Взлом Keystone усугубляется: хакеры украли ключ для проверки подлинности кошельков

Взлом Keystone раскрывает новые риски подделки устройств

В заявлении, опубликованном в понедельник, Keystone сообщил, что похищенный ключ аутентификации может позволить злоумышленникам создавать поддельные кошельки, которые пройдут проверку подлинности.

«Эти устройства могут затем попасть на продажу или быть отправлены клиентам, которые могут незаметно использовать их как подлинные продукты, что потенциально приведёт к краже активов», — заявили в Keystone.

Инцидент добавляется к серии атак, нацеленных на производителей аппаратных кошельков в этом году.

Ранее в этом месяце Ledger обратился к своим реселлерам в странах Юго-Восточной Азии и Гонконге с призывом приостановить продажи после сообщений о том, что в устройствах, проданных в этом регионе, были обнаружены несанкционированные импланты, способные перехватывать фразы восстановления.

В конце июля производитель Coldcard Coinkite выпустил предупреждение для пользователей после того, как злоумышленники использовали баг, из-за которого устройства генерировали сиды кошельков с меньшим, чем предусмотрено, уровнем энтропии, что привело к краже миллионов долларов в криптовалюте.

Keystone уничтожит более 18 000 устройств с компрометированным ключом

В своём последнем обновлении Keystone сообщил, что злоумышленник воспользовался уязвимостью в стороннем инструменте мониторинга, используемом на их сайте, для повышения своих привилегий.

«Это позволило атакующему получить некоторую информацию о клиентах и ключ, используемый для проверки подлинности наших устройств» — говорится в заявлении Keystone.

Компания планирует уничтожить 18 835 устройств из своего инвентаря, которые содержат скомпрометированный ключ, и приостановила отгрузки всех устройств, использующих этот ключ.

Keystone сообщил, что отгрузки будут возобновлены после начала производства устройств с новым ключом аутентификации.

Устройства, произведённые и поставленные до инцидента 20 октября, считаются безопасными, и проверки их подлинности остаются надёжными, заявляет Keystone.

Тем не менее, компания не может гарантировать подлинность устройств, доставленных после этой даты, и призывает пострадавших клиентов обращаться в службу поддержки для дополнительной проверки.

Keystone подтверждает утечку 25 964 записей покупателей

Keystone также раскрыл масштабы утечки данных клиентов, сообщив, что магазин его сайта на платформе Shopify сгенерировал 51 083 записи покупателей.

Из них 25 119 были удалены в соответствии с политикой хранения данных в течение 180 дней.

Однако оставшиеся 25 964 записи за период с 2024 по 2026 годы были украдены злоумышленником. Keystone объяснил, что более старые записи не были удалены из-за сбоя в автоматизированном инструменте, используемом для массового удаления данных.

«Инструмент работал нестабильно. Некоторые задачи по удалению не выполнялись, и мы не обнаружили и не устранили эти сбои вовремя, что привело к сохранению определённой личной информации сверх разрешённого срока» — говорится в заявлении Keystone.

Кроме того, атакующему удалось похитить ещё 12 873 записи оформленных заказов клиентов, которые Shopify сохранял — информация о покупках, которые не были завершены.

Keystone сообщил, что обратился в Shopify с просьбой удалить личные данные из записей незавершённых заказов, хранимых более 30 дней.

Этот инцидент отчасти повторяет утечку данных в Ledger в июне 2020 года, когда были раскрыты более миллиона адресов электронной почты, а также имена клиентов, номера телефонов и физические адреса. Утекшая информация стала причиной многолетних фишинговых атак на пострадавших пользователей.

Другие производители аппаратных кошельков также пострадали от утечек, связанных с информацией клиентов и сторонними сервисами в этом году.

В августе Trezor сообщил о нарушении безопасности у своего партнёра по доставке, что привело к раскрытию данных клиентов, а число пострадавших пользователей выросло до более 80 000 в сентябре.

SafePal в августе также сообщил об уязвимости в отслеживании заказов, которая раскрыла данные почти 40 000 клиентов, а BitBox стал целью фишинговой кампании в сентябре, связанной с компрометацией стороннего почтового провайдера.