شرکت کی‌استون (Keystone)، سازنده کیف پول‌های سخت‌افزاری ارز دیجیتال، از یک رخنه امنیتی در وب‌سایت خود خبر داده است که اطلاعات مشتریان را در دسترس مهاجمان قرار داده و نگرانی‌هایی را درباره کلاهبرداری‌های هدفمند و حملات فیزیکی برانگیخته است.
شرکت کی‌استون روز شنبه اعلام کرد که در اوایل هفته فعالیت‌های مشکوکی را شناسایی کرده و روز جمعه، پس از بررسی فعالیت‌های رابط برنامه‌نویسی کاربردی (API) با پلتفرم شاپیفای (Shopify)، تأیید کرده است که یک شخص ثالث غیرمجاز به اطلاعات ارسال پستی مشتریان دسترسی پیدا کرده است. این اطلاعات شامل نام‌ها، مشخصات تماس، آدرس‌های پستی و سایر جزئیات سفارش از جمله اقلام خریداری‌شده بوده است.
این شرکت اعلام کرد:
ما دسترسی را مسدود کردیم، آسیب‌پذیری را برطرف نمودیم، تحقیقات را آغاز کرده‌ایم و در حال ارسال ایمیل به مشتریان آسیب‌دیده هستیم.
کی‌استون هشدار داد که اطلاعات فاش‌شده ممکن است برای حملات فیشینگ هدفمند مورد استفاده قرار گیرد. با این حال، تیلور موناهان (Taylor Monahan)، پژوهشگر امنیتی، نیز ابراز نگرانی کرد که لو رفتن آدرس‌های پستی می‌تواند مشتریان را در معرض حملات فیزیکی و آدم‌ربایی قرار دهد.
شرکت امنیت بلاک‌چین سرتیک (CertiK) در نیمه اول سال ۲۰۲۶، ۵۲ مورد حمله فیزیکی تأییدشده را در سراسر جهان ثبت کرده است که نسبت به ۳۹ مورد در بازه زمانی مشابه سال گذشته، ۳۳ درصد افزایش نشان می‌دهد. این‌گونه جرایم که در اصطلاح به آن‌ها حملات آچار (Wrench Attacks) گفته می‌شود، شامل استفاده از تهدیدهای فیزیکی یا خشونت برای مجبور کردن دارندگان ارزهای دیجیتال به تسلیم کردن دارایی‌هایشان است.
کی‌استون افزود:
بار دیگر، صمیمانه از تمام کسانی که تحت تأثیر این اتفاق قرار گرفته‌اند عذرخواهی می‌کنیم.
این شرکت تعداد مشتریان آسیب‌دیده را فاش نکرده است.
زیر سؤال رفتن کی‌استون به دلیل وعده حذف داده‌های مشتریان
این رخنه امنیتی همچنین پرسش‌هایی را درباره نحوه مدیریت اطلاعات قدیمی مشتریان توسط کی‌استون ایجاد کرده است.
در یک پست وبلاگی در سال ۲۰۲۳، کی‌استون اعلام کرده بود که به دنبال حوادث امنیتی رخ‌داده برای سایر تولیدکنندگان کیف پول‌های سخت‌افزاری، دوره نگهداری داده‌های مشتریان خود را به ۱۸۰ روز کاهش داده است.
با این حال، برخی از مشتریان گفته‌اند که با وجود خرید دستگاه‌های خود در بیش از دو سال پیش، اعلان‌های مربوط به این رخنه امنیتی را دریافت کرده‌اند؛ موضوعی که این پرسش را مطرح می‌کند که کی‌استون چه اطلاعاتی را نزد خود نگه داشته و آیا دریافت این اعلان‌ها نشان‌دهنده آن است که سوابق سفارش‌های قدیمی طبق وعده داده‌شده حذف نشده‌اند؟
یک کاربر شبکه اجتماعی ایکس (X) با نام کاربری «OG DEGEN» گفت که تماسی از سوی یک کلاهبردار دریافت کرده که ادعا می‌کرد مأمور قانون است و در حال بررسی یک پرونده کلاهبرداری است. این کاربر با توجه به اطلاعات شخصی‌ای که تماس‌گیرنده به آن‌ها اشاره کرده بود، گمان می‌برد که فرد کلاهبردار اطلاعات او را از طریق سفارشی که در سال ۲۰۲۴ در کی‌استون ثبت شده بود، به دست آورده است.
او در شبکه ایکس نوشت:
فکر می‌کنم نقشه آن‌ها این بود که مرا متقاعد کنند کلیدهای خصوصی‌ام لو رفته است و سپس یک لینک فیشینگ برایم بفرستند تا به خیال خودم آن‌ها را بازیابی کنم.
کاربر دیگری در شبکه ایکس به نام «trintaetres» نیز اظهار داشت که با وجود خرید دستگاه در بیش از دو سال پیش، ایمیل اطلاع‌رسانی مربوط به این رخنه را دریافت کرده است.