Keystone знищить 18 835 пристроїв через скомпрометований ключ безпеки
Компанія Keystone знищить 18 835 апаратних гаманців зі складу, у яких використано скомпрометований ключ безпеки. Цей ключ записується в гаманці під час виробництва й не може бути стертий або перезаписаний. Keystone запевняє, що ключ не застосовується для генерації seed-фраз, створення приватних ключів чи підписання транзакцій. Втім, отримавши ключ, зловмисник може виготовляти підробні пристрої, які успішно проходять перевірку автентичності Keystone. Якщо такі підробки потраплять до клієнтів, які вважатимуть їх справжніми продуктами Keystone, вони втратять криптоактиви.
Компанія повністю припиняє використання старого ключа. Усі нові пристрої виходитимуть із новим ключем автентифікації. Keystone обіцяє знищити гаманці зі складу, що містять скомпрометований ключ, і не продавати їх. Відвантаження всіх неоплачених пристроїв, замовлених через офіційний сайт, призупинено; продажі переведено в режим попереднього замовлення до відновлення виробництва пристроїв із новим ключем.
20 жовтня системи моніторингу Keystone виявили підозрілу активність на сайті. Невідома особа використала вразливість інструменту моніторингу даних. Унаслідок інциденту скомпрометовано персональні дані 25 964 клієнтів, які оформлювали замовлення на платформі Shopify у 2024–2026 роках. Було розкрито імена, контактні дані, адреси доставки та інформацію про замовлення. Доступ до seed-фраз, приватних ключів і платіжної інформації користувачів зловмисник не отримав.
За внутрішньою політикою Keystone дані клієнтів мають видалятися через 180 днів, проте представники компанії кажуть, що автоматизований інструмент масового видалення дав збій. Вони визнали: скомпрометовані дані не було видалено вчасно. Хакер отримав доступ до 12 873 записів про незавершені замовлення, які також містили імена, контактні дані та адреси доставки.
Пристрої, доставлені до 20 жовтня, виробник вважає придатними до використання за умови проходження перевірки автентичності. Клієнтам, які отримали гаманець зі старим ключем після 20 жовтня, радять звернутися до служби підтримки для додаткової перевірки. Навіть якщо пристрій проходить автентифікацію, повністю виключити ймовірність підробки неможливо. Компанія заявила, що не проситиме власників гаманців повертати пристрої. Будь-кого, хто просить надіслати гаманець на заміну, оголошено шахраєм.
Раніше інший великий виробник апаратних гаманців Ledger визнав, що група хакерів цілеспрямовано купувала пристрої. Зловмисники відкривали гаманці та встановлювали приховані модулі для перехоплення seed-фраз. Гаманці зі шпигунськими модулями з’являлися навіть на російському маркетплейсі Ozon.
