Donanım cüzdanı üreticisi Keystone, 26 Ekim 2026 tarihinde web sitesindeki ihlalin bir müşteri verisi sızıntısının ötesine geçtiğini kabul etti. Saldırgan ayrıca, üretim sırasında Keystone cihazlarına yerleştirilen ve çevrimiçi özgünlük kontrolünde kullanılan dijital kimlik bilgisi olan WebAuth anahtarını da ele geçirdi.
Keystone ihlali nasıl gerçekleşti
Keystone, 20 Ekim 2026 tarihinde web sitesine yönelik şüpheli bir erişim tespit etti. Saldırgan, siteye gömülü üçüncü taraf bir izleme aracındaki bir güvenlik açığından yararlanarak gerekli yetki seviyesine yükseldi. Şirket, saldırganın erişimini aynı gün kesti ve güvenlik açığını yamaladı.
İlk kamuya açık açıklama ancak 24 Ekim tarihinde yapıldı - bu noktada Keystone, müşteri iletişim bilgilerinin ve teslimat adreslerinin çalındığını bildirdi. İki gün sonra, 26 Ekim tarihinde, çok daha ciddi bir kaybı duyurdu: WebAuth cihaz kimlik doğrulama anahtarı.
Müşteri verileri, Keystone'un kendi prosedürel hatası nedeniyle dışarı sızdı. Şirketin Shopify mağazası 51,083 alıcı kaydı barındırıyordu. 180 günlük saklama politikasına göre bunların 25,119 tanesi silinmeliydi - ve silindi de. 2024 ile 2026 tarihleri arasına ait kalan 25,964 kayıt ise saldırganın erişimine açık kaldı: otomatik toplu silme aracı güvenilmez şekilde çalıştı, bazı işlemler durdu ve Keystone bunu zamanında fark edemedi.
Aynı zamanda, saldırganın tamamlanmamış satın alımlara ait verileri içeren 12,873 Shopify ödeme kaydına erişimi olmuş olabilir. Keystone, Shopify'dan 30 günden uzun süre saklanan ödeme kayıtlarını silmesini şimdiden talep etti.
Sahte cihaz tehdidi: Keystone sahipleri için anlamı
WebAuth anahtarı sadece bir şifre değildir. Üretim sırasında cihaza yerleştirilir ve sonradan değiştirilemez. Bu da Keystone'un stoğundaki, sızdırılan anahtarı taşıyan 18,835 cihazın artık güvenli hale getirilemeyeceği anlamına gelir - bunlar imha edilecek. Site üzerinden sevkiyatlar askıya alındı ve şirket ön sipariş modeline geçiyor.
Alıcılar için durum 20 Ekim tarihine göre ikiye ayrılıyor. Bu tarihten önce teslim edilen cihazlar güvenlidir - özgünlük kontrolleri hâlâ güvenilirdir. 20 Ekim'den sonra teslim edilen cihazlar ise şüphelidir: böyle bir cihaz kontrolü geçse bile Keystone bunun sahte olmadığını garanti edemez. Bu sahiplerden, cihazı kullanmadan önce ek doğrulama için destek ekibiyle iletişime geçmeleri istendi.
Farklı bir kimlik doğrulama anahtarına sahip yeni cihazların üretimi zaten sürüyor. Sevkiyatlar ancak bu cihazlar hazır olduğunda yeniden başlayacak. Keystone, müşteri verisi saklama süresini 180 günden 90 güne düşürüyor.
Özel anahtarlar, seed phrase'ler, cüzdan şifreleri, bankacılık bilgileri ve belge numaraları bu olaya dahil olmadı. Passport cihazları (Keystone'un ikinci ürün hattı) etkilenmedi. Şirket, bu olayla bağlantılı olarak şu ana kadar etkilenen alıcı veya çalınan kripto para vakası tespit etmedi.
2026 yılındaki donanım cüzdanı olayları zincirinde Keystone
Keystone ihlali, son dört ayda donanım cüzdanı sektöründeki dördüncü büyük olay oldu. Her saldırının kendine özgü bir yapısı var, ancak vektör ortak: cihazların etrafındaki tedarik zinciri ve altyapı.
2026 Temmuz ayında Coldcard üreticisi Coinkite, kullanıcılarını bir firmware açığına karşı uyardı - cihazlar azaltılmış entropiye sahip seed ifadeleri üretiyordu ve saldırganlar bunu milyonlarca dolar sızdırmak için kullandı. Ağustos ayında Trezor, kargo ortağı ShipMonk'ta yaşanan bir ihlali açıkladı; etkilenen müşteri sayısı başlangıçta 14,000 idi ve Eylül ayına gelindiğinde 80,000'e yükseldi. Aynı Ağustos ayında SafePal, sipariş takip eklentisinin ele geçirildiğini bildirdi - sızıntı yaklaşık 40,000 alıcıyı etkiledi. Ekim ayında Ledger, Güneydoğu Asya ve Hong Kong'daki satıcılardan, bölgede satılan cihazlarda seed ifadelerini ele geçirebilen yetkisiz implantlar bulunduğuna dair raporların ardından satışları durdurmalarını istedi.
