Keystone, Doğrulama Anahtarı Çalındıktan Sonra 18.835 Donanım Cüzdanını İmha Edecek

Kripto para donanım cüzdanı üreticisi Keystone, 26 Ekim'de yaptığı açıklamada web sitesine yetkisiz erişim sağlayan bir saldırganın, cihazların orijinalliğini kanıtlamak için kullandığı doğrulama anahtarını ele geçirdiğini duyurdu. Bu anahtar, kullanıcıların Keystone cihazlarını doğrulamak amacıyla başvurduğu çevrimiçi kontrol mekanizmasının temelini oluşturuyordu. Anahtarın çalınmış olması, sahte cihazların bu doğrulama testini geçebileceği anlamına geliyor.
Şirket, eski anahtarı taşıyan ve henüz satılmamış 18.835 cihazı imha edeceğini açıkladı. Bundan sonra üretilecek tüm yeni cihazlar farklı bir anahtarla donatılacak. Yetkisiz erişim 20 Ekim'de tespit edildi ve aynı gün engellendi. Şirket, saldırganın sisteme ilk ne zaman girdiğini henüz açıklamadı.

Saldırı Nasıl Gerçekleşti?​

Keystone'a göre saldırgan, şirketin web sitesinde kullandığı üçüncü taraf bir veri izleme aracındaki güvenlik açığından yararlanarak yetki yükseltme işlemi gerçekleştirdi. Bu sayede hem müşteri verilerine hem de doğrulama anahtarına ulaşabildi. Şirket, açığın kapatıldığını belirtmekle birlikte anahtarın sistemde tam olarak nerede depolandığını kamuoyuyla paylaşmadı.
Olayın kapsamı yalnızca anahtarla sınırlı kalmadı. Keystone, 24 Ekim'de yaptığı ilk açıklamada üçüncü bir tarafın müşterilerin kargo bilgilerine eriştiğini duyurmuştu. 26 Ekim'deki güncel açıklamada ise 2024-2026 yılları arasında yapılan alışverişlere ait 25.964 alıcı kaydının etkilendiği belirtildi. Bu kayıtlar; ad, iletişim bilgileri, teslimat adresi ve sipariş ayrıntılarını içeriyor. Ödeme kartı, banka bilgileri ve kimlik numaraları sızmadı. Amazon ve diğer satış kanallarındaki alışveriş kayıtları bu ihlalden etkilenmedi.

Doğrulama Sistemi ve Sahte Cihaz Riski​

Keystone cihazlarının doğrulama süreci şu şekilde işliyor: Kullanıcı, şirketin doğrulama sayfasındaki QR kodu cihazıyla tarar; cihaz bu kodu şifreli biçimde çözümleyerek bir yanıt üretir ve kullanıcı bu yanıtı sayfaya girer. Doğru yanıt, cihazın anahtarı barındırdığını kanıtlar. Anahtarın yalnızca bu kontrol için kullanıldığını vurgulayan Keystone, anahtarın kurtarma ifadelerinin oluşturulması, özel anahtarların türetilmesi veya işlemlerin imzalanmasıyla hiçbir ilgisi olmadığını açıkladı. Dolayısıyla mevcut cihaz sahiplerinin kurtarma ifadeleri ya da özel anahtarları bu olaydan etkilenmedi.
Bununla birlikte, anahtara sahip olan herhangi biri doğru doğrulama kodlarını üretebilir. Bu durum, sahte bir cihazın doğrulama testini geçmesine ve kullanıcının kripto varlıklarının çalınmasına zemin hazırlayabilir. Öte yandan anahtar, üretim sırasında her cihaza bir kez yazılıyor ve depolandığı bellek alanı yalnızca bir kez yazılabilir nitelikte. Cihazın yazılımı ikinci bir anahtarı kabul etmiyor. Bu nedenle halihazırda üretilmiş cihazlara yeni anahtar yüklenemiyor. Keystone, şu ana kadar sahte cihaz ya da kripto hırsızlığına dair herhangi bir vakayı raporlamadı.

Müşteri Verilerindeki Eksik Silme Sorunu​

Olayın dikkat çeken bir başka boyutu da veri saklama süreciyle ilgili. Keystone, her siparişin tamamlanmasından 180 gün sonra kargo bilgilerini silmeyi taahhüt etmişti. Ancak şirketin toplu silme işlemleri için geliştirdiği otomatik araç güvenilir biçimde çalışmadı; bazı silme işlemleri başarısız oldu ve bu başarısızlıklar zamanında fark edilemedi. Bu nedenle silinmiş olması gereken bazı veriler hâlâ sistemde bulunuyordu.
Şirket, kişisel veri saklama süresini 180 günden 90 güne indirdiğini ve bu kararın hemen yürürlüğe girdiğini açıkladı. Shopify'dan 90 günden eski alıcı verilerini silmesini talep eden Keystone, bu işlemin 3 Kasım'a kadar tamamlanmasını bekliyor. Buna ek olarak Keystone, tamamlanmamış alışverişlere ait 12.873 kaydı da ihtiyat amacıyla bu sürecin kapsamına dahil etti. Söz konusu kayıtlar; ad, iletişim bilgileri ve kargo bilgilerini içeriyor.

Cihaz Sahiplerine Yönelik Uyarılar​

Keystone, farklı durumdaki kullanıcılar için ayrı ayrı yönlendirmeler yayımladı. Buna göre:

• 20 Ekim'den önce teslim alınan cihazlar: Doğrulama testini geçen cihazlar orijinal kabul edilebilir ve normal biçimde kullanılabilir.
• 20 Ekim'den sonra eski anahtarla teslim alınan cihazlar: Keystone destek ekibi ([email protected]) cihazın orijinal olduğunu teyit edene kadar kullanılmamalıdır. Şirket, bu sahiplere cihaz doğrulama sayfasındaki talimatları izlemelerini söyledi; ancak 27 Ekim itibarıyla söz konusu sayfada herhangi bir talimat yer almıyordu. Keystone ayrıca cihazın hangi anahtarı taşıdığının nasıl anlaşılacağını ya da bu tür bir cihaza zaten kripto göndermiş kullanıcıların ne yapması gerektiğini de açıklamadı.
• Keystone web sitesinden sipariş bekleyenler: Yeni anahtarlı cihazlar hazır olana kadar kargo durduruldu. 27 Ekim itibarıyla mağazada Keystone 3 Pro, 4-6 hafta içinde kargoya verilmesi beklenen bir ön sipariş olarak listeleniyor.
• Amazon veya yetkili satıcıdan satın alanlar: Kılavuz, cihazın nereden alındığına değil ne zaman teslim edildiğine göre uygulanıyor.
• Halihazırda kripto tutan kullanıcılar: Yalnızca bu olay nedeniyle kripto varlıklarını taşımaları gerekmiyor; ancak 20 Ekim sonrası eski anahtarlı cihaz sahipleri yukarıdaki adımları izlemelidir.

\nKeystone ayrıca kullanıcıları olası dolandırıcılık girişimlerine karşı uyardı. Para iadesi, cihaz değişimi, geri çağırma, cüzdan doğrulaması veya kripto taşıma yardımı teklif eden her türlü arama, mesaj, e-posta ya da mektup dolandırıcılık olarak değerlendirilmeli. Şirket hiçbir kullanıcıdan cihazını iade etmesini istemeyecek. Kurtarma ifadesi asla sipariş edilmeyen bir cihaza girilmemeli; bağlantılara tıklamak yerine tarayıcıya doğrudan keyst.one adresi yazılmalı.

Sıkça Sorulan Sorular​

Keystone'un doğrulama anahtarının çalınması mevcut cihaz sahiplerini nasıl etkiliyor?​

Çalınan anahtar yalnızca cihazların orijinalliğini doğrulamak için kullanılan mekanizmayla ilgili. Kurtarma ifadeleri, özel anahtarlar veya işlem imzalama süreçleri bu anahtarla bağlantılı değil. Dolayısıyla mevcut sahiplerin kurtarma ifadeleri ya da özel anahtarları bu olaydan doğrudan etkilenmedi. Ancak 20 Ekim'den sonra teslim alınan eski anahtarlı cihazlar, Keystone destek ekibinin teyidi olmadan kullanılmamalı.

Keystone neden 18.835 cihazı imha ediyor?​

Çalınan anahtar cihazlara üretim sırasında yazılıyor ve bu alan yalnızca bir kez yazılabildiğinden mevcut cihazlara yeni anahtar yüklenemiyor. Bu nedenle eski anahtarı taşıyan ve henüz satılmamış 18.835 cihaz imha edilecek; bundan sonra üretilecek tüm yeni cihazlar farklı bir anahtarla donatılacak.

Müşteri verileri ihlalinde hangi bilgiler sızdı, hangileri güvende kaldı?​

İhlalden etkilenen 25.964 alıcı kaydı; ad, iletişim bilgileri, teslimat adresi ve sipariş ayrıntılarını içeriyor. Ödeme kartı, banka bilgileri ve kimlik numaraları sızmadı. Amazon ve diğer satış kanallarındaki alışveriş kayıtları da bu ihlalden etkilenmedi.

Keystone neden silinmesi gereken müşteri verilerini hâlâ saklıyordu?​

Şirket, sipariş tamamlandıktan 180 gün sonra kargo bilgilerini silmeyi taahhüt etmişti. Ancak toplu silme işlemleri için geliştirilen otomatik araç güvenilir biçimde çalışmadı; bazı silme işlemleri başarısız oldu ve bu başarısızlıklar zamanında fark edilemedi. Bu nedenle silinmiş olması gereken bazı veriler sistemde kalmaya devam etti.

Saldırgan Keystone sistemine nasıl erişim sağladı?​

Keystone'a göre saldırgan, şirketin web sitesinde kullanılan üçüncü taraf bir veri izleme aracındaki güvenlik açığından yararlanarak yetki yükseltme işlemi gerçekleştirdi. Bu sayede müşteri verilerine ve doğrulama anahtarına ulaşabildi. Şirket, açığın kapatıldığını belirtti; ancak saldırganın sisteme ilk ne zaman girdiğini açıklamadı.