شرکت کی‌استون، سازنده کیف پول‌های سخت‌افزاری بیت‌کوین، پس از آن‌که مهاجمان به کلید دائمی کارخانه‌ای این شرکت دسترسی پیدا کردند، ارسال سفارش‌های ارسال‌نشده را متوقف کرده و تصمیم گرفته است ۱۸٬۸۳۵ دستگاه فروخته‌نشده را از بین ببرد. این کلید برای بررسی اصالت دستگاه‌ها استفاده می‌شد و افشای آن می‌تواند به تولید کیف پول‌های جعلی‌ای منجر شود که در نگاه نخست معتبر به نظر می‌رسند.
این رخداد فقط به زنجیره تأمین دستگاه‌ها محدود نیست. اطلاعات ۲۵٬۹۶۴ خریدار کی‌استون نیز در معرض خطر قرار گرفته است؛ داده‌هایی که نام، اطلاعات تماس، نشانی ارسال و اطلاعات سفارش را شامل می‌شود. به گفته شرکت، عبارت‌های بازیابی و کلیدهای خصوصی کاربران در این حادثه درگیر نبوده‌اند و دستگاه‌هایی که پیش از ۲۰ اکتبر تحویل داده شده‌اند، تحت تأثیر این مشکل قرار ندارند. این گزارش نخستین‌بار از سوی Decrypt منتشر شد.
کلید اصالت چه نقشی دارد؟
کی‌استون از کلیدی با عنوان WebAuth استفاده می‌کرد؛ یک کد محرمانه که هنگام تولید در هر دستگاه قرار می‌گرفت و وب‌سایت شرکت با تکیه بر آن می‌توانست اصالت سخت‌افزار را بررسی کند. این کلید قابل پاک شدن یا بازنویسی نیست. بنابراین، از نظر شرکت، دستگاه‌های موجودی که این کلید را در خود دارند دیگر نباید وارد بازار شوند؛ حتی اگر ظاهراً سالم و نو باشند.
خطر اصلی این است که مهاجم بتواند با استفاده از کلید افشاشده، دستگاه‌هایی بسازد که بررسی اصالت کی‌استون آن‌ها را معتبر تشخیص دهد. چنین محصولی ممکن است از نظر ظاهری با نمونه اصلی تفاوتی نداشته باشد، اما خریدار می‌تواند بدون اطلاع از جعلی بودن آن، دارایی دیجیتال خود را روی دستگاه قرار دهد. کی‌استون هشدار داده است که این سناریو در نهایت می‌تواند به سرقت دارایی منجر شود.
کیف پول سخت‌افزاری معمولاً برای نگهداری آفلاین کدهای محرمانه کنترل‌کننده دارایی‌های رمزارزی به کار می‌رود. در نتیجه، اعتماد به اصالت دستگاه و مسیر تهیه آن اهمیت اساسی دارد. شرکت اعلام کرده است که فروش در وب‌سایتش تا زمان تکمیل تولید دستگاه‌هایی با کلید جدید، به شکل پیش‌فروش انجام خواهد شد. ارسال همه سفارش‌هایی که هنوز از سایت کی‌استون خارج نشده‌اند نیز متوقف شده است.
اطلاعات خریداران و خطای نگهداری داده‌ها
کی‌استون در ابتدا اعلام کرده بود که شخص ثالثی به اطلاعات ارسال مشتریان دسترسی پیدا کرده است. در بیانیه بعدی، شرکت هم افشای کلید اصالت و هم شمار سوابق درگیر را توضیح داد، اما نگفت چه کسی مسئول حمله بوده یا مهاجم از چه زمانی به اطلاعات دسترسی داشته است.
در مجموع، ۵۱٬۰۸۳ سابقه خریدار در فروشگاه Shopify کی‌استون درگیر بوده است. با این حال، اطلاعات شخصی ۲۵٬۱۱۹ سابقه پیش‌تر حذف شده بود و ۲۵٬۹۶۴ سابقه باقی‌مانده، مربوط به بازه ۲۰۲۴ تا ۲۰۲۶، همچنان شامل نام، اطلاعات تماس، نشانی ارسال و جزئیات سفارش بود. خریدهایی که از طریق آمازون یا کانال‌های دیگر انجام شده‌اند، تحت تأثیر این رخداد قرار نگرفته‌اند.
کی‌استون پیش‌تر متعهد بود اطلاعات خریداران را پس از ۱۸۰ روز حذف کند، اما ابزار حذف گروهی خودکار شرکت به‌طور قابل اتکا کار نکرده بود. شرکت پذیرفته است که بخشی از فرایندهای حذف با شکست مواجه شد و این مشکل به‌موقع شناسایی و برطرف نشد. کی‌استون اکنون دوره نگهداری داده‌ها را به ۹۰ روز کاهش داده و در ۲۴ اکتبر از Shopify خواسته است همه داده‌های سررسیدشده را حذف کند. این فرایند یک دوره انتظار ۱۰روزه دارد و شرکت انتظار دارد تا ۳ نوامبر پایان یابد.
هشدار درباره کلاهبرداری‌های بعدی
کی‌استون از کاربران خواسته است مراقب پیام‌هایی با عنوان «انتقال دارایی»، «تأیید کیف پول» یا «کمک به تحقیقات» باشند. شرکت تأکید کرده است که از مشتریان نخواهد خواست دستگاه خود را پس بفرستند. بنابراین، هر فردی که با بهانه فراخوان یا بررسی امنیتی از کاربر بخواهد دستگاه را برای او ارسال کند، باید کلاهبردار تلقی شود.
اهمیت اطلاعاتی مانند نام و نشانی فقط به حملات آنلاین محدود نمی‌شود. چنین داده‌هایی می‌توانند نشان دهند چه کسی احتمالاً دارایی رمزارزی نگهداری می‌کند و در برخی موارد، خطر حمله فیزیکی برای وادار کردن مالک به انتقال دارایی را افزایش دهند. در بازار کیف پول‌های رمزارزی، نمونه‌های قبلی افشای اطلاعات مشتریان نیز گزارش شده است؛ از جمله رخدادهای مرتبط با Ledger، Trezor و SafePal که در منبع به آن‌ها اشاره شده است.
کی‌استون اعلام کرده گزارش‌هایی را به مقام‌های مسئول در اتحادیه اروپا، بریتانیا و حوزه‌های قضایی دیگر ارائه کرده است. این شرکت همچنین در حال نابود کردن موجودی ۱۸٬۸۳۵ دستگاهی است که کلید افشاشده را در خود دارند؛ اقدامی که هدف آن جلوگیری از ورود نمونه‌های قابل جعل به بازار است.
تصویر بازار رمزارز به روایت داده‌های Moneyiar
بر اساس داده‌های بازار Moneyiar در زمان ثبت‌شده، قیمت بیت‌کوین ۸۰٬۴۳۰٫۵۱ دلار بوده و این رمزارز در ۲۴ ساعت گذشته ۰٫۰۸ درصد و در هفت روز گذشته ۱٫۳۲ درصد کاهش داشته است. اتریوم نیم‌سرویس با قیمت ۵٫۲۷ دلار، افت ۰٫۴۵ درصدی روزانه و کاهش ۲٫۰۲ درصدی هفتگی را نشان می‌دهد.
کامپاند با قیمت ۲۱٫۱۳ دلار در ۲۴ ساعت ۱۰٫۴۲ درصد افت کرده، اما تغییر هفت‌روزه آن ۰٫۳۰ درصد مثبت بوده است. قیمت AKEDO نیز ۰٫۰۳۱۰۲ دلار ثبت شده و این دارایی در بازه روزانه ۰٫۸ درصد و در بازه هفت‌روزه ۲٫۵ درصد رشد داشته است. این ارقام، داده‌های Moneyiar در زمان ثبت در ۲۵ اکتبر ۲۰۲۶ هستند و ارتباطی با علت یا پیامدهای رخداد امنیتی کی‌استون ندارند.
