হার্ডওয়্যারে বিশ্বাস স্থাপনের চাবিকাঠি হারানো একটি বিশেষভাবে কঠিন বিরোধাভাস সৃষ্টি করে।