Τι ακριβώς συνέβη;
Ο κατασκευαστής hardware wallet Keystone ανακοίνωσε ότι ένας επιτιθέμενος απέκτησε πρόσβαση σε δεδομένα μέσω μιας ευπάθειας στον ιστότοπό του. Σύμφωνα με την εταιρεία, διέρρευσαν διευθύνσεις παράδοσης και λεπτομέρειες παραγγελιών πελατών, αναφέρουν το The Defiant και το Cointelegraph.
Το hardware wallet είναι μια φυσική συσκευή που διατηρεί τα ιδιωτικά κλειδιά των κρυπτονομισμάτων offline, εκτός εμβέλειας του διαδικτύου. Ακριβώς γι' αυτό, οι πελάτες αυτών των συσκευών είναι συχνά άνθρωποι που κατέχουν σημαντικότερους όγκους κρυπτοενεργητικού, κάτι που καθιστά τις διαρρεύσασες διευθύνσεις παράδοσης μια ευαίσθητη λίστα.
Τι ΔΕΝ διέρρευσε σύμφωνα με την Keystone;
Η εταιρεία αναφέρει ότι η παραβίαση δεν άγγιξε τα πιο ευαίσθητα στοιχεία. Σύμφωνα με το The Defiant, δεν εκτέθηκαν:
- στοιχεία πληρωμής,
- φράσεις ανάκτησης (seed phrase),
- ιδιωτικά κλειδιά.
Η φράση ανάκτησης είναι μια ακολουθία λέξεων με την οποία μπορεί κανείς να αποκαταστήσει την πρόσβαση στο wallet. Αν διέρρεε, ο επιτιθέμενος θα μπορούσε να κλέψει απευθείας τα κεφάλαια. Η Keystone ισχυρίζεται παράλληλα ότι απέκλεισε την πρόσβαση και διόρθωσε την ευπάθεια, γράφει το The Defiant.
Γιατί η διαρροή διευθύνσεων παράδοσης είναι επικίνδυνη ακόμη και χωρίς κλειδιά;
Ερευνητής ασφαλείας, σύμφωνα με το Cointelegraph, προειδοποίησε ότι ακόμη και τα ίδια τα στοιχεία παράδοσης μπορούν να χρησιμοποιηθούν καταχρηστικά. Ο συνδυασμός ονόματος, διεύθυνσης και της πληροφορίας ότι το συγκεκριμένο πρόσωπο κατέχει hardware wallet ανοίγει δύο βασικούς κινδύνους:
- Στοχευμένες απάτες (phishing). Οι επιτιθέμενοι μπορούν να επικοινωνήσουν με τα θύματα ονομαστικά και με αξιόπιστες λεπτομέρειες παραγγελίας και να προσπαθήσουν να τα παρασύρουν στην αποκάλυψη ευαίσθητων στοιχείων.
- Φυσικές επιθέσεις. Μια λίστα ανθρώπων που πιθανότατα κατέχουν κρυπτοενεργητικό, μαζί με τον τόπο κατοικίας τους, αυξάνει τον κίνδυνο ληστειών και εκβιασμών στον πραγματικό κόσμο.
Πρόκειται για κινδύνους που περιγράφει η πηγή, όχι για επιβεβαιωμένες περιπτώσεις κατάχρησης. Το αν έχει ήδη συμβεί κάποια κατάχρηση δεδομένων δεν είναι γνωστό από τις διαθέσιμες πηγές.
Έπρεπε αυτά τα δεδομένα να είχαν διαγραφεί εδώ και καιρό;
Εδώ η ιστορία περιπλέκεται. Σύμφωνα με το The Block, η Keystone αναφέρει ότι στις περισσότερες περιπτώσεις διαγράφει τα δεδομένα πελατών 180 ημέρες μετά την παραγγελία. Οι πελάτες στην πλατφόρμα X όμως, σύμφωνα με την ίδια πηγή, ισχυρίζονται ότι στη διαρροή εμφανίστηκαν και παλαιότερα δεδομένα τους, και αμφισβητούν αν η εταιρεία πραγματικά πραγματοποιούσε τη διαγραφή.
Η αντίφαση δεν έχει επαληθευτεί ανεξάρτητα προς το παρόν. Δεν γνωρίζουμε πόσους πελάτες αφορά ούτε πόσο παλιά δεδομένα διέρρευσαν ακριβώς. Αυτό είναι το βασικό ανοιχτό ερώτημα ολόκληρης της υπόθεσης: αν η εταιρεία υποσχόταν διαγραφή και παρ' όλα αυτά τα δεδομένα υπήρχαν, πρόκειται για αποτυχία των ίδιων της των πολιτικών, όχι μόνο για την ίδια την παραβίαση.
Ευρύτερο πλαίσιο: τα δεδομένα ως αδύναμο σημείο ακόμη και σε "ψυχρές" λύσεις
Τα hardware wallet προστατεύουν τα κλειδιά. Δεν προστατεύουν όμως τα μεταδεδομένα που δημιουργούνται κατά την αγορά της συσκευής: όνομα, διεύθυνση, ιστορικό παραγγελιών. Αυτή η περίπτωση δείχνει ότι η επιφάνεια επίθεσης στις κρυπτοεταιρείες δεν τελειώνει στο blockchain, αλλά ξεκινά ήδη από τη συνηθισμένη διαδικτυακή υποδομή και τη διαχείριση των προσωπικών δεδομένων.
Σε τι να δίνετε προσοχή σε αυτού του τύπου το περιστατικό
Αυτό δεν είναι συμβουλή για το τι να κάνετε με την περιουσία σας, αλλά μια επισκόπηση όσων συνήθως έχει σημασία να παρακολουθείτε σε παρόμοιες διαρροές:
- την επίσημη επικοινωνία του κατασκευαστή σχετικά με το εύρος της διαρροής και το ποιος επλήγη,
- την αύξηση των προσπαθειών phishing που παρουσιάζονται ως επικοινωνία από τον κατασκευαστή ή τον μεταφορέα,
- απρόσμενες "επαληθευτικές" προτροπές για εισαγωγή της φράσης ανάκτησης (ένας νόμιμος κατασκευαστής δεν την ζητά ποτέ),
- τυχόν μεταγενέστερη διευκρίνιση σχετικά με το αν και για πόσο χρόνο τα δεδομένα διατηρήθηκαν πραγματικά.
Τι έχει επιβεβαιωθεί προς το παρόν και τι όχι
Επιβεβαιωμένο είναι ότι η Keystone παραδέχτηκε τη διαρροή και περιέγραψε ποια δεδομένα επλήγησαν και ποια όχι. Μη επιβεβαιωμένο παραμένει το πραγματικό εύρος, ο αριθμός των πελατών που επηρεάστηκαν, η παλαιότητα των διαρρευσάντων δεδομένων και το αν έχουν ήδη χρησιμοποιηθεί καταχρηστικά. Το charliedesk θα παρακολουθεί αν η Keystone δημοσιεύσει ακριβέστερους αριθμούς.