Kaj se je točno zgodilo?
Proizvajalec strojnih denarnic Keystone je sporočil, da je napadalec pridobil dostop do podatkov prek ranljivosti na njegovi spletni strani. Po navedbah podjetja so ušli dostavni naslovi in podrobnosti o naročilih strank, poročata The Defiant in Cointelegraph.
Strojna denarnica je fizična naprava, ki hrani zasebne ključe do kriptovalut brez povezave, zunaj dosega interneta. Prav zato so stranke teh naprav pogosto ljudje, ki držijo večje količine kriptosredstev, kar iz ušlih dostavnih naslovov dela občutljiv seznam.
Kaj po navedbah Keystona NI ušlo?
Podjetje navaja, da vdor ni zadel najbolj občutljivih podatkov. Po navedbah The Defiant niso bili izpostavljeni:
- plačilni podatki,
- obnovitvene fraze (seed phrase),
- zasebni ključi.
Obnovitvena fraza je zaporedje besed, s katerim je mogoče obnoviti dostop do denarnice. Če bi ušla, bi napadalec lahko sredstva neposredno ukradel. Keystone hkrati trdi, da je dostop blokiral in ranljivost popravil, piše The Defiant.
Zakaj je uhajanje dostavnih naslovov tvegano tudi brez ključev?
Varnostni raziskovalec je po navedbah Cointelegraph opozoril, da so lahko zlorabljeni že sami dostavni podatki. Kombinacija imena, naslova in informacije, da določena oseba poseduje strojno denarnico, odpira dve glavni tveganji:
- Ciljane prevare (phishing). Napadalci lahko žrtve kontaktirajo po imenu in z verodostojnimi podrobnostmi o naročilu ter jih poskušajo pripraviti do razkritja občutljivih podatkov.
- Fizični napadi. Seznam ljudi, ki verjetno držijo kriptosredstva, skupaj z njihovim prebivališčem povečuje tveganje ropov in izsiljevanja v resničnem svetu.
To so tveganja, ki jih opisuje vir, ne pa potrjeni primeri zlorabe. Ali je do kakšne zlorabe že prišlo, iz razpoložljivih virov ni znano.
Ali bi morali biti ti podatki že zdavnaj izbrisani?
Tu se zgodba zaplete. Po navedbah The Block Keystone navaja, da podatke strank v večini primerov briše 180 dni po naročilu. Stranke na platformi X pa po istem viru trdijo, da so se v vdoru pojavili tudi njihovi starejši podatki, in dvomijo, ali je podjetje brisanje dejansko izvajalo.
Neskladje zaenkrat ni neodvisno preverjeno. Ne vemo, koliko strank to zadeva niti kako stari podatki so natančno ušli. To je ključno odprto vprašanje celotnega primera: če je podjetje obljubilo brisanje in so podatki kljub temu obstajali, gre za odpoved lastnih pravil, ne le za sam vdor.
Širši kontekst: podatki kot šibka točka tudi pri "hladnih" rešitvah
Strojne denarnice ščitijo ključe. Ne ščitijo pa metapodatkov, ki nastajajo ob nakupu naprave: imena, naslova, zgodovine naročil. Ta primer kaže, da se napadalna površina pri kriptopodjetjih ne konča pri blockchainu, ampak se začne že pri običajni spletni infrastrukturi in ravnanju z osebnimi podatki.
Na kaj paziti pri tovrstnem incidentu
To ni nasvet, kaj storiti s premoženjem, ampak pregled tega, kar je pri podobnih uhajanjih pomembno spremljati:
- uradno komunikacijo proizvajalca o obsegu vdora in o tem, kdo je bil prizadet,
- porast poskusov phishinga, ki se pretvarjajo, da gre za komunikacijo proizvajalca ali prevoznika,
- nepričakovane "preverjalne" pozive k vnosu obnovitvene fraze (legitimni proizvajalec je nikoli ne zahteva),
- morebitno naknadno pojasnilo, ali in kako dolgo so bili podatki dejansko hranjeni.
Kaj je zaenkrat potrjeno in kaj ne
Potrjeno je, da je Keystone vdor priznal in opisal, kateri podatki so bili in kateri niso bili prizadeti. Nepotrjen ostaja dejanski obseg, število prizadetih strank, starost ušlih podatkov in to, ali so bili podatki že zlorabljeni. charliedesk bo spremljal, ali bo Keystone objavil natančnejše številke.