Keystone מודה: ההאקרים גנבו גם את מפתח האימות של הארנקים, ו־18,835 מכשירים יושמדו

יצרנית ארנקי החומרה Keystone הודיעה ביום שני שהתוקף שפרץ לאתר שלה בשבוע שעבר גנב גם מפתח שמשמש לאימות המקוריות של המכשירים שלה. המשמעות המעשית חמורה בהרבה מדליפת פרטי לקוחות. מי שמחזיק במפתח יכול לייצר ארנק מזויף שיעבור את בדיקת האותנטיות של החברה, ולהכניס אותו לשרשרת האספקה כאילו יצא מהמפעל.

ארנק חומרה הוא סוג של ארנק קר: מכשיר פיזי ששומר את המפתחות של הקריפטו מחוץ למחשב המחובר לרשת. כל הערך שלו נשען על ההנחה שהמכשיר שבידיכם הוא באמת המכשיר שהיצרן בנה. לפי ההודעה של Keystone, המכשירים המזויפים "עלולים להימכר או להישלח ללקוחות, שישתמשו בהם בלי לדעת כמוצרים מקוריים, מה שעלול להוביל לגניבת נכסים".

איך נגנב המפתח, ולמה הוא מסוכן יותר מפרטי הלקוחות

בעדכון האחרון מסבירה החברה שהתוקף ניצל חולשה בכלי ניטור של צד שלישי שהאתר השתמש בו, וכך הצליח להסלים הרשאות (כלומר להשיג גישה רחבה יותר ממה שהמערכת אמורה לאפשר). "זה איפשר לתוקף להשיג חלק מפרטי הלקוחות ומפתח שמשמש לאימות המקוריות של המכשירים שלנו", נכתב בהודעה.

בדיקת מקוריות היא השלב שבו האפליקציה של היצרן מוודאת שהמכשיר שחיברתם אכן יוצר על ידו. בדרך כלל זו שכבת ההגנה שאמורה לתפוס מכשיר שעבר שינוי בדרך. כשהמפתח נמצא אצל התוקף, הבדיקה הזו כבר לא מבטיחה דבר לגבי מכשירים שנמסרו אחרי הפריצה. מכשיר מזויף יכול לעבור אותה בהצלחה ועדיין לחשוף את מילות השחזור שלכם, ומשם הדרך לריקון הארנק קצרה.

18,835 מכשירים לגריסה ותאריך הגבול של 20 באוקטובר

Keystone הודיעה שתשמיד 18,835 מכשירים במלאי שלה שמכילים את המפתח שנפרץ, והשעתה את משלוחי הייצור של כל המכשירים שמשתמשים בו. המשלוחים יתחדשו כשהחברה תתחיל לייצר מכשירים עם מפתח אימות חדש.

קו הגבול שהחברה מסמנת הוא 20 באוקטובר, מועד האירוע. מכשירים שיוצרו ונמסרו לפני התאריך הזה נחשבים לפי Keystone בטוחים, ובדיקת המקוריות שלהם נשארת אמינה. על מכשירים שנמסרו אחרי התאריך החברה אינה יכולה להתחייב, והיא מבקשת מהלקוחות האלה לפנות לצוות התמיכה לאימות נוסף.

המספרים של דליפת הנתונים

לצד המפתח, Keystone פירטה גם את היקף דליפת פרטי הלקוחות שנחשפה בתחילה. חנות השופיפיי של האתר יצרה 51,083 רשומות של קונים. מתוכן נמחקו 25,119 לפי מדיניות שמירת מידע של 180 יום.

הרשומות הישנות שנשארו לא נמחקו בגלל תקלה בכלי האוטומטי שמטפל במחיקה מרוכזת. "הכלי לא פעל באופן אמין. חלק ממשימות המחיקה נכשלו, ולא זיהינו וטיפלנו בכשלים בזמן, מה שהוביל לכך שמידע אישי מסוים נשמר מעבר לתקופה המותרת", כתבה החברה. רשומות הקופה שייכות לאנשים שהתחילו רכישה ולא סיימו אותה, ולפי Keystone ייתכן שגם להן הייתה לתוקף גישה. החברה פנתה לשופיפיי בבקשה למחוק מידע אישי ברשומות כאלה שנשמרות יותר מ־30 יום.

שנה רעה ליצרניות הארנקים

הפרשה של Keystone מצטרפת לשרשרת מתקפות שפגעו השנה ביצרניות ארנקי חומרה:

• סוף יולי: Coinkite, יצרנית Coldcard, הזהירה משתמשים אחרי שתוקפים ניצלו באג שגרם למכשירים לייצר זרעי ארנק (seed) עם פחות אקראיות מהמתוכנן, ונגנבו קריפטו בשווי מיליוני דולרים.
• אוגוסט: Trezor דיווחה על פריצה אצל שותפת המשלוחים שלה, ובספטמבר מספר המשתמשים שנפגעו עלה ליותר מ־80,000. באותו חודש דיווחה SafePal על חולשה במעקב הזמנות שחשפה נתונים של כמעט 40,000 לקוחות.
• ספטמבר: BitBox הייתה יעד לקמפיין פישינג דרך ספק דואר אלקטרוני חיצוני שנפרץ.
• אוקטובר: לדג'ר ביקשה ממשווקים בדרום מזרח אסיה ובהונג קונג להשעות מכירות, אחרי דיווחים על מכשירים שנמכרו באזור עם שתלים לא מורשים שמסוגלים ללכוד מילות שחזור. פרטים נוספים בכתבה על הפרשה של לדג'ר.

התקדים שמרחף מעל כל זה הוא דליפת הנתונים של לדג'ר מיוני 2020, שחשפה יותר ממיליון כתובות דואר אלקטרוני לצד שמות, מספרי טלפון וכתובות מגורים. המידע הזה הזין שנים של ניסיונות פישינג נגד הנפגעים, ובניגוד לסיסמה, כתובת מגורים אי אפשר להחליף.

מה לבדוק אם קניתם Keystone מישראל

מי שהזמין מהחנות הרשמית של Keystone בשנים 2024 עד 2026 צריך להניח שפרטי ההזמנה שלו עלולים להיות בידי התוקף. מכאן נגזרים כמה צעדים:

• בדקו מתי המכשיר שלכם נמסר. אם לפני 20 באוקטובר, לפי החברה בדיקת המקוריות שלו אמינה. אם אחרי, אל תפקידו בו כספים לפני שתפנו לתמיכה של Keystone לאימות נוסף.
• אם כבר העברתם כספים לארנק שנמסר אחרי התאריך, שקלו ברצינות להעביר אותם לארנק חדש ממקור ודאי, עם מילות שחזור חדשות.
• מכשיר שמגיע עם מילות שחזור מודפסות מראש, או שכבר הוגדר לפני שפתחתם אותו, הוא סימן אזהרה מובהק. ארנק אמיתי מייצר את המילים מולכם.
• התייחסו בחשדנות לכל חבילה, מכתב או הודעה שמציעים לכם "מכשיר חלופי" בעקבות הפריצה. פרטים אישיים שדלפו הם חומר גלם מוכר לפישינג, כפי שקרה לנפגעי הדליפה של לדג'ר.
• לעולם אל תקלידו את מילות השחזור באתר, באפליקציה או בטופס תמיכה. שום צוות תמיכה לגיטימי לא יבקש אותן.

אם אתם מתכננים לקנות ארנק חומרה בקרוב, העדיפו לרכוש ישירות מהיצרן או ממשווק שהוא מאשר באופן רשמי, ובדקו שאתם יודעים מתי המכשיר יוצר ונשלח. להגדרת ארנק וגיבוי מילות השחזור, ראו את המדריך לשמירת ביטקוין בבטחה.