สรุปข่าว
- Keystone เตรียมทำลาย Hardware Wallet 18,835 เครื่อง หลังแฮกเกอร์ขโมยกุญแจ WebAuth ที่ใช้ยืนยันอุปกรณ์ของแท้ได้สำเร็จ
- ข้อมูลลูกค้าเกือบ 26,000 รายได้รับผลกระทบ หลังระบบลบข้อมูลอัตโนมัติทำงานผิดพลาด ขณะที่ข้อมูลจากขั้นตอนชำระเงินที่ไม่สำเร็จอีก 12,873 รายการอยู่ระหว่างจัดการ
- Keystone ยืนยันว่า Private Key และ Recovery Phrase ไม่ได้รับผลกระทบ แต่ผู้ที่ได้รับอุปกรณ์หลังวันที่ 20 ตุลาคมควรติดต่อฝ่ายสนับสนุนเพื่อตรวจสอบเพิ่มเติม
แนวโน้มลผกระทบ: Bullish
Keystone ผู้ผลิต Hardware Wallet เตรียมทำลายอุปกรณ์ 18,835 เครื่อง หลังแฮกเกอร์ขโมยกุญแจ WebAuth ที่ใช้ยืนยันความเป็นของแท้ พร้อมระงับการจัดส่งสินค้าเพื่อเปลี่ยนไปใช้กุญแจชุดใหม่ ขณะเดียวกัน ข้อมูลส่วนบุคคลของลูกค้า 25,964 รายได้รับผลกระทบจากความผิดพลาดของระบบลบข้อมูลอัตโนมัติ แม้บริษัทจะยืนยันว่า Private Key และ Recovery Phrase ไม่ได้รับผลกระทบ แต่ผู้ใช้ที่ได้รับอุปกรณ์หลังวันที่ 20 ตุลาคมควรติดต่อฝ่ายสนับสนุนเพื่อตรวจสอบเพิ่มเติม เหตุการณ์นี้จึงเป็นบททดสอบสำคัญต่อความเชื่อมั่นในผู้ผลิตกระเป๋าเงินคริปโทฯ
Keystone ผู้ผลิต Hardware Wallet อุปกรณ์จัดเก็บคริปโทแบบออฟไลน์ เตรียมทำลายอุปกรณ์ 18,835 เครื่อง หลังแฮกเกอร์ขโมยกุญแจยืนยันของแท้ได้สำเร็จ ขณะที่ข้อมูลส่วนบุคคลของลูกค้าเกือบ 26,000 รายได้รับผลกระทบ บริษัทต้องระงับการจัดส่งสินค้า และเร่งแก้ไขปัญหาความปลอดภัยที่ลุกลามไปไกลกว่าการรั่วไหลของข้อมูลทั่วไป
เมื่อวันที่ 26 ตุลาคมที่ผ่านมา Keystone เปิดเผยว่า แฮกเกอร์สามารถเข้าถึงกุญแจ WebAuth ซึ่งใช้ตรวจสอบว่า Hardware Wallet เป็นอุปกรณ์ของแท้หรือไม่ โดยต้นตอเกิดจากช่องโหว่ในเครื่องมือตรวจสอบข้อมูลของบุคคลที่สาม บริษัทตรวจพบความผิดปกติตั้งแต่วันที่ 20 ตุลาคม ก่อนปิดฟังก์ชันดังกล่าวและเริ่มสอบสวนเหตุการณ์ที่เกิดขึ้น
ความร้ายแรงของเรื่องนี้อยู่ที่กุญแจดังกล่าวถูกฝังไว้ในอุปกรณ์อย่างถาวรและไม่สามารถลบหรือเปลี่ยนใหม่ได้ ทำให้แฮกเกอร์อาจนำไปใช้สร้างวอลเล็ตปลอมที่ผ่านระบบตรวจสอบความแท้ของ Keystone ได้ บริษัทจึงต้องทำลายอุปกรณ์ในคลังสินค้าทั้ง 18,835 เครื่องที่ใช้กุญแจดังกล่าว พร้อมเปลี่ยนไปใช้กุญแจชุดใหม่ในการผลิตครั้งต่อไป และระงับการจัดส่งคำสั่งซื้อที่ยังค้างอยู่จนกว่าสินค้าทดแทนจะพร้อม
แต่ปัญหาไม่ได้จบอยู่แค่เรื่องอุปกรณ์ จากการสอบสวนยังพบว่า ข้อมูลผู้ซื้อบน Shopify จำนวน 25,964 รายการ จากทั้งหมด 51,083 รายการ ยังคงมีข้อมูลส่วนบุคคลหลงเหลืออยู่ ทั้งชื่อ ที่อยู่จัดส่ง ข้อมูลติดต่อ และประวัติการซื้อระหว่างปี 2024-2026 หลังระบบลบข้อมูลอัตโนมัติทำงานผิดพลาด ทำให้ข้อมูลถูกเก็บไว้นานเกินนโยบาย 180 วันที่บริษัทกำหนดไว้
Keystone ยอมรับความผิดพลาดครั้งนี้ พร้อมลดระยะเวลาเก็บข้อมูลเหลือ 90 วัน และเร่งลบข้อมูลที่ตกค้าง นอกจากนี้ ยังพบข้อมูลจากขั้นตอนชำระเงินที่ไม่สำเร็จอีก 12,873 รายการ ซึ่งอาจมีข้อมูลส่วนบุคคลรวมอยู่ด้วย โดยบริษัทคาดว่า คำขอลบข้อมูลที่ค้างมาตั้งแต่วันที่ 24 ตุลาคมจะดำเนินการเสร็จสิ้นในวันที่ 3 พฤศจิกายนนี้
สำหรับผู้ใช้งานของ Keystone ยืนยันว่า Recovery Phrase, Private Key และข้อมูลการชำระเงินไม่ได้รับผลกระทบ จึงยังไม่มีคำแนะนำให้ทุกคนย้ายคริปโทฯ ออกจากกระเป๋าเงินในทันที
อย่างไรก็ตาม ผู้ที่ได้รับอุปกรณ์หลังวันที่ 20 ตุลาคมควรติดต่อฝ่าย Support ของ Keystone เพื่อตรวจสอบเพิ่มเติม แม้อุปกรณ์จะผ่านการยืนยันความเป็นของแท้ตามปกติก็ตาม
Keystone ยังเตือนให้ระวังข้อความเรียกคืนอุปกรณ์ปลอมจากมิจฉาชีพ พร้อมระบุว่า ได้รายงานเหตุการณ์ต่อหน่วยงานกำกับดูแลในสหภาพยุโรป สหราชอาณาจักร และพื้นที่อื่น ๆ รวมถึงเตรียมเครื่องมือให้ลูกค้าตรวจสอบว่า ข้อมูลของตนได้รับผลกระทบหรือไม่
ที่มา:news.bitcoin
มุมมองผู้เขียน: เหตุการณ์นี้ชี้ให้เห็นว่า การเก็บคริปโทฯ ไว้ใน Hardware Wallet ไม่ได้หมายความว่า จะปลอดภัยจากทุกความเสี่ยง เพราะนอกจากการปกป้องกุญแจ Private Key แล้ว ความเสี่ยงจากฝั่งผู้ผลิตกระเป๋าเงินเองก็สำคัญไม่แพ้กัน
