פריצה לאתר של Keystone חשפה כתובות של קוני ארנקי חומרה, גם מהזמנות שהיו אמורות להימחק

יצרנית ארנקי החומרה Keystone הודיעה בשבת שגורם לא מורשה קיבל גישה לפרטי המשלוח של לקוחותיה: שמות, פרטי קשר, כתובות ופרטי הזמנה, כולל אילו מוצרים כל לקוח קנה. מי שמחזיק עכשיו ברשימה יודע מי קנה מכשיר שנועד לשמור קריפטו, ולאן הוא נשלח. החברה לא מסרה כמה לקוחות נפגעו.

ארנק חומרה הוא מכשיר פיזי קטן שמחזיק את המפתח הפרטי מחוץ למחשב ולטלפון, ולכן הוא הדוגמה המוכרת לארנק קר. המפתח נוצר בתוך המכשיר, והחנות המקוונת לא מחזיקה אותו. הקנייה עצמה, לעומת זאת, משאירה עקבות אצל המוכר, ואת העקבות האלה מישהו לקח הפעם.

איך התגלתה הגישה לנתוני ההזמנות

לפי ההודעה של Keystone, הפעילות החשודה זוהתה מוקדם יותר באותו שבוע. ביום שישי, אחרי בדיקה של פעילות ה-API (הממשק שדרכו מערכות מדברות זו עם זו) מול פלטפורמת המסחר שופיפיי, החברה אישרה שצד שלישי ניגש למידע. בשבת היא פרסמה את הדברים.

"חסמנו את הגישה, תיקנו את הפרצה, פתחנו בחקירה ואנחנו שולחים מיילים ללקוחות שנפגעו", כתבה החברה, והוסיפה התנצלות. Keystone עצמה הזהירה בעיקר מפני מתקפות פישינג ממוקדות, כלומר הודעות מתחזות שמשתמשות בפרטים אמיתיים כדי להיראות אמינות.

180 ימים על הנייר, שנתיים בפועל

החלק המטריד יותר בפרשה נוגע למידע שלא היה אמור להיות שם. בפוסט בבלוג מ-2023, אחרי אירועי אבטחה אצל יצרני ארנקי חומרה אחרים, Keystone הודיעה שקיצרה את תקופת שמירת נתוני הלקוחות ל-180 יום. לפי The Block, החברה מציגה את המחיקה כנוהל שחל "ברוב המקרים".

בפועל, לקוחות דיווחו ברשת X שקיבלו התראה על הדליפה למרות שקנו את המכשיר לפני יותר משנתיים. משתמש בשם trintaetres היה אחד מהם. שנתיים הן כ-730 ימים, יותר מפי ארבעה מחלון המחיקה שהחברה הצהירה עליו, ואם ההזמנות האלה היו נמחקות בזמן, לא היה אמור להיות מה לחשוף.

Cointelegraph פנה לחברה ושאל איך נחשף מידע מרכישות שבוצעו לפני יותר מ-180 יום, וכמה לקוחות נפגעו. עד מועד הפרסום לא התקבלה תשובה. כל עוד אין הסבר, לקוחות ותיקים של Keystone צריכים להניח שהפרטים שלהם נמצאים אצל התוקפים.

מטלפון של "שוטר" ועד מתקפת מפתח ברגים

משתמש בשם OG DEGEN סיפר ב-X על שיחה ממתחזה שהציג את עצמו כאיש אכיפת חוק שחוקר תיק הונאה. לפי הפרטים האישיים שהמתקשר הזכיר, המשתמש מעריך שהמידע הגיע מהזמנה שביצע ב-Keystone ב-2024. "אני חושב שהתוכנית שלהם הייתה לשכנע אותי שהמפתחות הפרטיים שלי נחשפו, ואז לשלוח לי קישור פישינג כדי לכאורה לאפס אותם", כתב.

חוקרת האבטחה טיילור מונהאן הרחיקה לכת והזהירה שכתובות משלוח שדלפו חושפות את הלקוחות גם לתקיפות פיזיות ולחטיפות. בתעשייה קוראים לזה wrench attack, "מתקפת מפתח ברגים". במקום לפרוץ לארנק, מאיימים על בעליו או פוגעים בו עד שהוא מעביר את המטבעות בעצמו. ארנק חומרה לא מגן מפני תרחיש כזה, כי מי שמחזיק במכשיר ובקוד הוא האדם שעומד מול התוקף.

הנתונים של חברת אבטחת הבלוקצ'יין CertiK נותנים לחשש בסיס מספרי. במחצית הראשונה של 2026 היא רשמה 52 תקיפות כאלה מאומתות ברחבי העולם, לעומת 39 באותה תקופה אשתקד, עלייה של 33%. רשימה שמצליבה שם, כתובת ורכישה של מכשיר קריפטו חוסכת לעבריין את שלב איתור המטרה.

מה לעשות אם הזמנתם מ-Keystone

אם הזמנתם מכשיר Keystone בשנים האחרונות, גם אם לא קיבלתם מייל, כדאי שתתנהגו כאילו הפרטים שלכם דלפו. כמה צעדים שאפשר לעשות כבר עכשיו:

• התייחסו בחשדנות לכל פנייה שמזכירה את ההזמנה, את המכשיר או "חשיפה של המפתחות". גורם לגיטימי, כולל משטרה ותמיכה טכנית של היצרן, לא יבקש מכם את מילות השחזור ולא ישלח קישור ל"איפוס" ארנק.
• אם מישהו מתקשר בשם רשות אכיפה, נתקו וחזרו למוקד הרשמי של אותו גוף ממספר שמצאתם בעצמכם.
• מיילים שמגיעים כביכול מ-Keystone בדקו לפי כתובת השולח, ואל תורידו מהם קבצים או עדכוני קושחה. עדכונים מורידים רק מהאתר הרשמי, בכתובת שאתם מקלידים ידנית.
• אם יש לכם סכום משמעותי בארנק, שקלו להחזיק את עיקר המטבעות בארנק נפרד ולהשאיר בארנק הגלוי סכום קטן שאפשר למסור תחת לחץ.
• בהזמנות הבאות של ציוד קריפטו, שקלו משלוח לנקודת איסוף או לכתובת עבודה במקום לבית, והימנעו מלהתהדר באחזקות ברשתות החברתיות.

מי שרוצה לבנות גיבוי שלא תלוי בחנות או ביצרן ימצא פירוט במדריך לשמירת ביטקוין וגיבוי מילות השחזור.

Keystone עדיין לא הסבירה כמה זמן שמרה בפועל את רשומות ההזמנות, ולא מסרה את מספר הלקוחות שנפגעו. אם תתקבל תשובה, נעדכן.