- 해커들은 Shopify 기반 스토어에서 Keystone 구매자의 이름, 연락처 정보, 배송 주소 및 주문 세부 정보를 탈취했습니다.
- Keystone는 결제 카드, 복구 문구, 개인 키 및 지갑 비밀번호가 유출되지 않았다고 밝혔습니다.
- 일부 고객들은 Keystone의 삭제 약속에도 불구하고 180일 이상된 주문 데이터가 유출되었다고 주장합니다.
하드웨어 지갑 제조사 Keystone은 해커가 Shopify 기반 온라인 스토어를 침입하여 고객의 이름, 연락처 정보, 배송 주소 및 주문 기록을 가져갔다고 밝혔으나, 결제 데이터, 복구 문구 또는 개인 키는 탈취되지 않았다고 설명했습니다.
유출 발견: 20, 확인: 23
홍콩 소재 기업인 Keystone은 10월 24일(토) X를 통해 공식 웹사이트에 비인가 접근이 감지된 10월 20일 이후 Shopify와 API 활동을 검토한 결과, 제3자가 고객의 배송 데이터를 획득한 것이 10월 23일에 확인되었다고 사과했습니다.
“귀하의 정보를 신뢰해 주셨는데, 안전하게 보호하지 못해 죄송합니다,”라고 Keystone은 작성했습니다.
탈취된 기록에는 구매 항목 및 가격 등 주문 정보가 포함된 이름, 연락처 정보, 주소 등이 포함되었으나, 복구 문구, 개인 키, 지갑 비밀번호 및 카드/계좌 정보는 안전히 유지되었습니다.”라고 Keystone은 전했습니다.
회사는 접근을 차단하고 취약점을 패치했으며, 조사를 시작하고 영향 받은 고객들에게 이메일 발송을 시작했다고 밝혔다. 피해자 수, 공격 경로, 공격자에 대해서는 언급하지 않았으나, 상세 보고서가 곧 발표될 것이라고 전했다.
Keystone는 사칭자들이 환불, 신규 기기 제공 또는 주문/주소 관련 '수리'를 제안하며 전화, 문자, 이메일, 우편으로 연락할 수 있다고 구매자들에게 경고했다. 또한 구매자들은 주문하지 않은 기기에서 복구 문구를 입력하지 말고, keyst.one 주소를 직접 타이핑해야 한다고 안내했다.
Keystone가 공개적으로 대응하기 전, X(구 트위터) 사용자 @PEPE_Whale69는 금요일 저녁에 가능한 데이터 유출 사실을 보고했다. 해당 사용자는 몬트리올 경찰 번호를 사칭한 인물로부터 전화를 받았으며, 이 인물은 아마존, 이베이 또는 Keystone이 무엇을 의미하는지 물어왔다고 말했다.
게시글에서는 발신자의 설명이 사용자의 2024년 Keystone 주문 내역과 일치한다고 밝혔다. Keystone은 토요일 오전 1:08(동부 표준시)에
고객들은 180일 이후의 주문 정보가 유출되었다고 주장
Keystone는 데이터 삭제를 주요 강점으로 내세워 왔습니다. 1월 5일, Ledger 고객이 e-커머스 파트너 Global-e의 유출 사실을 통보받은 날, Keystone은 게시하여 “주문 후 180일이 경과하면 배송 데이터가 영구적으로 삭제됩니다”라고 밝혔습니다.
“Other hardware wallets keep your data forever. We delete your shipping info in 180 days max,” Keystone wrote in March.
토요일, @trintaetres_33은 2년 이상 전에 기기를 구매한 경우에도 침해 이메일이 도착했다고 밝혔습니다. @BlockchainBarmy는 마지막 주문과 침해 간에 214일이 지났다고 말했습니다.
스피핑 전화와 연결된 2024년 주문도 180일 이상 되었지만, Keystone은 자체 정책을 따랐는지 공개적으로 밝히지 않았으며 고객 주장은 아직 검증되지 않았습니다.
Keystone의 Privacy Promise 페이지에 따르면 모든 배송 정보는 주문 후 180일이 지나면 자동으로 삭제됩니다. 하지만 2021년 5월에 마지막으로 개정된 개인정보 처리방침에서는 최근 180일 동안 주문을 하지 않은 고객의 주문 데이터만 삭제된다고 명시하고 있습니다.
고객 지원 센터의 한 기사에서는 구매자가 삭제를 요청해도 도시 및 국가 기록은 유지되며, 최종 삭제는 Shopify가 수행한다고 명시하고 있습니다.
8월, Trezor는 배송 파트너 ShipMonk의 침해로 거의 14,000명의 고객이 노출되었다고 밝혔고, 이후 미국 고객 약 67,000명을 추가로 집계했습니다.
Trezor의 첫 번째 공개 몇 일 후, SafePal은 주문 추적 시스템의 버그로 거의 40,000명의 고객이 노출되었다고 발표했습니다.
Cryptopolitan은 이번 달 초, Ledger가 CryptoBilis가 판매한 지갑 내부에 숨겨진 칩이 설정 과정에서 24단어 복구 문구를 읽어서 LTE를 통해 전송한다는 사실을 확인했다고 보도했습니다. 온체인 연구원들은 손실 규모가 8,600만 달러 이상이라고 추정했습니다.
이에 따라 Trezor은 2027년 1일부터 일부 재판매업체에 대한 판매를 중단할 예정입니다.
Keystone 지갑은 QR 코드를 사용하여 거래에 서명하므로 USB, Bluetooth 또는 Wi-Fi 연결이 필요하지 않습니다. 해킹은 회사의 Shopify 스토어에 영향을 미쳤습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
Keystone 침해로 어떤 데이터가 노출되었습니까?
이름, 연락처 정보, 배송 주소 및 주문 세부 사항(구매한 품목 및 가격 포함)이 유출되었습니다. 결제 데이터, 복구 문구 또는 개인 키는 노출되지 않았습니다.
Keystone은 언제 이 침해 사고를 인지했습니까?
Keystone은 10월 20일 무단 접근을 감지했으며, 10월 23일에 제3자가 고객의 배송 데이터를 확보했음을 확인했습니다.
고객들은 왜 Keystone의 데이터 정책을 의문시합니까?
Keystone은 주문 후 180일이 경과하면 배송 데이터를 삭제하겠다고 약속했지만, 일부 고객은 과거 주문의 데이터가 유출되었다고 주장합니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
