फैक्टरी की चाबी चोरी होने के बाद Keystone ने शिपमेंट रोकी, 18,835 वॉलेट नष्ट करने की योजना

Keystone ने सोमवार को कहा कि हमलावरों के डिवाइस प्रमाणित करने के लिए इस्तेमाल होने वाली फैक्टरी की चाबी हासिल करने के बाद कंपनी 18,835 बिना बिके हार्डवेयर वॉलेट नष्ट करेगी। Keystone ने कंपनी की वेबसाइट के जरिए दिए गए सभी लंबित ऑर्डरों की शिपमेंट रोक दी है। इस सेंध का पता 20 अक्टूबर को चला। Keystone का कहना है कि रिकवरी वाक्यांश और निजी चाबियां इस घटना में शामिल नहीं थीं। Keystone का कहना है कि 20 अक्टूबर से पहले डिलीवर किए गए डिवाइस प्रभावित नहीं हैं।

Keystone चोरी हुए क्रेडेंशियल को WebAuth key कहता है। फैक्टरी हर डिवाइस में यह चाबी डालती है, ताकि Keystone की वेबसाइट जांच सके कि हार्डवेयर असली है या नहीं। इस चाबी को हटाया या बदला नहीं जा सकता। Keystone ने कहा कि हमलावर उजागर हुई चाबी का इस्तेमाल ऐसे नकली वॉलेट बनाने में कर सकते हैं जो प्रमाणीकरण जांच में पास हो जाएं। Keystone ने चेतावनी दी कि ग्राहक अनजाने में नकली डिवाइस खरीद या पा सकते हैं और क्रिप्टोकरेंसी रखने के लिए उनका इस्तेमाल करने के बाद उनकी संपत्ति चोरी हो सकती है।

Keystone ने शुरुआत में शनिवार को बताया था कि एक तीसरे पक्ष ने ग्राहकों की शिपिंग जानकारी हासिल की थी। सोमवार को Keystone ने चोरी हुई चाबी और प्रभावित खरीदारों के रिकॉर्ड की संख्या का खुलासा किया। Keystone ने हमलावर की पहचान नहीं बताई है और न ही यह बताया है कि हमलावर ने पहली बार कब पहुंच हासिल की।

Keystone का कहना है कि इस घटना में कंपनी के Shopify स्टोर के खरीदारों के 51,083 रिकॉर्ड शामिल थे, जिसके जरिए ऑनलाइन बिक्री होती थी। Keystone का कहना है कि इनमें से 25,119 रिकॉर्ड की निजी जानकारी पहले ही मिटा दी गई थी। बाकी 25,964 रिकॉर्ड में, जो 2024 से 2026 तक के हैं, नाम, संपर्क विवरण, शिपिंग पते और ऑर्डर की जानकारी शामिल थी। Amazon या अन्य बिक्री माध्यमों से की गई खरीदारी प्रभावित नहीं हुई।

Keystone की नीति के तहत खरीदारों के रिकॉर्ड 180 दिनों के बाद मिटाए जाने थे। हालांकि, कंपनी का स्वचालित बल्क-डिलीशन टूल भरोसेमंद तरीके से काम नहीं करता था। Keystone ने कहा कि कुछ डेटा-मिटाने के काम विफल हुए और कंपनी ने समय रहते इन विफलताओं की पहचान कर उन्हें ठीक नहीं किया। Keystone ने तय अवधि से अधिक समय तक कुछ निजी जानकारी अपने पास रखने की बात स्वीकार की और डेटा मिटाने की तय समय-सीमा चूकने की जिम्मेदारी ली।

Keystone ने ग्राहकों को ऐसे धोखेबाजों से सावधान किया जो संपत्ति माइग्रेट करने, वॉलेट सत्यापित करने या जांच में मदद देने की पेशकश करते हैं। Keystone ने कहा कि कंपनी ग्राहकों से उनके डिवाइस लौटाने को नहीं कहेगी। Keystone ने चेतावनी दी कि डिवाइस वापस भेजने के लिए रिकॉल का हवाला देने वाले किसी भी व्यक्ति को धोखेबाज समझा जाना चाहिए।

नए की-युक्त डिवाइस का उत्पादन पूरा होने तक Keystone की वेबसाइट प्रीऑर्डर स्वीकार करेगी। Keystone का कहना है कि उसने इस घटना की सूचना EU, UK और अन्य न्यायक्षेत्रों के अधिकारियों को दी है। Keystone ने ग्राहक डेटा रखने की अवधि 180 दिनों से घटाकर 90 दिन कर दी। Keystone ने 24 अक्टूबर को Shopify से सभी लंबित खरीदार डेटा मिटाने को कहा। डेटा मिटाने की प्रक्रिया में 10 दिन की प्रतीक्षा अवधि जरूरी है। Keystone को उम्मीद है कि डेटा मिटाने का काम 3 नवंबर तक पूरा हो जाएगा।

ग्राहक डेटा में सेंध की घटनाओं ने हार्डवेयर-वॉलेट निर्माताओं को बार-बार प्रभावित किया है। Ledger के 2020 के डेटा लीक से अंततः लगभग 292,000 ग्राहक प्रभावित हुए और इसके बाद भेजे गए फ़िशिंग ईमेल के कारण उन लोगों में घरों पर हमले की आशंका पैदा हुई जिन्हें ये ईमेल मिले थे। Trezor ने अगस्त में ग्राहक डेटा में सेंध का खुलासा किया था, जिससे 13,689 ग्राहक प्रभावित हुए। SafePal ने भी अगस्त में ऐसी सेंध का खुलासा किया था, जिससे लगभग 39,798 ग्राहक प्रभावित हुए। उजागर हुए नाम और पते ‘रिंच अटैक’ का जोखिम पैदा करते हैं, जिनमें अपराधी क्रिप्टोकरेंसी मालिकों से धन ट्रांसफर कराने के लिए उन्हें धमकाते या उन पर हमला करते हैं। Chainalysis ने 2026 की पहली छमाही में ऐसे 46 हिंसक हमले दर्ज किए, जिनमें 30 मिलियन डॉलर से अधिक का नुकसान हुआ।