Keystone ने फ़ैक्टरी प्रमाणीकरण कुंजी चोरी होने के बाद हार्डवेयर वॉलेट वापस मंगवाए

बिटकॉइन हार्डवेयर वॉलेट बनाने वाली कंपनी Keystone ने सोमवार को कहा कि हमलावरों द्वारा उस क्रिप्टोग्राफ़िक कुंजी को हासिल करने के बाद, जो उसके हार्डवेयर के असली होने की पुष्टि करती है, वह 18,835 बिना बिके डिवाइस नष्ट करेगी। कंपनी ने अपनी वेबसाइट पर उन सभी ऑर्डर की शिपमेंट भी रोक दी है जो अभी तक उसके गोदाम से बाहर नहीं गए हैं।

कंपनी ने ज़ोर देकर कहा कि रिकवरी फ़्रेज़ और प्राइवेट कुंजियों से समझौता नहीं हुआ है। चिंता यह है कि Keystone की अपनी प्रामाणिकता जाँच को पास करने वाला नकली डिवाइस बनाया जा सकता है, क्योंकि यह जाँच चोरी हुई कुंजी पर निर्भर है। ऐसा डिवाइस किसी अनजान खरीदार को बेचा जा सकता है, जो फिर उस पर असली पैसे रख देगा।

क्या उजागर हुआ

Keystone ने चोरी हुई चीज़ को WebAuth कुंजी बताया, यानी निर्माण के दौरान हर डिवाइस में डाली गई एक गुप्त वैल्यू। यह कंपनी की वेबसाइट के एक सत्यापन पेज को यह पुष्टि करने देती है कि हार्डवेयर असली है और उसे मिटाया या बदला नहीं जा सकता। कंपनी इस कुंजी वाली इन्वेंटरी यूनिट्स को बेचने के बजाय नष्ट कर रही है।

Keystone ने शनिवार को पहली बार खुलासा किया था कि किसी तीसरे पक्ष ने ग्राहकों के शिपिंग विवरण तक पहुँच हासिल की थी। ताज़ा बयान में कुंजी की चोरी की पुष्टि हुई और प्रभावित खरीदार रिकॉर्ड की संख्या 25,964 बताई गई। उसने हमलावर की पहचान नहीं बताई और न ही यह कि पहुँच कब शुरू हुई।

डेटा रिटेंशन में विफलता

ये रिकॉर्ड Keystone के Shopify स्टोरफ़्रंट से थे। शामिल 51,083 खरीदार रिकॉर्ड में से 25,119 पहले ही गुमनाम किए जा चुके थे, जबकि बाकी 25,964 रिकॉर्ड 2024 से 2026 तक की खरीदारी से जुड़े थे और उनमें अब भी नाम, संपर्क जानकारी, शिपिंग पते और ऑर्डर विवरण मौजूद थे। Amazon और अन्य चैनलों के ज़रिए हुई बिक्री प्रभावित नहीं हुई।

Keystone की नीति के अनुसार खरीदार रिकॉर्ड 180 दिन बाद हटाए जाने थे, लेकिन उसके बनाए स्वचालित डिलीशन टूल ने विश्वसनीय ढंग से काम नहीं किया। कंपनी ने स्वीकार किया कि कुछ डिलीशन कार्य समय रहते पकड़े बिना विफल हो गए और उसने इसकी ज़िम्मेदारी ली। इसके बाद उसने रिटेंशन अवधि घटाकर 90 दिन कर दी और 24 अक्टूबर को Shopify से सभी अवधि-पार खरीदार डेटा मिटाने का अनुरोध किया, जिसका पूरा होना 3 नवंबर तक अपेक्षित है।

Keystone ने ग्राहकों को घोटालों के प्रति भी आगाह किया, जिनमें "एसेट माइग्रेशन" या "जाँच सहायता" की पेशकश वाले संदेश और रीकॉल के बहाने डिवाइस वापस भेजने के अनुरोध शामिल हैं। कंपनी ने कहा कि उसने इस घटना की सूचना यूरोपीय संघ, ब्रिटेन और अन्य क्षेत्रों के अधिकारियों को दी है, और जब तक नई कुंजी वाले डिवाइस तैयार नहीं होते, वेबसाइट पर बिक्री प्रीऑर्डर में बदल दी जाएगी। प्रभावित टोकन के लिए कोई बाज़ार मूल्य डेटा उपलब्ध नहीं था।