شرکت کیستون (Keystone)، سازنده کیف پول‌های سخت‌افزاری که برای نگهداری آفلاین دارایی‌های دیجیتال طراحی شده‌اند، با یک مشکل امنیتی در فروشگاه آنلاین خود مواجه شده است. این شرکت روز شنبه اعلام کرد که یک عامل غیرمجاز به اطلاعات پستی مشتریان از طریق وب‌سایت آن دسترسی پیدا کرده است. این اتفاق می‌تواند به کلاهبرداران جزئیات شخصی لازم برای جعل هویت شرکت و فریب کاربران را بدهد.
کیستون تأکید کرده است که عبارت‌های بازیابی، کلیدهای خصوصی و اطلاعات پرداخت مشتریان به خطر نیفتاده‌اند. با این حال، این حادثه این سؤال نگران‌کننده را مطرح می‌کند که وقتی هویت و آدرس صاحب یک کیف پول آفلاین فاش می‌شود، این دستگاه تا چه حد می‌تواند امنیت ایجاد کند.
تأیید دسترسی غیرمجاز توسط کیستون
کیستون در شبکه اجتماعی X اعلام کرد که در تاریخ ۲۰ اکتبر متوجه یک دسترسی مشکوک شده و پس از آن، فعالیت رابط برنامه‌نویسی کاربردی (API) با شاپیفای (Shopify)، ارائه‌دهنده خدمات تجارت الکترونیک خود، را بررسی کرده است. تا ۲۳ اکتبر، شرکت تأیید کرد که یک شخص ثالث غیرمجاز به نام، اطلاعات تماس، آدرس پستی و جزئیات خرید مشتریان دست یافته است.
این شرکت می‌گوید که نفوذ را مسدود کرده، آسیب‌پذیری را برطرف نموده و اطلاع‌رسانی به مشتریان آسیب‌دیده را آغاز کرده است. با این حال، کیستون هنوز اعلام نکرده که چه تعداد از خریداران تحت تأثیر قرار گرفته‌اند یا این دسترسی غیرمجاز دقیقاً چگونه رخ داده است.
فرصتی برای کلاهبرداران
خطر اصلی در حال حاضر، خالی شدن کیف پول‌های سخت‌افزاری از راه دور نیست، بلکه استفاده از اطلاعات قانونی مشتریان برای طراحی یک فریب متقاعدکننده است. کیستون به مشتریان در مورد پیشنهادات جعلی بازپرداخت، دستگاه‌های جایگزین و پیام‌های ناخواسته‌ای که اطلاعات حساس درخواست می‌کنند، هشدار داده است. این شرکت تأکید کرد که هرگز عبارت‌های بازیابی یا کلیدهای خصوصی را از کاربران درخواست نمی‌کند.
یک روز قبل از تأیید رسمی این حمله توسط کیستون، یکی از کاربران X در این باره نوشته بود:
فقط برای اطلاع‌رسانی می‌گویم چون ۹۹٪ مطمئنم که پایگاه داده مشتریان شما به بیرون درز کرده است. من یک تماس از یک شماره جعلی پلیس مونترال (SPVM) دریافت کردم و آن شخص سعی در مهندسی اجتماعی من داشت.
OG Degen
به مشتریان توصیه می‌شود به جای کلیک روی لینک‌های غیرمنتظره، صحت ارتباطات را به طور مستقل از طریق وب‌سایت رسمی کیستون بررسی کنند.
ضربه‌ای دیگر به امنیت کیف پول‌های سخت‌افزاری در سال ۲۰۲۶
افشاگری کیستون در پی سالی دشوار برای تولیدکنندگان کیف پول‌های سخت‌افزاری صورت می‌گیرد. شرکت کولدکارد (Coldcard) با یک باگ بزرگ در تولید ضعیف اعداد تصادفی برای عبارت بازیابی (seed) و زیان‌های تخمینی قابل توجه مواجه شد، در حالی که لجر (Ledger) با گزارش‌هایی مبنی بر توزیع دستگاه‌های دستکاری‌شده از طریق یک فروشنده روبرو بود.
ترزور (Trezor) و سیف‌پال (Safepal) نیز نشت اطلاعات مشتریان را که شامل سیستم‌های سفارش یا تأمین شخص ثالث بود، فاش کردند. برخلاف حوادثی که عبارت‌های بازیابی را به خطر می‌اندازند، این افشاگری‌ها عمدتاً فرصت‌هایی برای فیشینگ و جعل هویت ایجاد کردند. در مورد کیستون، به نظر می‌رسد دفاع‌های رمزنگاری‌شده آن پابرجا مانده‌اند، اما سؤال نگران‌کننده این است که آیا اطلاعات شخصی مشتریان نیز از حفاظت مشابهی برخوردار بوده‌اند یا خیر.
اطلاعات ارائه شده در این مقاله صرفاً برای اهداف اطلاعاتی و آموزشی است و نباید به عنوان مشاوره مالی، سرمایه‌گذاری یا حقوقی تلقی شود. ما توصیه می‌کنیم قبل از انجام هر گونه سرمایه‌گذاری، تحقیقات مستقل انجام دهید و با یک مشاور مالی یا حقوقی مشورت کنید.
