دو تولیدکننده دیگر کیف پول سخت افزاری کریپتو هک شدند

دو سازنده دیگر کیف پول‌های سخت‌افزاری کریپتو در روزهای اخیر حوادث امنیتی را فاش کرده‌اند، که به شرکت‌هایی که دستگاه‌هایی را می‌فروشند که بیت‌کوین و سایر دارایی‌های کریپتو کاربران را آفلاین و دور از دسترس مهاجمان از راه دور می‌فروشند، افزوده است.

روز یکشنبه، نام تجاری کیف پول سخت‌افزار Foundation گفت که ایمیل‌های فیشینگ که به نظر می‌رسید از دامنه‌های خود می‌آیند، ادعا می‌کنند که یک تامین‌کننده ماژول‌های نمایشگر را در برخی از دستگاه‌ها تغییر داده و وجوه به طور فعال دزدیده می‌شود. کی استون، یکی دیگر از ارائه‌دهندگان کیف پول، همچنین فاش کرده است که مهاجمی که به وب‌سایت آن دسترسی پیدا کرده، کلیدی را به دست آورده است که برای تأیید اصل بودن دستگاه استفاده می‌شود، که باعث شده شرکت نزدیک به 19000 واحد فروخته نشده را نابود کند.

بنیاد در نیمه‌شب اطلاعیه‌ای را در X منتشر کرد که در آن توضیح می‌داد که ایمیل‌های هرزنامه ارسال شده‌اند که به نظر می‌رسد از دامنه‌های رسمی شرکت آمده‌اند. این شرکت گفت که این مشکل را در یک یا چند کلید Cloudflare API در معرض خطر ردیابی کرده است، که از آن زمان باطل شده است، و همچنین دامنه مخربی که در پیام‌ها به آن ارجاع داده شده است را حذف کرده است.

اطلاعیه: ایمیل های هرزنامه ارسال شده است که به نظر می رسد از دامنه های بنیاد رسمی آمده است.

ما این را به یک یا چند کلید API در معرض خطر در Cloudflare ردیابی کرده‌ایم و قبلا همه کلیدهای API را باطل کرده‌ایم.

دامنه مخرب در ایمیل هرزنامه حذف شده است.…

— FOUNDATION (@FoundationHQ) 26 اکتبر 2026

ایمیل‌های فیشینگ ظاهرا از نظر سطح جزئیات شخصی متفاوت بوده‌اند، اما همه آنها درباره فراخوان فوری دستگاه جعلی هشدار داده‌اند. در یکی از نسخه‌هایی که یکشنبه شب از [email protected] دریافت کردم، بخشی از آن نوشته شده بود: "کایل، وجوه شما در خطر است. با دقت بخوانید. یک ماژول نمایش از یکی از تامین‌کنندگان ما قبل از رسیدن به ما اصلاح شد. در حال حاضر وجوه از دستگاه‌های آسیب‌دیده گرفته می‌شود، و دستگاه شما یکی از آنهاست."

زک هربرت، یکی از بنیانگذاران و مدیر عامل بنیاد، بعدا پست کرد که برخی از زیرساخت های پشتیبان شرکت به دلیل آسیب پذیری در یک برنامه خود میزبانی شده در معرض خطر قرار گرفته است. مهاجمان به احتمال زیاد می‌توانستند به صندوق ورودی پشتیبانی مشتری دسترسی داشته باشند و ایمیل‌هایی را ارسال کنند که به نظر قانونی می‌رسیدند. این شرکت گفت که توانایی مهاجمان برای ارسال ایمیل را قطع کرده و آنها را در عرض 10 دقیقه پس از اولین گزارش کاربر از سیستم خود حذف کرده است.

برای زیرمجموعه پیام‌هایی که شامل آدرس‌های پستی یا شماره تلفن می‌شد، هربرت گفت که داده‌ها احتمالا از صندوق ورودی پشتیبانی، ارجاع متقابل با دیگر نشت‌های اخیر کریپتو یا سفارش‌های اخیر در سایت جدید Shopify بنیاد می‌آیند.

تیم بنیاد به طور فعال روی این موضوع کار می کند. من را با هر سوالی تگ کنید تا در سریع ترین زمان ممکن پاسخ دهم. زمانی که همه جزئیات را داشته باشیم، یک گزارش رسمی به اشتراک خواهیم گذاشت.

آنچه تاکنون می دانیم: برخی از زیرساخت های پشتیبان ما… https://t.co/W5paP0HjRq

— زک هربرت 🇺🇸 (@zherbert) 26 اکتبر 2026

از قضا، سه روز قبل از انتشار ایمیل‌های فیشینگ، بنیاد اعلام کرد که یک حساب ایمیل می‌تواند بزرگترین نقطه شکست در امنیت دیجیتال یک فرد باشد.

روز شنبه، Keystone ابتدا فاش کرد که دسترسی غیرمجاز به وب سایت رسمی خود را در 20 اکتبر شناسایی کرده است و سه روز بعد، پس از بررسی فعالیت API با Shopify، تایید کرد که شخص ثالثی اطلاعات حمل و نقل مشتری را به دست آورده است. این شرکت گفت داده های افشا شده شامل نام ها، جزئیات تماس، آدرس های حمل و نقل و جزئیات سفارش مانند اقلام خریداری شده و قیمت ها است.

یک به‌روزرسانی دقیق‌تر که روز دوشنبه منتشر شد، گفت که مهاجم از یک آسیب‌پذیری در ابزار نظارت بر داده‌های شخص ثالث مورد استفاده در سایت استفاده کرده است که باعث افزایش امتیازات می‌شود. علاوه بر اطلاعات مشتری، مهاجم کلید WebAuth را که Keystone برای تأیید واقعی بودن دستگاه از طریق صفحه احراز هویت آن استفاده می‌کند، به دست آورد. کلید در حین ساخت در دستگاه ها نوشته می شود و نمی توان آن را پاک یا بازنویسی کرد.

در 20 اکتبر، ما دسترسی غیرمجاز به وب سایت رسمی خود را شناسایی کردیم. پس از تأیید فعالیت API با Shopify، در 23 اکتبر تأیید کردیم که شخص ثالثی اطلاعات حمل و نقل مشتری را به دست آورده است. شما با این جزئیات به ما اعتماد کردید، و ما متاسفیم که…

— کیف پول سخت افزاری Keystone (@KeystoneWallet) 24 اکتبر 2026

کیستون گفت که این حادثه شامل 25964 سوابق خریدار بود که همچنان حاوی اطلاعات شخصی بود و خریدهای بین سال‌های 2024 تا 2026 را پوشش می‌داد. از 51083 کل سوابق خریدار Shopify، اطلاعات شخصی مرتبط با بیش از 25000 مورد قبلا در راستای خط‌مشی حفظ اطلاعات بدون مجوز شرکت پاک شده یا ناشناس شده بود. 12873 سوابق تسویه‌حساب پرداخت نشده دیگر که حاوی نام، جزئیات تماس و اطلاعات حمل و نقل بود نیز شناسایی شد.

دقیقا مانند Foundation، Keystone اذعان داشت که خط مشی حذف 180 روزه آن به طور کامل اجرا نشده است، زیرا یک ابزار خودکار برای پاک کردن انبوه به طور قابل اعتماد کار نمی کند، و برخی از کارها بدون اینکه شرکت به موقع خرابی ها را تشخیص دهد شکست خورده است.

در پاسخ، کی استون گفت که 18835 دستگاه موجود در موجودی موجود که حاوی کلید احراز هویت قدیمی هستند را نابود خواهد کرد و آنها را نمی فروشد یا ارسال نمی کند. دستگاه‌هایی که قبل از 20 اکتبر تحویل داده می‌شوند همچنان می‌توانند ازطریق فرآیند عادی تأیید شوند. برای دستگاه‌هایی که پس از آن تاریخ از کلید قدیمی استفاده می‌کنند، کیستون گفت که نمی‌تواند احتمال تقلبی بودن دستگاه را حتی در صورت گذراندن بررسی احراز هویت آنلاین کاملا رد کند، و به آن مشتریان دستور داد تا برای تأیید بیشتر با پشتیبانی تماس بگیرند.

نقض داده ها در شرکت های کیف پول سخت افزاری به دلایلی بسیار فراتر از نگرانی های فیشینگ است. یک آدرس حمل و نقل مرتبط با خرید شناخته شده دستگاهی که به طور بالقوه برای ذخیره مقادیر قابل توجهی بیت کوین استفاده می شود، می تواند یک مهاجم از راه دور را به فردی تبدیل کند که می داند هدف از نظر فیزیکی در کجا قرار دارد. محققان امنیتی بارها اشاره کرده اند که اطلاعات حمل و نقل لو رفته یک نقض امنیتی بسیار بد است، زیرا حملات فیزیکی یا آدم ربایی به دارندگان رمزارز، که در سال های اخیر در حال افزایش بوده است، می تواند به دنبال آن باشد، نه فقط کلاهبرداری های ایمیل پیچیده تر.

البته، جدی ترین حملات مربوط به کیف پول های سخت افزاری در سال جاری منجر به از دست دادن مستقیم سرمایه مشتری شد. نقص سیستم عامل Coldcard تصادفی بودن مورد استفاده برای تولید عبارات اولیه در برخی دستگاه‌ها را کاهش داد و حمله زنجیره تامین Ledger شامل اجزای پنهانی بود که قبل از رسیدن به مشتریان در دستگاه‌ها نصب شده بودند و برای گرفتن کلیدها در طول فرآیند راه‌اندازی استفاده می‌شدند.

جک توضیح می دهد که چرا کیف پول های سخت افزاری خطرناک تر از آن چیزی هستند که فکر می کنید: pic.twitter.com/LWh4NllvHy

— SHOW JACK MALLERS (@jackmallersshow) 13 اکتبر 2026

پرسش‌ها در مورد اینکه آیا کیف پول‌های سخت‌افزاری بهترین گزینه برای ذخیره‌سازی امن رمزنگاری هستند یا خیر، پس از رشته‌ای به ظاهر بی‌پایان حوادث امنیتی امسال تشدید شده است. اگرچه درست است که دستگاه‌ها کلیدهای خصوصی را از رایانه‌های متصل به اینترنت جدا می‌کنند و می‌توانند به محافظت از کاربران در برابر بسیاری از حملات از راه دور کمک کنند، الزامات عملیاتی در مورد داده‌های مشتری، زنجیره تأمین و تأیید دستگاه، سطوح حمله دیگری را ایجاد می‌کند.

علاوه بر این، شرکت‌های کیف پول سخت‌افزاری اغلب از حوادث امنیتی رقبا به عنوان فرصت‌هایی برای برجسته کردن طرح‌ها یا شیوه‌های خود استفاده می‌کنند. اما رشته اخیر حوادث امنیتی جدی منجر به این شده است که تیلور موناهان، محقق امنیت کریپتو، در X پست کند که این نوع اظهارات باید متوقف شود. او نوشت: «از اینجا به بعد، به هیچ دلیلی به هیچ وجه کیف پول سخت‌افزاری اجازه داده نمی‌شود که در کیف پول سخت‌افزاری دیگری کار کند. "آرام خخخخخخخخخخخخخخخخ."