شرکت Keystone Wallet به جدیدترین ارائه‌دهنده بزرگ کیف پول سخت‌افزاری تبدیل شده که یک مشکل امنیتی را گزارش می‌کند. این شرکت اعلام کرد که دسترسی غیرمجاز به وب‌سایتش منجر به افشای اطلاعات مشتریان شده است.
این رخنه در دوره‌ای حساس برای صنعت کیف پول‌های سخت‌افزاری رخ می‌دهد، چرا که دو غول این حوزه، یعنی لجر (Ledger) و ترزور (Trezor)، نیز از تابستان امسال با حوادث امنیتی جداگانه‌ای مواجه بوده‌اند.
افشای اطلاعات مشتریان Keystone
این شرکت در آخر هفته اعلام کرد که در تاریخ ۲۰ اکتبر، دسترسی غیرمجازی به وب‌سایت رسمی خود را شناسایی کرده است. تیم Keystone چند روز بعد، پس از بررسی فعالیت API در پلتفرم Shopify، تأیید کرد که یک شخص ثالث غیرمجاز به اطلاعات حمل‌ونقل مشتریان دست یافته است.
داده‌های افشا شده شامل نام، اطلاعات تماس، آدرس‌های حمل‌ونقل و اطلاعات سفارش مانند محصولات خریداری شده و قیمت آن‌ها است. با این حال، Keystone اطمینان داد که اطلاعات کارت پرداخت، اطلاعات بانکی، رمزهای عبور کیف پول، عبارات بازیابی و کلیدهای خصوصی به خطر نیفتاده‌اند.
این تولیدکننده کیف پول سخت‌افزاری از آن زمان دسترسی غیرمجاز را مسدود کرده، آسیب‌پذیری را برطرف نموده، تحقیقاتی را آغاز کرده و با مشتریان آسیب‌دیده تماس گرفته است. این شرکت همچنین وعده داده که در روزهای آینده گزارش دقیق‌تری ارائه خواهد کرد.
با این وجود، اطلاعات فاش شده یک مشکل امنیتی دیگر ایجاد می‌کند. اطلاع از اینکه فرد خاصی یک کیف پول سخت‌افزاری خریداری کرده و داشتن نام، اطلاعات تماس و آدرس فیزیکی او، به مجرمان اجازه می‌دهد تا حملات فیشینگ یا مهندسی اجتماعی بسیار هدفمندی را اجرا کنند.
در نتیجه، Keystone هشدار داد که کلاهبرداران ممکن است از طریق تماس‌های تلفنی، پیامک، ایمیل یا حتی نامه‌های فیزیکی، خود را به جای این شرکت جا بزنند و پیشنهاد بازپرداخت، دستگاه‌های جایگزین یا راه‌حل‌های جعلی ارائه دهند.
مشکلات برای لجر و ترزور
لجر در اوایل این ماه اعلام کرد که افراد سودجو دستگاه‌های اصلی توزیع شده از طریق برخی فروشندگان در جنوب شرقی آسیا را با نصب سخت‌افزار مخفی تغییر داده‌اند. این سخت‌افزار قادر بود عبارت بازیابی ۲۴ کلمه‌ای را در هنگام راه‌اندازی اولیه بخواند و آن را از طریق اتصال LTE ارسال کند.
این شرکت تأکید کرد که عنصر امن (Secure Element)، سیستم‌عامل و سرورهای داخلی آن به خطر نیفتاده‌اند و این طرح را یک حمله موضعی به کانال توزیع توصیف کرد، نه یک رخنه سیستمی در زیرساخت لجر.
گزارش‌های اولیه، سرقت بیش از ۸۶ میلیون دلار ارز دیجیتال را به دستگاه‌های آسیب‌دیده نسبت می‌دهند، هرچند لجر این رقم را تأیید نکرده است.
در اوایل تابستان امسال، ترزور با یک رخنه در شرکت ارائه‌دهنده خدمات لجستیکی ShipMonk مواجه شد که منجر به افشای نام، ایمیل، شماره تلفن، آدرس حمل‌ونقل و اطلاعات سفارش مشتریان گردید. این شرکت در ابتدا اعلام کرد که اطلاعات بیش از ۱۳,۰۰۰ مشتری آمریکایی افشا شده، اما این تعداد پس از افشاگری‌های جدیدتر به بیش از ۸۰,۰۰۰ نفر افزایش یافت.
اطلاعات ارائه شده در این مقاله صرفاً برای اهداف اطلاعاتی و آموزشی است و نباید به عنوان مشاوره مالی، سرمایه‌گذاری یا حقوقی تلقی شود. ما توصیه می‌کنیم قبل از انجام هر گونه سرمایه‌گذاری، تحقیقات مستقل انجام دهید و با یک مشاور مالی یا حقوقی مشورت کنید.
