شرکت کیستون، تولیدکننده کیف پول سخت‌افزاری ارز دیجیتال، اعلام کرده است پس از افشای کلید مورد استفاده در تأیید اصالت محصولاتش، 18٬835 دستگاه موجود در انبار را امحا خواهدکرد. این رخنه علاوه بر اطلاعات مشتریان، سازوکاری را تحت تأثیر قرار داده که خریداران برای تشخیص دستگاه اصل از نمونه تقلبی به آن اتکا می‌کنند.

بر اساس توضیحات شرکت در اطلاعیه 26 اکتبر 2026، مهاجم از آسیب‌پذیری یک ابزار پایش داده متعلق به شخص ثالث در وب‌سایت کیستون سوءاستفاده کرده و با افزایش سطح دسترسی، به اطلاعات مشتریان و کلید موسوم به «WebAuth» دست یافته‌است. کیستون می‌گوید دسترسی غیرمجاز را در 20 اکتبر شناسایی کرده بود.

این کلید هنگام تولید در دستگاه‌ها ثبت می‌شود و به گفته شرکت، امکان پاک‌کردن یا بازنویسی آن وجود ندارد. افشای آن می‌تواند به مهاجم اجازه دهد کیف پول تقلبی بسازد که آزمون اصالت کیستون را با موفقیت پشت سر بگذارد؛ در نتیجه، خریدار ممکن است به دستگاهی اعتماد کند که امنیت دارایی‌هایش را تهدید می‌کند.

کیستون تأکید کرده‌است کلید افشاشده در تولید عبارت بازیابی، استخراج کلیدهای خصوصی یا امضای تراکنش‌ها نقشی ندارد. شرکت استفاده از این کلید در تولید را متوقف کرده، ارسال سفارش‌های ارسال‌نشده وب‌سایت را به تعویق انداخته و فروش را تا آماده‌شدن دستگاه‌های دارای کلید جدید، به پیش‌سفارش تغییر داده‌است.

اطلاعات خرید و سفارش‌های نیمه‌تمام نیز در معرض دسترسی قرار گرفت

بررسی اعلام‌شده از سوی کیستون، 51٬083 رکورد خرید در فروشگاه مبتنی بر شاپیفای این شرکت را دربر می‌گیرد. اطلاعات شخصی مرتبط با 25٬119 رکورد پیش‌تر حذف شده بود، اما 25٬964 رکورد مربوط به سال‌های 2024 تا 2026 همچنان نام، اطلاعات تماس، نشانی ارسال و جزئیات سفارش را در خود داشتند.

کیستون پذیرفته‌است ابزار حذف خودکار اطلاعات به‌درستی کار نکرده و بخشی از داده‌ها برخلاف سیاست حذف پس از 180 روز، مدت بیشتری نگهداری شده‌اند. شرکت اکنون دوره نگهداری را به 90 روز کاهش داده‌است.

دارندگان دستگاه‌های جدید چه کنند؟

به گفته کیستون، دستگاه‌هایی که پیش از 20 اکتبر تحویل شده‌اند و آزمون اصالت را پشت سر می‌گذارند، قابل استفاده‌اند. اما دارندگان دستگاه‌های دریافت‌شده پس از این تاریخ که کلید قدیمی دارند، باید پیش از استفاده برای بررسی تکمیلی با پشتیبانی رسمی تماس بگیرند؛ موفقیت در آزمون اولیه به‌تنهایی کافی نیست.

شرکت می‌گوید عبارت‌های بازیابی، کلیدهای خصوصی و اطلاعات بانکی در این حادثه افشا نشده‌اند. همچنین اعلام کرده از کاربران درخواست بازگرداندن دستگاه نمی‌کند و پیام‌هایی با عنوان فراخوان بازپس‌گیری محصول می‌توانند تلاشی برای کلاهبرداری باشند.