חברת Keystone הודיעה ב-26 באוקטובר 2026 שתוקף הגיע למפתח שבו המכשירים שלה מוכיחים שהם מקוריים. מפתח כזה מאפשר בניית מכשירים מזויפים שיעברו את בדיקת האותנטיות, ולכן החברה תשמיד 18,835 מכשירים שטרם נמכרו.
הפרטים
לפי החברה, התוקף ניצל פגיעות בכלי ניטור נתונים של צד שלישי באתר, הסלים הרשאות וקיבל גישה לנתוני לקוחות ולמפתח. הגישה זוהתה ונחסמה ב-20 באוקטובר. החברה לא פירטה היכן המפתח נשמר ומתי התוקף נכנס לראשונה. המפתח נכתב בייצור ואי אפשר להחליף אותו במכשירים קיימים, ולכן מכשירים חדשים יקבלו מפתח חדש.
לדברי Keystone, ביטויי שחזור ומפתחות פרטיים לא היו מעורבים: המפתח משמש רק לבדיקת האותנטיות. עוד לא דווח על מכשירים מזויפים או על גניבת כספים. בנפרד, ב-24 באוקטובר פורסם שנחשפו פרטי משלוח של 25,964 רשומות קונים מרכישות באתר בין 2024 ל-2026, ללא פרטי תשלום. מחיקה אוטומטית של נתונים אחרי 180 יום לא פעלה באופן אמין, והשמירה תקוצר ל-90 יום.
נקודות לשים לב
- אם קיבלת מכשיר לפני 20 באוקטובר והוא עובר את בדיקת האותנטיות, לפי החברה אפשר להמשיך להשתמש בו.
- אם קיבלת מכשיר אחרי 20 באוקטובר עם המפתח הישן, אל תשתמש בו עד שהתמיכה של החברה תאשר שהוא מקורי.
- אין צורך להעביר כספים ממכשיר ישן רק בגלל האירוע, אך אל תזין ביטוי שחזור במכשיר שלא הזמנת בעצמך.
- היזהר מהודעות על החזרים, החלפות או "אימות ארנק": החברה מסרה שלא תבקש להחזיר מכשיר. הקלד את כתובת האתר הרשמית ישירות בדפדפן.
- שאלות פתוחות: איך בעל מכשיר יכול לדעת באיזה מפתח הוא מצויד, ומה לעשות אם כבר נשלחו כספים למכשיר עם המפתח הישן.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
