Kripto cüzdan üreticisi binlerce cihazı imha edecek

Şirketin incelemesine göre saldırgan, internet sitesinde kullanılan üçüncü taraf bir izleme aracındaki açıktan yararlanarak erişim yetkisini genişletti. Bu yolla bazı müşteri bilgilerine ve cihazların orijinalliğini kontrol etmekte kullanılan anahtara ulaştı. Böylece başlangıçta müşteri verileriyle gündeme gelen ihlalin, ürün doğrulama sistemini de etkilediği ortaya çıktı.

SAHTE CİHAZLAR DOĞRULAMADAN GEÇEBİLİR

Keystone, ele geçirilen anahtarın üretim sırasında cihazlara yazıldığını ve sonradan silinemediğini ya da değiştirilemediğini belirtti. Şirkete göre saldırganlar bu anahtarı kullanarak doğrulama kontrolünden geçen sahte cihazlar üretebilir. Bu ürünlerin gerçek sanılarak kullanılması, kripto varlıkların çalınmasına yol açabilir.

Şirket, eski anahtarı taşıyan 18 bin 835 stok cihazını satmayacak veya müşterilere göndermeyecek. Resmî internet sitesindeki henüz gönderilmemiş siparişlerin sevkiyatı da durduruldu. Yeni doğrulama anahtarıyla üretim tamamlanana kadar satışlar ön sipariş üzerinden yürütülecek.

Çalınan anahtar, kullanıcıların cüzdan özel anahtarlarından farklı bir işlev taşıyor. Keystone, bu anahtarın kurtarma kelimelerinin oluşturulmasında veya işlemlerin imzalanmasında kullanılmadığını, ihlalin kullanıcıların kurtarma kelimelerini ve özel anahtarlarını kapsamadığını açıkladı.

TESLİM TARİHİNE GÖRE EK KONTROL İSTENİYOR

Şirket, olayın tespit edildiği 20 Ekim'den önce üretilip teslim edilen cihazların doğrulama işlevinin etkilenmediğini belirtiyor. Bu tarihten sonra teslim alınan ve eski anahtarı kullanan cihazlarda ise doğrulama testini geçmek tek başına yeterli sayılmıyor. Keystone, bu ürünlerin ek kontrolden geçirilmesi için müşteri desteğiyle iletişim kurulmasını istiyor.

Kullanıcılardan cihazlarını geri göndermeleri talep edilmiyor. Şirket, geri çağırma gerekçesiyle cihaz isteyen kişilere karşı uyardı. Yalnızca bu olay nedeniyle varlıkların başka bir cüzdana taşınmasının gerekmediğini de belirterek, varlık taşıma veya cüzdan doğrulama yardımı sunduğunu söyleyen mesajlara dikkat çekti.

İhlal, resmî sitenin Shopify mağazasında tutulan 25 bin 964 alıcı kaydını da kapsıyor. Bu kayıtlarda ad, iletişim bilgileri, teslimat adresleri ve sipariş bilgileri bulunuyordu. Keystone, 180 gün sonunda silinmesi gereken bazı verilerin otomatik silme aracındaki hatalar nedeniyle saklanmaya devam ettiğini kabul etti.

Şirket ayrıca ödemesi tamamlanmamış 12 bin 873 işlem kaydını incelemeye dahil etti. Müşteri bilgilerinin saklama süresini 180 günden 90 güne indirdiğini ve etkilenen kullanıcılara e-postayla bildirim yapacağını açıkladı.

Serkan KÖSE

Haberler.com