Keystone уничтожит 18 835 аппаратных кошельков из-за утечки ключа аутентификации
Компания Keystone приняла решение уничтожить 18 835 устройств со склада после того, как злоумышленник получил доступ к ключу проверки подлинности. Инцидент также привел к компрометации персональных данных почти 26 тысяч покупателей.
Keystone объявила об уничтожении 18 835 аппаратных кошельков, находящихся на складе. Причиной стало то, что злоумышленник, получивший доступ к клиентским данным, завладел ключом, который компания использует для проверки подлинности своих устройств. Этот ключ записывается в кошельки на этапе производства и не может быть стерт или перезаписан.
Компания заверила, что скомпрометированный ключ не применяется для генерации сид-фраз, создания приватных ключей или подписания транзакций. Однако с его помощью атакующий может создавать поддельные устройства, успешно проходящие проверку подлинности на сайте Keystone. Если такие фальшивые кошельки попадут к клиентам, те могут лишиться своих криптоактивов.
В связи с инцидентом Keystone полностью прекращает использование старого ключа. Все новые устройства будут выпускаться с новым ключом аутентификации. 18 835 кошельков на складе, содержащих скомпрометированный ключ, будут уничтожены и не поступят в продажу. Компания также приостановила отправку всех неоплаченных устройств, заказанных через официальный сайт, и перевела продажи в режим предзаказов до налаживания производства устройств с новым ключом.
20 октября системы мониторинга Keystone зафиксировали подозрительную активность на сайте. Неизвестный воспользовался уязвимостью в инструменте мониторинга данных. В результате были скомпрометированы персональные данные 25 964 покупателей, оформивших заказы на платформе Shopify с 2024 по 2026 год. В открытом доступе оказались имена, контактные данные, адреса доставки и информация о заказах. Злоумышленник не получил доступ к сид-фразам, приватным ключам и платежным данным пользователей.
Согласно внутренней политике Keystone, данные покупателей должны удаляться через 180 дней, однако автоматизированный инструмент для массового удаления сработал некорректно. Представители компании признали, что скомпрометированные данные не были удалены вовремя. Хакер также получил доступ к 12 873 записям о незавершенных заказах, где содержались имена, контактные данные и адреса доставки.
Устройства, доставленные до 20 октября, производитель предлагает считать пригодными к использованию при условии успешного прохождения проверки на подлинность. Покупателям, получившим кошелек со старым ключом после 20 октября, рекомендуется обратиться в службу поддержки для дополнительной проверки. Даже если устройство проходит аутентификацию, нельзя исключать вероятность того, что это подделка.
Компания объявила, что не будет просить владельцев кошельков вернуть устройства. Любой, кто потребует отправить кошелек для замены, объявлен мошенником.
Ранее другой крупный производитель аппаратных криптокошельков, компания Ledger, признала, что группа хакеров специально скупала устройства. Злоумышленники вскрывали кошельки и устанавливали скрытые модули для перехвата сид-фраз. Кошельки со шпионскими модулями появились даже на российском маркетплейсе Ozon.