Keystone адклікае апаратныя гаманцы пасля крадзяжу фабрычнага ключа аўтэнтыфікацыі

Keystone, вытворца апаратных біткоін-гаманцоў, паведаміла ў понедзялак, што знішчыць 18 835 нерэалізаваных прылад пасля таго, як зламыснікі атрымалі крыптаграфічны ключ, які пацвярджае аўтэнтычнасць яе абсталявання. Кампанія таксама прыпыніла адгрузку ўсіх заказаў, якія яшчэ не пакінулі яе склад, праз свой сайт.

Кампанія падкрэсліла, што фразы аднаўлення і прыватныя ключы не былі скампраметаваны. Асноўная занепакоенасць заключаецца ў тым, што можна стварыць падробленую прыладу, якая пройдзе ўласную праверку аўтэнтычнасці Keystone, паколькі яна залежыць ад украдзенага ключа. Такая прылада можа быць перапрададзена нічога не падазраючаму пакупніку, які потым захавае на ёй рэальныя сродкі.

Што было раскрыта

Keystone апісала скрадзенае як ключ WebAuth — сакрэтнае значэнне, якое ўносіцца ў кожную прыладу падчас вытворчасці. Ён дазваляе старонцы праверкі на сайце кампаніі пацвярджаць, што абсталяванне сапраўднае і не можа быць сцерта або зменена. Кампанія знішчае запасы прылад, якія яго ўтрымліваюць, замест таго каб іх прадаваць.

Keystone упершыню паведаміла ў суботу, што трэцяя асоба атрымала доступ да дадзеных аб адгрузцы кліентаў. Апошняя заява пацвердзіла крадзеж ключа і вызначыла колькасць пацярпелых запісаў пакупнікоў у 25 964. Кампанія не назвала зламысніка і не сказала, калі пачаўся доступ.

Збой захавання дадзеных

Запісы паходзяць з крамы Keystone на Shopify. З 51 083 запісаў пакупнікоў, якія былі задзейнічаны, 25 119 ужо былі ананімізаваны, а астатнія 25 964 тычыліся пакупак з 2024 па 2026 год і ўсё яшчэ змяшчалі імёны, кантактную інфармацыю, адрасы дастаўкі і звесткі пра заказы. Продажы праз Amazon і іншыя каналы не закранула.

Палітыка Keystone прадугледжвала выдаленне запісаў пакупнікоў праз 180 дзён, але аўтаматызаваны інструмент выдалення, які яна стварыла, працаваў ненадзейна. Кампанія прызнала, што некаторыя задачы па выдаленні не выконваліся і не былі своечасова выяўлены, і ўзяла на сябе адказнасць. Пасля гэтага яна скараціла тэрмін захавання да 90 дзён і 24 кастрычніка звярнулася да Shopify з просьбай выдаліць усе пратэрмінаваныя дадзеныя пакупнікоў, завяршэнне чакаецца 3 лістапада.

Keystone таксама папярэдзіла кліентаў аб махлярстве, у тым ліку пра паведамленні, якія прапануюць «міграцыю актываў» або «дапамогу ў расследаванні», і запыты на адпраўку прылад назад пад выглядам адклікання. Кампанія заявіла, што паведаміла пра інцыдэнт уладам ЕС, Вялікабрытаніі і іншых юрысдыкцый, а продаж на сайце перайдзе на папярэдні заказ, пакуль не будуць выраблены прылады з новым ключом. Даных аб рынкавай цане закранутых токенаў не было.