قالت شركة Keystone، المصنّعة لمحافظ الأجهزة، إن المهاجم الذي اخترق موقعها الإلكتروني الأسبوع الماضي سرق أيضًا مفتاحًا يُستخدم للتحقق من أصالة أجهزتها، ما وسّع نطاق حادثة كُشف عنها في البداية بوصفها تسريبًا لبيانات العملاء.
وفي بيان صدر يوم الاثنين، قالت Keystone إن مفتاح المصادقة المسروق قد يتيح للمهاجمين تصنيع محافظ مزيّفة تجتاز اختبارات التحقق من الأصالة التي تجريها الشركة.
وقالت Keystone: «قد تُباع هذه الأجهزة للعملاء أو تُرسل إليهم، فيستخدمونها من دون علمهم على أنها منتجات أصلية، ما قد يؤدي إلى سرقة الأصول».
تُضاف هذه الحادثة إلى سلسلة الهجمات التي استهدفت هذا العام الشركات المصنّعة لمحافظ الأجهزة.
في وقت سابق من هذا الشهر، طلبت Ledger من موزّعيها في أنحاء جنوب شرق آسيا وهونغ كونغ تعليق المبيعات، عقب ورود تقارير تفيد بأن الأجهزة المباعة في المنطقة تحتوي على زرعات غير مصرّح بها قادرة على التقاط عبارات الاسترداد.
في أواخر يوليو، أصدرت Coinkite، الشركة المصنّعة لمحفظة Coldcard، تحذيرًا للمستخدمين بعد أن استغل مهاجمون خللًا تسبّب في إنشاء أجهزتها بذورًا للمحافظ ذات عشوائية أقل من المستوى المقصود، ما أدى إلى سرقة ملايين الدولارات من العملات المشفرة.
Keystone ستتلف أكثر من 18,000 جهاز يحتوي على مفتاح قديم
في أحدث تحديث لها، قالت Keystone إن المهاجم استغل ثغرة في أداة مراقبة تابعة لجهة خارجية يستخدمها موقعها الإلكتروني لرفع مستوى صلاحياته.
«مكّن ذلك المهاجم من الحصول على بعض معلومات العملاء ومفتاح يُستخدم للتحقق من أصالة أجهزتنا».
قالت Keystone إنها تعتزم إتلاف 18,835 جهازًا من مخزونها تحتوي على المفتاح المخترق، كما علّقت شحنات الإنتاج لجميع الأجهزة التي تستخدمه.
وقالت الشركة إن الشحنات ستُستأنف بمجرد بدء إنتاج أجهزة بمفتاح مصادقة جديد.
قالت Keystone إن الأجهزة المصنّعة والمسلّمة قبل حادثة 20 أكتوبر ينبغي اعتبارها آمنة، وإن عمليات التحقق من أصالتها لا تزال موثوقة.
لكنها لم تستطع ضمان أصالة الأجهزة التي سُلّمت بعد ذلك التاريخ، وحثّت العملاء المتضررين على التواصل مع فريق الدعم لإجراء تحقق إضافي.
Keystone تؤكد تسريب سجلات 25,964 مشتريًا
كما كشفت Keystone عن حجم اختراق بيانات العملاء، وقالت إن متجر Shopify على موقعها الإلكتروني أنشأ 51,083 سجلًا للمشترين.
ومن بين هذه السجلات، حُذف 25,119 وفقًا لسياسة الاحتفاظ بالبيانات لمدة 180 يومًا.
لكن المهاجم سرق السجلات الـ25,964 المتبقية، التي يعود تاريخها إلى الفترة من 2024 إلى 2026. وقالت Keystone إن الإدخالات الأقدم لم تُحذف بسبب عطل في أداتها الآلية المستخدمة لمعالجة عمليات الحذف الجماعي للبيانات.
وقالت Keystone: «لم تعمل الأداة على نحو موثوق. فشلت بعض مهام الحذف، ولم نرصد هذه الإخفاقات ونعالجها في الوقت المناسب، ما أدى إلى الاحتفاظ ببعض المعلومات الشخصية لمدة تتجاوز الفترة المسموح بها».
بالإضافة إلى ذلك، تمكّن المهاجم من سرقة 12,873 سجلًا آخر لعمليات الدفع الخاصة بالعملاء تحتفظ بها Shopify، وهي معلومات عن عمليات شراء لم تكتمل.
قالت Keystone إنها تواصلت مع Shopify لطلب حذف المعلومات الشخصية الواردة في سجلات الدفع المحتفظ بها لأكثر من 30 يومًا.
تذكّر هذه الحادثة باختراق البيانات الذي تعرّضت له Ledger في يونيو 2020، وكشف عن أكثر من مليون عنوان بريد إلكتروني، إلى جانب أسماء العملاء وأرقام هواتفهم وعناوينهم الفعلية. وقد غذّت المعلومات المسرّبة محاولات التصيّد الاحتيالي التي استهدفت المستخدمين المتضررين لسنوات.
كما تعرضت شركات مصنّعة أخرى لمحافظ الأجهزة هذا العام لاختراقات شملت معلومات العملاء وخدمات الجهات الخارجية.
في أغسطس، كشفت Trezor عن اختراق لدى شريك الشحن التابع لها أدى إلى كشف معلومات العملاء، وارتفع عدد المستخدمين المتضررين إلى أكثر من 80,000 في سبتمبر.
وأبلغت SafePal أيضًا في أغسطس عن ثغرة في تتبّع الطلبات كشفت بيانات تخص نحو 40,000 عميل، بينما استُهدفت BitBox في حملة تصيّد احتيالي في سبتمبر شملت مزوّد بريد إلكتروني مخترقًا تابعًا لجهة خارجية.
المجلة: 5 بدائل لـLedger لتخزين عملة Bitcoin