Keystone sızıntısı derinleşiyor: 18.835 kripto donanım cüzdanı riskte

Çalınan Kimlik Doğrulama Anahtarı, Keystone’u 18.835 Cüzdanı İmha Etmeye Zorladı

Başlangıçta bir müşteri bilgisi sızıntısı gibi görünen olay, çok daha ciddi bir güvenlik sorununa dönüştü. 26 Ekim 2026'da Keystone, saldırganların donanım cüzdanlarının orijinal olup olmadığını belirlemek için kullanılan kimlik doğrulama anahtarını da ele geçirdiğini açıkladı.

Şirket, saldırının kaynağını, saldırganların erişim ayrıcalıklarını yükseltmelerine olanak tanıyan üçüncü taraf bir veri izleme aracındaki bir güvenlik açığına kadar izledi. Keystone, 20 Ekim'de şüpheli faaliyetleri tespit etti, güvenlik açığı bulunan web sitesi işlevlerini devre dışı bıraktı ve adli bir soruşturma başlattı.

Çalınan WebAuth anahtarı, özellikle rahatsız edici bir sorun teşkil ediyor. Bu anahtara sahip bir saldırgan, Keystone’un orijinallik kontrollerini geçebilen sahte cihazlar üretebilir ve bu da hiçbir şeyden haberi olmayan alıcıları varlık hırsızlığına maruz bırakabilir.

Keystone, anahtarın üretim sırasında kalıcı olarak gömüldüğünü ve yeniden yazılamayacağını veya silinemeyeceğini açıkladı. Sonuç olarak, donanım cüzdan üreticisi, güvenliği ihlal edilen anahtarı içeren mevcut envanterdeki 18.835 cihazın tamamını imha etmeyi planlıyor. Yeni üretilen cüzdanlara yedek bir kimlik doğrulama anahtarı verilecek. Bu arada Keystone, yedek üretim hazır olana kadar web sitesi üzerinden verilen siparişlerin sevkiyatını askıya aldı ve ön sipariş sistemine geçti.

Veri Silme Sistemindeki Arıza Nedeniyle Yaklaşık 26.000 Alıcı Kaydı Açığa Çıktı

Soruşturma, Keystone’un müşteri veri yönetiminde ciddi bir aksaklığı da ortaya çıkardı. İncelenen 51.083 Shopify alıcı kaydından 25.964’ünde, 2024 ile 2026 yılları arasında ait isimler, teslimat adresleri, iletişim bilgileri ve satın alma geçmişleri gibi kişisel bilgiler saklanıyordu. Keystone, otomatik silme sisteminde bir arıza meydana geldiğini ve bunun sonucunda müşteri bilgilerinin 180 günlük saklama süresini aşarak sistemde kalmaya devam ettiğini kabul etti.

Şirket, “Müşteri verilerini zamanında silme taahhüdümüzü yerine getiremedik ve bu başarısızlığın sorumluluğunu üstleniyoruz” açıklamasında bulundu.

Araştırmacılar ayrıca, potansiyel olarak hassas müşteri bilgileri içeren 12.873 adet ödenmemiş ödeme kaydını tespit etti. Keystone, bu kayıtları yanıtına dahil etti ve ek silme talepleri başlattı. Üretici, saklama süresini 90 güne indirdi ve 24 Ekim'de sunulan gecikmiş alıcı veri silme taleplerinin 3 Kasım'da sonuçlandırılmasını bekliyor. Keystone'un son olay sonrası raporu, kendisi de bir müşteri veri ihlali yaşayan Boston merkezli donanım cüzdan üreticisi Foundation'ın açıklamasının ardından geldi.

Mevcut Cüzdan Sahiplerine Yeni Güvenlik Yönergeleri

Keystone, kurtarma ifadeleri, özel anahtarlar, cüzdan kimlik bilgileri ve ödeme bilgilerinin tehlikeye atılmadığını savunuyor. Müşterilere, yalnızca bu olay nedeniyle kripto paralarını başka bir yere aktarmaları yönünde bir talimat verilmiyor. Şirket, 20 Ekim'den önce teslim edilen cihazların, kimlik doğrulamasını geçmeleri halinde güvenle kullanılabileceğini belirtiyor. Bu tarihten sonra, güvenliği ihlal edilmiş anahtar kullanılarak alınan cihazlar için, kimlik doğrulama başarılı olsa bile müşteri desteği aracılığıyla ek doğrulama yapılması gerekiyor.

Keystone ayrıca, cihazların iadesini talep eden sahte geri çağırma mesajlarına karşı müşterileri uyardı. Şirket, AB, Birleşik Krallık ve diğer yargı bölgelerine düzenleyici raporlar sundu; ayrıca ihlal arama araçları sunmayı ve daha fazla güvenlik denetimi gerçekleştirmeyi planlıyor. Üçüncü taraflara olan güveni ortadan kaldırmak üzere tasarlanmış cihazlar satan bir üretici için, kendi donanımına olan güveni sağlayan anahtarı kaybetmek, özellikle zor bir çelişki oluşturmaktadır.