कीस्टोन उल्लंघन गहराया, 18,835 क्रिप्टो हार्डवेयर वॉलेट्स खतरे में

चोरी हुई प्रमाणीकरण कुंजी के कारण कीस्टोन को 18,835 वॉलेट्स को नष्ट करना पड़ा

जो शुरू में ग्राहक जानकारी का उल्लंघन प्रतीत हो रहा था, वह अब एक काफी अधिक गंभीर सुरक्षा समस्या बन गया है। 26 अक्टूबर, 2026 को, कीस्टोन ने खुलासा किया कि हमलावरों ने वह प्रमाणीकरण कुंजी भी प्राप्त कर ली है जिसका उपयोग यह स्थापित करने के लिए किया जाता है कि उसके हार्डवेयर वॉलेट असली हैं या नहीं।

कंपनी ने इस घुसपैठ का पता एक तीसरे पक्ष के डेटा निगरानी टूल में एक भेद्यता (vulnerability) तक लगाया, जिसने हमलावरों को अपनी पहुंच विशेषाधिकारों को बढ़ाने की अनुमति दी। कीस्टोन ने 20 अक्टूबर को संदिग्ध गतिविधि का पता लगाया, संवेदनशील वेबसाइट फ़ंक्शनों को अक्षम कर दिया, और एक फोरेंसिक जांच शुरू की।

चोरी हुई WebAuth कुंजी एक विशेष रूप से असुविधाजनक समस्या पेश करती है। इसके मालिक हमलावर नकली डिवाइस बना सकते हैं जो कीस्टोन के प्रामाणिकता जांच में पास हो सकें, जिससे संभावित रूप से अनजान खरीदारों की संपत्ति चोरी हो सकती है।

कीस्टोन ने समझाया कि कुंजी निर्माण के दौरान स्थायी रूप से एम्बेड की जाती है और इसे फिर से लिखा या मिटाया नहीं जा सकता। परिणामस्वरूप, हार्डवेयर वॉलेट निर्माता मौजूदा इन्वेंट्री में मौजूद सभी 18,835 उपकरणों को नष्ट करने की योजना बना रहा है, जिनमें समझौता की गई कुंजी है। नए निर्मित वॉलेट्स को एक प्रतिस्थापन प्रमाणीकरण कुंजी प्राप्त होगी। इस बीच, कीस्टोन ने लंबित वेबसाइट ऑर्डर की शिपमेंट को निलंबित कर दिया है और प्रतिस्थापन उत्पादन तैयार होने तक प्री-ऑर्डर पर स्विच कर दिया है।

डेटा हटाने की प्रणाली विफल होने से लगभग 26,000 खरीदारों के रिकॉर्ड उजागर हुए

जांच में कीस्टोन के ग्राहक डेटा प्रबंधन में एक गंभीर विफलता भी उजागर हुई। जांचे गए 51,083 शॉपिफाई खरीदार रिकॉर्ड में से, 25,964 में नाम, शिपिंग पते, संपर्क विवरण और 2024 से 2026 तक के खरीद इतिहास सहित व्यक्तिगत जानकारी बरकरार थी। कीस्टोन ने स्वीकार किया कि उसकी स्वचालित हटाने की प्रणाली में खराबी आ गई थी, जिससे ग्राहक की जानकारी उसकी 180-दिन की प्रतिधारण नीति से अधिक समय तक संग्रहीत रह गई।

कंपनी ने कहा, "हम समय पर ग्राहक डेटा को मिटाने की अपनी प्रतिबद्धता को पूरा करने में विफल रहे, और हम इस विफलता की जिम्मेदारी स्वीकार करते हैं।"

जांचकर्ताओं ने 12,873 ऐसे अदा न किए गए चेकआउट रिकॉर्ड भी पहचाने, जिनमें संभावित रूप से संवेदनशील ग्राहक जानकारी शामिल थी। कीस्टोन ने उन रिकॉर्ड्स को अपने जवाब में शामिल कर लिया है और अतिरिक्त हटाने के अनुरोध शुरू कर दिए हैं। निर्माता ने अपनी प्रतिधारण अवधि को घटाकर 90 दिन कर दिया है, और उसे उम्मीद है कि 24 अक्टूबर को जमा की गई बकाया खरीदार डेटा हटाने के अनुरोध 3 नवंबर को अंतिम रूप ले लेंगे। कीस्टोन की नवीनतम पोस्टमॉर्टम रिपोर्ट फाउंडेशन के खुलासे के बाद आई है, जो बोस्टन का एक हार्डवेयर वॉलेट निर्माता है और जिसे भी ग्राहक डेटा उल्लंघन का सामना करना पड़ा था।

मौजूदा वॉलेट मालिकों को नई सुरक्षा मार्गदर्शन प्राप्त हुई

कीस्टोन का कहना है कि रिकवरी वाक्यांश, प्राइवेट की, वॉलेट क्रेडेंशियल और भुगतान जानकारी समझौता नहीं हुई थी। ग्राहकों को केवल इस घटना के कारण अपनी क्रिप्टोकरेंसी को स्थानांतरित करने के लिए निर्देशित नहीं किया जा रहा है। कंपनी का कहना है कि 20 अक्टूबर से पहले वितरित किए गए डिवाइस, यदि वे प्रमाणीकरण पास करते हैं, तो उपयोग के लिए सुरक्षित हैं। बाद में प्राप्त डिवाइसों के लिए, भले ही प्रमाणीकरण सफल हो, समझौता की गई कुंजी का उपयोग करके अतिरिक्त सत्यापन के लिए ग्राहक सहायता से संपर्क करना आवश्यक है।

कीस्टोन ने ग्राहकों को डिवाइस वापस करने का अनुरोध करने वाले धोखाधड़ी वाले रिकॉल संदेशों के बारे में भी चेतावनी दी है। कंपनी ने यूरोपीय संघ, यू.के. और अन्य अधिकार क्षेत्रों में नियामक रिपोर्टें प्रस्तुत की हैं, और उल्लंघन खोज उपकरण पेश करने और आगे के सुरक्षा ऑडिट करने की योजना बना रही है। तीसरे पक्षों में विश्वास खत्म करने के लिए डिज़ाइन किए गए उपकरण बेचने वाले निर्माता के लिए, अपने ही हार्डवेयर में विश्वास स्थापित करने वाली कुंजी खो देना एक विशेष रूप से कठिन विरोधाभास प्रस्तुत करता है।