Keystone تتلف 18,835 محفظة بعد اختراق مفتاح التحقق من أصالة الأجهزة
الحقائق الرئيسية
قالت Keystone إنها ستتلف 18,835 جهاز محفظة في مخزونها، بعدما حصل مهاجمون على مفتاح WebAuth المستخدم للتحقق من أصالة الأجهزة. وأعلنت الشركة الإجراء في 26 أكتوبر، عقب رصد وصول غير مصرح به إلى موقعها الرسمي في 20 أكتوبر 2026. وقالت إن الوصول نتج عن استغلال ثغرة في أداة خارجية لمراقبة البيانات. كما أوقفت شحن الطلبات التي لم تُنفذ بعد. ويجمع الحادث بين خطر يتعلق بمفتاح التحقق من الأجهزة ومشكلة في الاحتفاظ ببيانات بعض المشترين.
وفي جانب البيانات، حدد التحقيق 51,083 سجل شراء مرتبطاً بمتجر الشركة على Shopify. كانت البيانات الشخصية قد مُحيت من 25,119 سجلاً قبل الهجوم، بينما بقيت في 25,964 سجلاً. وتشمل السجلات المتبقية أسماء العملاء وبيانات الاتصال وعناوين الشحن وتفاصيل الطلبات. وترجع عمليات الشراء الواردة فيها إلى الفترة بين 2024 و2026. وهذه أعداد للسجلات التي شملها التحقيق، وليست إحصاءً للعملاء الفريدين.
وحدد المحققون أيضاً 12,873 سجل دفع غير مكتمل، احتوى معلومات قدمها أشخاص لم يكملوا عملية الدفع. وعزت Keystone بقاء بعض البيانات إلى إخفاق أداة الحذف الآلي في إزالة سجلات ضمن مهلة الاحتفاظ السابقة البالغة 180 يوماً. وبذلك طالت المشكلة بيانات متصلة بعمليات شراء مكتملة وأخرى لم تصل إلى الدفع. وقالت الشركة إن بيانات السجلات تضمنت معلومات شخصية، بينها تفاصيل الاتصال والشحن والطلبات في سجلات الشراء التي بقيت محفوظة. ولم يذكر المصدر أن عدد هذه السجلات يمثل العدد نفسه من الأشخاص المتأثرين.
أما مفتاح WebAuth، فقالت الشركة إنه يُضمّن في الأجهزة أثناء التصنيع ولا يمكن محوه أو إعادة كتابته بعد تثبيته. وقد يتيح امتلاك المفتاح صنع أجهزة مقلدة تجتاز فحوص الأصالة، وفقاً للمعلومات المنشورة عن الخرق. ولهذا قررت Keystone إتلاف كل الأجهزة الموجودة في مخزونها التي تحمل المفتاح المخترق، وعددها 18,835 جهازاً. ولم يذكر المصدر العثور على أجهزة مقلدة أو تصنيعها بالفعل. وتركزت الخطوة المعلنة على الأجهزة غير المشحونة، فيما أوقفت الشركة إرسال الطلبات غير المنفذة.
وفي ما يتعلق بأصول المستخدمين، قالت Keystone إن عبارات الاسترداد والمفاتيح الخاصة وبيانات اعتماد المحافظ والمعلومات المصرفية لم تتعرض للاختراق. ويعني ذلك أن البيانات التي قالت الشركة إنها تأثرت شملت معلومات شخصية مرتبطة بالشراء، بينما نفت تعرض مفاتيح الوصول إلى المحافظ وأموالها للاختراق. كما قالت إن الأجهزة التي سُلّمت قبل 20 أكتوبر يمكن استخدامها إذا اجتازت فحص الأصالة. أما من تسلموا أجهزتهم بعد ذلك التاريخ، فعليهم طلب تحقق إضافي من فريق الدعم. وجعلت الشركة تاريخ 20 أكتوبر فاصلاً في إرشاداتها للمستخدمين بشأن فحص الأجهزة.
وتعرض صفحة Keystone الرسمية آلية التحقق من الجهاز، التي تعتمد على مسح رمز الاستجابة السريعة وإدخال رمز التحقق ثم عرض النتيجة، وتوصي الشركة بإجراء التحقق عند استلام جهاز جديد وقبل تشغيله. وفي سياق سياسات الاحتفاظ ببيانات مشتري المحافظ، تقول Trezor إن بيانات الشحن المرتبطة بالشراء تُحذف أو تُخفى هويتها بعد 90 يوماً. وفسرت الشركة هذه المهلة بأنها تغطي التسليم والإرجاع واسترداد الأموال أو الاستبدال. وكانت مهلة Keystone السابقة 180 يوماً، لكن أداة الحذف الآلي أخفقت في تطبيقها على بعض السجلات. ويمنح اختلاف المهلة بين الشركتين سياقاً مباشراً لسياسة الاحتفاظ التي كانت مطبقة لدى Keystone.
وتأتي الواقعة ضمن سلسلة حوادث مست بيانات شركات محافظ رقمية ومورديها. ففي أغسطس 2026، نشرت EL7.AI قصة عن تسرب بيانات 40,000 عميل في SafePal بسبب خلل في إضافة خارجية. وفي تحديث صدر في سبتمبر، قالت Trezor إن حادثاً لدى مزود البريد Brevo أدى إلى تصدير 347,149 عنواناً من قائمة جهات الاتصال التسويقية. وتضيف هذه الوقائع سياقاً إلى مخاطر تعرض بيانات العملاء عبر أدوات أو مزودين خارجيين، وهي نقطة تتصل بسبب الوصول الذي أعلنته Keystone. ولم يحدد المصدر موعداً لاكتمال إتلاف الأجهزة أو طلبات الحذف.