סורקים עם הארנק החומרתי קוד QR מאתר היצרן, המכשיר מציג קוד, ואתם מקלידים אותו בדף. אם הקוד מתאים, המכשיר מקורי. חברת Keystone הודיעה שהמפתח שמאחורי הבדיקה הזאת נגנב מהאתר שלה, ולכן היא משמידה 18,835 מכשירים שטרם נמכרו.

מה קרה

הבדיקה פשוטה יותר ממה שהיא נראית. בתוך כל ארנק של Keystone צרוב מפתח סודי, זהה לכל המכשירים מאותה סדרה. קוד ה-QR שהאתר מציג מכיל את הקוד המבוקש בצורה מוצפנת, המכשיר מפענח אותו בעזרת המפתח הצרוב בו, וההתאמה מוכיחה שהמפתח נמצא אצלו. היצרן קורא למנגנון הזה WebAuth.

לפי החברה, התוקף ניצל חולשה בכלי ניטור נתונים של צד שלישי שהאתר השתמש בו, הסלים דרכו הרשאות, והגיע גם לנתוני לקוחות וגם למפתח. Keystone גילתה את הגישה הלא מורשית ב-20 באוקטובר, חסמה אותה ותיקנה את החולשה. מתי נכנס התוקף לראשונה, והיכן נשמר המפתח, החברה לא אמרה.

הבעיה היא שאי אפשר לתקן את זה בעדכון. המפתח נכתב בשלב הייצור לזיכרון שאפשר לכתוב אליו פעם אחת בלבד, והקושחה מסרבת לקבל מפתח שני, כך שמכשירים שכבר יוצרו אינם יכולים לעבור למפתח חדש. מי שמחזיק עותק של המפתח הישן יכול לייצר מכשיר מזויף שיעבור את הבדיקה. מכאן ההחלטה להשמיד את המלאי ולהעביר את הייצור למפתח חדש.

החברה מדגישה שהמפתח משמש רק לבדיקת המקוריות, ואין לו תפקיד ביצירת מילות השחזור, בגזירת המפתחות הפרטיים או בחתימה על עסקאות. לפי Keystone, לא דווח לה עד כה על מכשיר מזויף או על גניבה.

למה זה חשוב לכם

רוב מי שמחזיק ארנק חומרתי בישראל לא יקבל מכשיר מזויף, אבל חלק לא קטן מהקונים נמצא ברשימה שדלפה. לפי Keystone נחשפו 25,964 רשומות של קונים מהאתר בין 2024 ל-2026, ובהן שם, פרטי התקשרות, כתובת למשלוח ופרטי הזמנה, וכן 12,873 רשומות של עגלות קנייה שלא הושלמו. פרטי כרטיסי אשראי, חשבונות בנק ומספרי תעודת זהות לא נכללו, ולפי החברה הזמנות מאמזון ומערוצי מכירה אחרים לא נפגעו.

זה אותו דפוס שראינו כאן בחודשים האחרונים אצל Trezor ואצל SafePal. מה שמגיע לנפגעים בפועל אינו מכשיר מזויף אלא פנייה ממוקדת, ומי שיודע את שמכם, את כתובתכם ואת העובדה שקניתם ארנק קריפטו יכול לשלוח הודעה שנראית אמינה מאוד.

מה עושים?

קיבלתם מכשיר Keystone אחרי ה-20 באוקטובר? אל תשתמשו בו לפני שהחברה מאשרת שהוא מקורי. לפי Keystone, במכשירים האלה גם מעבר מוצלח של הבדיקה אינו שולל לחלוטין זיוף. פנו לתמיכה דרך האתר הרשמי בלבד, לא דרך קישור שהגיע בהודעה.

מכשיר שהגיע לפני ה-20 באוקטובר ועובר את הבדיקה נחשב מקורי לפי החברה, ואפשר להמשיך להשתמש בו כרגיל.

קניתם ארנק מהאתר בשנתיים האחרונות? הניחו שהפרטים שלכם בידיים לא ידועות, וחשדו בכל פנייה שמגיעה בעקבותיהם, גם אם היא מדויקת להפליא בפרטים.

את מילות השחזור לא מקלידים באף מקום מלבד המכשיר עצמו. לא באתר, לא במייל, לא בשיחת טלפון, וגם לא מול מי שמציג את עצמו כתמיכה של היצרן.

מנגנון שנועד להבדיל בין מכשיר אמיתי למזויף שווה בדיוק כמו הסוד שמאחוריו. כשהסוד יוצא, אין מה לעדכן, ואפשר רק לזרוק את המלאי ולהתחיל מפתח חדש.