Donanım cüzdanı üreticisi Keystone, çevrim içi mağazasındaki yetkisiz erişimin ardından müşteri bilgilerinin alındığını doğruladı. Şirket, kurtarma ifadeleri ve özel anahtarların sızmadığını söylerken sahte iade ve cihaz değişimi tekliflerine karşı uyardı.
Donanım cüzdanı üreticisi Keystone, çevrim içi mağazasından alışveriş yapan müşterilerin isimlerinin, iletişim ve teslimat bilgilerinin, sipariş ayrıntılarının üçüncü bir kişinin eline geçtiğini açıkladı. Şirketin 24 Ekim tarihli duyurusuna göre ödeme kartı ve banka bilgileri ile kurtarma ifadeleri, özel anahtarlar ve cüzdan parolaları açığa çıkmadı.
Keystone, yetkisiz erişimi engellediğini, açığı kapattığını ve soruşturma başlattığını belirtti. Etkilenen müşterilere e-posta gönderen şirket, iade, cihaz değişimi ya da sipariş ve adres düzeltme bahanesiyle gelebilecek telefon, SMS, e-posta ve posta gönderilerine karşı uyarıyor.
Erişim 20 Ekim’de fark edildi, sızıntı 23 Ekim’de doğrulandı
Şirket, resmî internet sitesindeki yetkisiz erişimi 20 Ekim’de tespit etti. Shopify ile API üzerinden yapılan işlemleri inceledikten sonra 23 Ekim’de müşteri teslimat bilgilerinin alındığını doğruladı. Keystone, olayı 24 Ekim saat 20.59 TSİ’de kamuoyuna duyurdu. Şirket, Shopify’ın kendi platformunun saldırıya uğradığını söylemedi.
“Size bir özür borçluyuz.”
Keystone, kaç müşterinin etkilendiğini, hangi ülkelerdeki siparişlerin kapsama girdiğini veya kayıtların hangi tarihlere ait olduğunu açıklamadı. Saldırganın kimliği, ilk erişim tarihi ve kullanılan açığın teknik ayrıntıları da henüz paylaşılmadı. Şirket, ayrıntılı raporu yakında yayımlayacağını söyledi; kesin tarih vermedi.
Keystone: Özel anahtarlar ve kurtarma ifadeleri sızmadı
| Veri türü | Şirketin açıklaması |
|---|---|
| İsim, iletişim ve teslimat adresi | Üçüncü kişi tarafından elde edildi. |
| Sipariş edilen ürünler ve fiyatları | Sızan sipariş ayrıntıları arasında. |
| Ödeme kartı ve banka bilgileri | Açığa çıkmadı. |
| Kurtarma ifadesi, özel anahtar, cüzdan parolası | Açığa çıkmadı. |
Donanım cüzdanı, işlemleri imzalamak için gereken özel anahtarları cihazda saklar. Kurtarma ifadesi, uyumlu bir cüzdanda anahtarlara yeniden erişim sağlayan kelime dizisidir. Keystone, gizlilik politikasında donanım cüzdanlarının çevrim dışı çalıştığını ve bu ürünler üzerinden veri toplamadığını belirtiyor. İnternet mağazasının teslimat kayıtları ise alışverişi ve kargoyu yürütmek için ayrı tutuluyor. Cihazın çevrim dışı olması, mağazada saklanan kişisel bilgileri korumuyor.
Keystone, Nexus adlı yardımcı uygulamasında cihaz, uygulama ve cüzdan kullanım verileri de topladığını belirtiyor. Ancak Nexus’ta toplanan bütün verilerin bu olayda sızdığını söylemiyor. Şirket, sızan verileri müşteri ve sipariş bilgileri olarak sıralıyor; bağımsız bir teknik inceleme sonucu veya parasal kayıp tutarı paylaşmıyor.
Sahte destek mesajları ve posta gönderileri riski
Oltalama saldırısında dolandırıcı, güvenilir bir kişi veya kurum gibi davranarak gizli bilgi almaya çalışır. Alıcının adını ve satın aldığı cihazı bilmek, sahte iade ya da değişim teklifini daha inandırıcı gösterebilir. Keystone, şirket adına gelen beklenmedik tekliflere güvenilmemesini, mesajlardaki bağlantılara tıklamak yerine keyst.one adresinin tarayıcıya doğrudan yazılmasını istiyor. Resmî destek adresini support@keyst.one olarak veriyor.
Kurtarma ifadenizi paylaşmayın. Keystone, destek ekibinin hiçbir zaman kurtarma ifadesi veya özel anahtar istemeyeceğini söylüyor. Sipariş etmediğiniz bir cihaza kurtarma ifadenizi girmeyin; iade, değişim veya adres düzeltme teklifi bu bilgileri istemek için gerekçe olamaz.
Güvenlik araştırmacısı Taylor Monahan, Keystone’un açıklamasını alıntıladığı 25 Ekim tarihli paylaşımında teslimat adreslerinin sızmasının fiziksel saldırı ve kaçırılma riskini de artırabileceğini vurguladı. Monahan olası tehlikeye dikkat çekti; sızıntıyla bağlantılı gerçekleşmiş bir fiziksel saldırı bildirmedi.
İsviçre Ulusal Siber Güvenlik Merkezi, 18 Ağustos 2026 tarihli uyarısında başka bir kampanyada donanım cüzdanı sahiplerine gönderilen sahte mektupları anlatmıştı. “Kuantum direnci” için kritik güncelleme gerektiğini ileri süren mektuplardaki QR kod, kurtarma ifadesi isteyen bir siteye yönlendiriyordu. Dolandırıcılar, aciliyet hissini azaltmak için iki haftadan uzun süre tanıyordu. Merkez, profesyonel görünümlü sitenin bağlantılarının çoğu gerçek olsa bile güncelleme bölümünün sahte olabileceğini belirtti. Ağustos kampanyasının Keystone sızıntısıyla bağlantısı kurulmuş değil.
Sipariş bilgileri için 180 günlük silme kuralı var
Keystone, 7 Temmuz 2026’da güncellediği gizlilik politikasında mağazasında Shopify altyapısını kullandığını belirtiyor. Şirket, son 180 gün içinde sipariş vermemiş müşterilerin tüm sipariş bilgilerini sildiğini söylüyor. Daha erken silme talebinde müşterinin sipariş numarası ve siparişte kullandığı e-posta adresiyle desteğe başvurması, ayrıca siparişe ilişkin bir uyuşmazlık bulunmadığını açıkça belirtmesi gerekiyor.
Keystone, alınan kayıtların yaşını veya silme kuralını bu kayıtlara nasıl uyguladığını henüz açıklamadı. Politikadaki 180 gün, müşterinin son alışverişinden hesaplanıyor. Açıklanan kural, yalnız son altı aydaki alışverişlerin etkilendiği sonucuna varmak için yeterli değil.
Keystone’un müşteri verilerinin sızmasına ilişkin resmî açıklaması
Gönderi, açtığınızda X üzerinden yüklenir.
24 Ekim tarihli paylaşım, şirketin bildirdiği veri türlerini, attığı adımları ve müşterilere yönelik sahte iletişim uyarılarını içeriyor.
