خلاصه:
- کی‌استون در ۲۰ اکتبر دسترسی غیرمجاز به وب‌سایت را شناسایی کرد و در ۲۳ اکتبر افشای داده‌های مشتریان را تأیید نمود.
- سوابق افشاشده شامل نام مشتریان، ایمیل‌ها، شماره تلفن‌ها، آدرس‌های ارسال، محصولات و قیمت‌ها بود.
- کی‌استون اعلام کرد جزئیات پرداخت، رمزهای کیف پول، کلیدهای خصوصی و عبارات بازیابی به خطر نیفتاده‌اند.
- کی‌استون مهاجم، تعداد مشتریان آسیب‌دیده یا مدت زمان دسترسی به وب‌سایت را شناسایی نکرده است.
کی‌استون هاردور والت تأیید کرد که دسترسی غیرمجاز به وب‌سایتش نام مشتریان، جزئیات تماس، آدرس‌های ارسال و سوابق خرید را افشا کرده است. این نشت که در ۲۰ اکتبر ۲۰۲۶ شناسایی شد، سه روز بعد و پس از بررسی فعالیت رابط برنامه‌نویسی کاربردی شاپیفای تأیید شد.
در افشای ۲۴ اکتبر، سازنده کیف پول سخت‌افزاری اعلام کرد که یک شخص ثالث غیرمجاز اطلاعات سفارش را به دست آورده است. این شرکت دسترسی را مسدود کرد، آسیب‌پذیری شناسایی‌شده را برطرف کرد و تحقیقاتی را آغاز نمود، در حالی که تعداد مشتریان آسیب‌دیده اعلام نشد. هیچ آمار از تراکنش‌های آسیب‌دیده همراه با این افشا منتشر نشد.
کی‌استون پس از دسترسی غیرمجاز به وب‌سایت، افشای داده‌های مشتریان را تأیید کرد
کی‌استون هاردور والت تأیید کرد که یک شخص ثالث پس از دسترسی غیرمجاز به وب‌سایت رسمی‌اش، اطلاعات ارسال و سفارش مشتریان را به دست آورده است. این حادثه در ۲۰ اکتبر شناسایی شد،… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) ۲۴ اکتبر ۲۰۲۶
این حادثه سوابق مرتبط با خرید دستگاه‌های ذخیره‌سازی ارز دیجیتال را افشا کرد، نه اطلاعات ذخیره‌شده در خود کیف پول‌ها. سوابق به خطر افتاده محصولات و قیمت‌های خریداری‌شده را همراه با هویت مشتریان و مکان‌های تحویل فهرست می‌کرد. اطلاعات آسیب‌دیده خرید دستگاه‌ها را به مشتریان قابل شناسایی مرتبط می‌کرد، اما هیچ به خطر افتادن اعتبارنامه کیف پول گزارش نشد.
نفوذ به وب‌سایت کی‌استون سفارش‌ها و آدرس‌های مشتریان را افشا کرد
بر اساس سیاست حفظ حریم خصوصی شرکت، شاپیفای فروشگاه آنلاین سازنده را اداره می‌کند و اطلاعات سفارش آن را پردازش می‌نماید. این سیاست همچنین می‌گوید سوابق پس از ۱۸۰ روز در صورتی که مشتریان سفارش دیگری ثبت نکرده باشند، حذف می‌شوند.
مقرره حذف مشخص نمی‌کند که کدام خریدهای تاریخی در این نشت گنجانده شده‌اند. با این حال، افشا تاریخ‌های خرید آسیب‌دیده را مشخص نکرد و روشن نساخت که دسترسی غیرمجاز چه مدت ممکن بوده است.
تحقیق‌کنندگان به‌طور عمومی این نفوذ را به کسی نسبت نداده‌اند یا روش دقیق ورود به وب‌سایت را توضیح نداده‌اند. مشتریان آسیب‌دیده از طریق ایمیل مطلع می‌شدند. این شرکت همچنین گفت گزارش کامل‌تری از حادثه منتشر خواهد شد، هرچند تاریخ انتشار آن را اعلام نکرد.
کی‌استون اعلام کرد شماره کارت‌های پرداخت، جزئیات حساب بانکی، رمزهای کیف پول، کلیدهای خصوصی و عبارات بازیابی افشا نشده‌اند. کیف پول‌های آن از امضای تراکنش آفلاین استفاده می‌کنند و ارتباط از طریق کد QR اتصالات مستقیم به دستگاه‌های متصل به اینترنت را محدود می‌کند.
کلیدهای خصوصی امن می‌مانند در حالی که هشدارهای فیشینگ تشدید می‌شود
با این حال، این شرکت به مشتریان درباره پیشنهادهای بازپرداخت جعلی، طرح‌های دستگاه جایگزین و پیام‌هایی که ادعا می‌کنند کمک به سفارش ارائه می‌دهند هشدار داد. چنین رویکردهایی ممکن است از طریق ایمیل، تماس تلفنی یا پیامک ظاهر شوند.
به مشتریان توصیه شد که عبارات بازیابی یا کلیدهای خصوصی را به اشتراک نگذارند، عبارات بازیابی را در دستگاه‌های جایگزین غیرمنتظره وارد نکنند یا پیوندهای مشکوک را دنبال نکنند. این شرکت همچنین بر تأیید از طریق کانال‌های ارتباطی رسمی تأکید کرد.
این نشت به دیگر حوادث داده‌های مشتریان مرتبط با فروشندگان کیف پول سخت‌افزاری می‌پیوندد. در ماه اوت، ترزور افشا کرد که یک نشت در ارائه‌دهنده حمل‌ونقل ShipMonk رخ داده و بعداً حدود ۶۷٬۰۰۰ مشتری آسیب‌دیده اضافی در ایالات متحده را شناسایی کرد.
سیف‌پال نیز افشا کرد که یک نقص مجوز ردیابی سفارش ۳۹٬۷۹۸ مشتری را تحت تأثیر قرار داده است. در آن مورد، سوابق شخصی و خرید افشا شد بدون آنکه اعتبارنامه کیف پول مستقیماً به خطر بیفتد.
در میان این حوادث، اطلاعات افشاشده در سیستم‌های سفارش یا تحقق قرار داشت، نه در مکانیزم‌های امضای کیف پول. کی‌استون هنوز تعداد مشتریان آسیب‌دیده، روش دسترسی زیربنایی یا بازه زمانی افشا را به‌طور عمومی اعلام نکرده است.
مطلب کی‌استون پس از دسترسی غیرمجاز به وب‌سایت، نشت داده‌های مشتریان را تأیید کرد ابتدا در Blockonomi منتشر شد.