Keystone تتلف 18,835 محفظة أجهزة بعد سرقة مفتاح المصادقة

سرقة مفتاح WebAuth تدفع الشركة إلى تدمير مخزونها

أعلنت Keystone عن تلف 18,835 محفظة أجهزة لم تُشحن بعد، بعدما تمكن أحد المهاجمين من سرقة المفتاح التشفيري الذي تعتمده الشركة على توثيق أجهزتها كأصلية. في تحليل ثغرات نُشر يوم الاثنين 26 أكتوبر، أوضحت الشركة المصنّعة أن مفتاح WebAuth المسروق يُزرع بشكل دائم في الجهاز أثناء الإنتاج ولا يمكن إعادة كتابته أو محوه، ما يعني أن أي جهاز أُنتج به يمكن أن يُزوَّر ثم يجتاز فحص الأصالة الخاص بـKeystone رغم كونه مقلَّدًا. وهذا الفحص موجود أساسًا لمنع وصول الوحدات المزيفة إلى المشترين، وهو ما يجعل فقدان مفتاح على مستوى التصنيع خطيرًا إلى هذه الدرجة: فجهاز مقلَّد قد يُحمَّل على محفظة عملات رقمية يسيطر عليها المهاجم فعليًا، مع نجاحه في كل اختبارات الشركة، ولا مجال لإبطال المفتاح في الوحدات التي أُنتجت مسبقًا. تتبّع التحقيق الداخلي للشركة الاختراق إلى ثغرة في أداة خارجية لمراقبة البيانات سمحت للمهاجم بتوسيع صلاحياته على الموقع الرسمي. رُصدت نشاطات مشبوهة يوم الثلاثاء 20 أكتوبر، فعُطّلت الوظائف المتأثرة في الموقع وبدأ مراجعة جنائية، ثم أكدت الشركة يوم الجمعة 23 أكتوبر أن طرفًا ثالثًا حصل على معلومات شحن العملاء. التاجر المفتوح عبر الموقع معلّق حاليًا، وتحوّل المتجر إلى نموذج بيع مسبق، فيما لم تحدد Keystone موعدًا لاكتمال إنتاج بديل بمفتاح جديد. وفي التحديث الرسمي، أكدت الشركة أن عبارات الاسترداد والمفاتيح الخاصة وبيانات الدخول إلى المحافظ ومعلومات الدفع لم تُكشف، وأن الأجهزة التي سُلّمت قبل 20 أكتوبر تبقى آمنة للاستخدام إذا اجتازت التحقق من الأصالة، فيما تحتاج الوحدات التي استُلمت بعد ذلك إلى فحوص إضافية عبر خدمة العملاء. وقد قدمت Keystone تقارير تنظيمية في الاتحاد الأوروبي والمملكة المتحدة ودول أخرى، وتخطط لإطلاق أداة تتيح للمستخدمين التحقق من تعرض بياناتهم للاختراق، ولم تطلب من العملاء نقل أموالهم بدافع الحادثة وحده، محذّرةً المشترين من تجاهل رسائل استدعاء احتيالية تطلب منهم إعادة أجهزتهم.

@KeystoneWallet · منشور على X

التحديث الرسمي.

عرض على X

25,964 سجل مشترٍ بقيت متجاوزة موعد الحذف

كشف التحقيق ذاته خللًا آخر في طريقة إدارة Keystone لبيانات عملائها. فمن أصل 51,083 سجل مشترٍ على Shopify خضعت للمراجعة، ما زالت 25,964 سجلًا تحمل معلومات شخصية تشمل الأسماء وعناوين الشحن وبيانات التواصل وسجل الشراء الممتد من 2024 إلى 2026. وقد اعترفت الشركة بأن نظام الحذف الآلي لديها تعطل، فبقيت المعلومات محفوظة بعد نافذة الاحتفاظ البالغة 180 يومًا التي وعدها بها العملاء. وقالت الشركة في بيانها: "فشلنا في الوفاء بالتزامنا بحذف بيانات العملاء في الوقت المحدد، ونتحمل المسؤولية". أما 25,000 سجل أخرى فقد حُذفت نهائيًا بالفعل بموجب سياسة الاحتفاظ، غير أن الفجوة أثبتت أن أدوات الحذف لم تعمل بموثوقية. وحدد المحققون أيضًا 12,873 سجل دفع غير مكتمل يحتمل أن يضم تفاصيل حساسة، أُضيفت الآن إلى قائمة الانتظار للحذف. وتقصر مدة الاحتفاظ بالمعلومات على 90 يومًا من الآن فصاعدًا، فيما يُتوقع أن تُستكمل طلبات الحذف المتأخرة التي قُدمت يوم السبت 24 أكتوبر قبل الثلاثاء 3 نوفمبر. وقد ظهر الاختراق بعد أن وصف أحد العملاء مكالمة هاتفية قامت على الهندسة الاجتماعية استُخدمت فيها معلومات طلب من Keystone، وأكدت الشركة المصنّعة سرقة بيانات الشحن في اعتذار نشرته يوم السبت 24 أكتوبر، بعد نحو 18 ساعة من ذلك التقرير. وليست Keystone الوحيدة التي تتأزّم: إذ بدأت رسائل تصيّد تصل إلى مستخدمي Foundation Passport في الساعات الأولى من صباح الاثنين، مرسَلة من نطاق Foundation نفسه بعد اختراق واحد أو أكثر من مفاتيح API على Cloudflare. وتحصي الشركة أكثر من 20,000 محاولة تصيّد وصلت عبر أنظمتها، ولا تزال تحدد عدد المستخدمين الذين كشفت بياناتهم الشخصية. وقد اعتمدت الرسائل على أساليب تخويف تتعلق بوحدة العرض، على غرار أجهزة Ledger المخترقة حديثًا. وتُرجع Foundation التسريب إلى عمليات نقل قواعد بيانات ناقصة الترجّل لم تُحجب فيها جداول الطلبات القديمة، وتقول إن طلبات Shopify الأحدث قد تكون تأثرت أيضًا، مع أنها كانت قد طمأن العملاء سابقًا إلى حذف بياناتهم آليًا خلال 60 يومًا.

@KeystoneWallet · منشور على X

اعتذار.

عرض على X

القاسم المشترك بين الحادثتين أن الجهازين لم يُخترقا في ذاتهما؛ بل وقع الفشل في الطبقة التشغيلية: بنية الويب، ونظافة مدد الاحتفاظ بالبيانات، وترحيل قواعد البيانات. هذا يحوّل الخطر العملي نحو التصيّد. فتسريب الأسماء والعناوين وسجلات الطلبات يجعل المكالمات والرسائل الاحتيالية مقنعة، وقد أنتجت حادثة تجسس Ledger الأخيرة مع خلل توليد العبارات السرية في Coldcard خسائر تجاوزت 200 مليون دولار عبر مسارات مماثلة من الهندسة الاجتماعية. وتأكيد Keystone أن عبارات الاسترداد لم تمسّ هو الخبر الأكثر طمأنة هنا، لأن تسريب عبارة الاسترداد يعرّض كل عنوان تشتقه محفظة HD للخطر. ولمن يحتفظ بمحفظة باردة، يجب أن يتم التحقق عبر القنوات الرسمية فقط، وأن يُقابل أي رسالة استدعاء أو استرداد بالشك حتى يُثبت مصدرها. وتذكّر الحادثة أيضًا أن كثيرًا من الضرر الفعلي يعود إلى أخطاء شائعة عند استخدام محافظ الأجهزة أو إلى إخفاقات من جهة الشركة المصنّعة، لا إلى عطل في العتاد ذاته.