Ledger Kullanıcıları dikkat! İfşa olmuş olabilirsiniz

[KoinBulteni]

Kripto para sektörünün en büyük markalarından biri olan Ledger, haziran ayında yaşanan bir güvenlik açığının detaylarını paylaştı.

Herhangi bir paniğe, telaşa yol açmamak için yazının başında belirtelim: Bildiğimiz kadarıyla şu anda Ledger’ın herhangi bir güvenlik açığı yok. Fakat haziran ayında varmış.

Ledger’ın bu sabahki duyurusuna göre şirketin pazarlama ve e-ticaret birimleri için kullandığı veritabanında bir güvenlik açığı bulundu. Ledger’ın açıklamalarına göre bazı müşterilerin iletişim bilgileri bu güvenlik açığı yüzünden İnternet’e sızdırıldı.

Paralara Bir Şey Oldu mu?
Bir araştırmacı haziran ayının başlarında Ledger’ın açtığı bounty programına katıldı. Şirketin güvenlik düzeyini inceleyen bu araştırmacı, 14 Temmuz tarihinde Ledger ile iletişime geçerek şirketin websitesinde bir güvenlik açığı bulduğunu söyledi.

Sitedeki güvenlik açığını keşfeden Ledger ekibi bu açığı giderebilmek için hemen çalışmara başladı. Fakat araştırmacılar geç kaldıklarını kısa süre içerisinde fark ettiler. Çünkü bir saldırgan bu güvenlik açığını 25 Haziran tarihinde fark etti ve Ledger’ın veritabanına sızdı.

Bu saldırgan şirketin pazarlama ve e-ticaret amaçlı veritabanlarına sızdığı için kullanıcıların özel anahtarlarına erişmesi mümkün değildi. Dolayısıyla kullanıcıların ödeme bilgileri, şifreleri ve bakiyeleri herhangi bir şekilde zarar görmedi. Bu arada bu güvenlik açığının Ledger’ın donanım cüzdanlarıyla da bağlantılı olmadığını söyleyelim.

Zarar Ne Kadar Büyük?
Özel anahtarların, ödeme bilgilerinin güvende olması bu saldırının zararsız olduğu anlamına gelmiyor. Çünkü Ledger’ın açıklamalarına göre bu saldırı sırasında hemen hemen bir milyon kişinin e-posta adresi ifşa oldu:

“(Saldırı sırasında) yalnızca iletişim ve sipariş bilgileri ifşa olmuştur. Hemen hemen 1 milyon müşterimizin e-posta adresi açığa çıkmıştır. Yaptığımız araştırmalar sonucunda bazı müşterilerimizin ad ve soyadlarının, posta adreslerinin ve telefon numaralarının da ifşa olduğunu fark ettik.”

Özür Diliyor
Ledger bu güvenlik açığını fark ettikten sonra Orange Cyberdefense gibi şirketlerle işbirliği yapmaya başladı. Şirket ayrıca bu saldırının ölçeğini iyice anlayabilmek için Fransa’daki Veri Koruma Otoritesi ile de işbirliği yapıyor.

Ledger konu hakkında yayınladığı duyuruda bu saldırıdan etkilenmiş olan kullanıcılardan özür dilediğini söyledi ve şu açıklamayı yaptı:

“Veri gizliliğine büyük önem veriyoruz. Bu güvenlik açığını da yine kendi bounty programımız sayesinde keşfettik. Güvenlik açığını en kısa süre içerisinde ortadan kaldırdık. Fakat sorunu ortadan kaldırmış olsak da, size verdiğimiz rahatsızlıktan ötürü özür diliyoruz.”

Ledger ayrıca bu saldırıdan etkilenmiş olan, yani e-postası sızdırılmış olan kullanıcıları olası phishing saldırılarına karşı uyarıyor:

https://twitter.com/Ledger/status/1288372786885468160?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1288372788227649536%7Ctwgr%5E&ref_url=https%3A%2F%2Fkoinbulteni.com%2Fbir-milyon-ledger-kullanicisinin-epostasi-ifsa-75953.html

Kaynak: Kriptopara haberleri

[chemist35]

Ledger gıbı buyuk bı fırma boyle bı durumu kucuk ozurle gıdermemelı ledger guvenlı dıe belkı ben en sık kullandıgım adresı verdım bu epostalara pıshıng saldırısı olursa bunun sorumlusu kım olacak

[RaltcoinsB]

Vay arkadaş yeni ledger kazandık , neyse ki Haziranda imiş sorun  kullanıcı kaydı sonradan olanlarda sorun olmuyordur muhtemelen ama yine de böyle bir zaafiyet çok kötü olmuş

[Nadziratel]

Benzer bir sorun bir kaç ay önce Trezor da da ortaya çıkmıştı. Ama sanırım herhangi bir kripto kaybı bu iki durumda da yok. Bu da üçüz atlatıldığı anlamına geliyor. Zaten Ledger vs. de güvenilmez dersek iş sakat.

[flipme]

Bu tür cüzdanlarda da böyle sorunlarla karşılacaksak biz neye/kime tam olarak güvencez arkadaş anlamış değilim. Bu olay bize bir kere daha internette bütün verilerin bir şekilde ele geçirilme ihtimali olduğunu, çok dikkatli olmak gerektiğini gösteriyor. Koskoca firmanın küçücük bir kusura bakmayın demesi de çok garibime gitti, bu işi bu kadar küçümserlerse çok fazla müşteri kaybına uğrayabilirler. Umarım ders olmuştur ve bundan sonra çok daha dikkatli hareket ederler.

[onurgozupek]

Bu tür cüzdanlarda da böyle sorunlarla karşılacaksak biz neye/kime tam olarak güvencez arkadaş anlamış değilim. Bu olay bize bir kere daha internette bütün verilerin bir şekilde ele geçirilme ihtimali olduğunu, çok dikkatli olmak gerektiğini gösteriyor. Koskoca firmanın küçücük bir kusura bakmayın demesi de çok garibime gitti, bu işi bu kadar küçümserlerse çok fazla müşteri kaybına uğrayabilirler. Umarım ders olmuştur ve bundan sonra çok daha dikkatli hareket ederler.

Cüzdanla ilgili bir sorun olmadığını defalarca duyurdular. Sorun web sitesinden veri çalınmış olması.

Ledger senin anahtar kelimelerini bilmiyor ki başkası ondan çalabilsin? Sadece senin bildiğin anahtar kelimeyi kim nasıl çalacak?

[flipme]

Bu tür cüzdanlarda da böyle sorunlarla karşılacaksak biz neye/kime tam olarak güvencez arkadaş anlamış değilim. Bu olay bize bir kere daha internette bütün verilerin bir şekilde ele geçirilme ihtimali olduğunu, çok dikkatli olmak gerektiğini gösteriyor. Koskoca firmanın küçücük bir kusura bakmayın demesi de çok garibime gitti, bu işi bu kadar küçümserlerse çok fazla müşteri kaybına uğrayabilirler. Umarım ders olmuştur ve bundan sonra çok daha dikkatli hareket ederler.

Cüzdanla ilgili bir sorun olmadığını defalarca duyurdular. Sorun web sitesinden veri çalınmış olması.

Ledger senin anahtar kelimelerini bilmiyor ki başkası ondan çalabilsin? Sadece senin bildiğin anahtar kelimeyi kim nasıl çalacak?

Hocam dikkat ettiyseniz ben zaten anahtar çalınması ile ilgili bir şey demedim, onun çalınmadığını biliyorum ama böyle bir soğuk donanım firmasının kullanıcılarının email adreslerini bile çaldırması insanın kafasında soru işaretleri yaratır. Mail adresimi saklayamayan firmanın sattığı donanımda paramı saklıyorum, güvende miyim acaba diye düşünür insan.

[lossnet]

E-posta ve telefon numarası gibi bilgiler çalınmış. Bu saldırıyı yapan kişi ya da kişiler de biliyordur ki cüzdan şifreleriyle ilgili bir şeyi ele geçiremeyacakler! Bu şifreler zaten kullanıcıların kendilerinde bulunuyor ve Ledger'in bunlara erişimi yok. Bu açıdan bakarsak, bir statü saldırısı olarak görüyorum bunu. Hem kendilerini test etmek hem de Ledger'i zorda bırakmak için düzenlenmiş olmalı bu saldırı. Hatta Ledger'i arayıp bilgi veren kişi (araştırmacı olarak geçiyor haberde) bile yapmış olabilir. Geçmişte çok örnekleri var bunun. Adamlar saldırı yapıyor ama şirketin haberi bile olmayabiliyor. Arayıp, "biz geçen hafta size saldırdık" diyebiliyorlar :)

[kriminall]

Ledger almayı düşünüyordum, bu haber biraz bende kuşku uyandırdı, yarın birgün paralarımıza ulaşırlarsa ne olacak, torunlara aktaracağım btclere birşey olursa çok üzülürüm