Keystone wycofuje portfele sprzętowe po kradzieży fabrycznego klucza uwierzytelniającego

Keystone, producent sprzętowych portfeli Bitcoin, poinformował w poniedziałek, że zniszczy 18 835 niesprzedanych urządzeń po tym, jak atakujący zdobyli klucz kryptograficzny potwierdzający autentyczność jego sprzętu. Firma wstrzymała również na swojej stronie internetowej wysyłki wszystkich zamówień, które nie opuściły jeszcze jej magazynu.

Firma podkreśliła, że frazy odzyskiwania i klucze prywatne nie zostały naruszone. Problem polega na tym, że można by zbudować podrobione urządzenie, które przejdzie własną kontrolę autentyczności Keystone, ponieważ opiera się ona na skradzionym kluczu. Takie urządzenie mogłoby zostać odsprzedane nieświadomemu kupującemu, który następnie przechowywałby na nim prawdziwe środki.

Co wyciekło

Keystone opisał skradziony element jako klucz WebAuth, tajną wartość umieszczaną w każdym urządzeniu podczas produkcji. Pozwala ona stronie weryfikacyjnej na witrynie firmy potwierdzić, że sprzęt jest oryginalny i nie może zostać wymazany ani zmieniony. Firma niszczy magazynowe jednostki, na których ten klucz się znajduje, zamiast je sprzedawać.

Keystone po raz pierwszy ujawnił w sobotę, że osoba trzecia uzyskała dostęp do danych wysyłkowych klientów. Najnowsze oświadczenie potwierdziło kradzież klucza i określiło liczbę dotkniętych rekordów kupujących na 25 964. Firma nie wskazała atakującego ani nie podała, kiedy dostęp został uzyskany.

Awaria w przechowywaniu danych

Rekordy pochodziły ze sklepu Keystone na platformie Shopify. Spośród 51 083 rekordów kupujących objętych incydentem 25 119 zostało już zanonimizowanych, a pozostałe 25 964 dotyczyły zakupów dokonanych w latach 2024–2026 i nadal zawierały imiona i nazwiska, dane kontaktowe, adresy wysyłki oraz szczegóły zamówień. Sprzedaż realizowana przez Amazon i inne kanały nie została dotknięta.

Polityka Keystone przewidywała usuwanie rekordów kupujących po 180 dniach, jednak zbudowane przez firmę zautomatyzowane narzędzie do usuwania nie działało niezawodnie. Firma przyznała, że niektóre zadania usuwania kończyły się niepowodzeniem, nie zostając wykryte na czas, i wzięła za to odpowiedzialność. Od tego czasu skróciła okres przechowywania do 90 dni i 24 października zwróciła się do Shopify o usunięcie wszystkich przeterminowanych danych kupujących, a zakończenie tego procesu zaplanowano na 3 listopada.

Keystone ostrzegł także klientów przed oszustwami, w tym przed wiadomościami oferującymi „migrację aktywów” lub „pomoc w śledztwie” oraz prośbami o odesłanie urządzeń pod pretekstem wycofania. Firma poinformowała, że zgłosiła incydent organom w UE, Wielkiej Brytanii i innych jurysdykcjach, a sprzedaż na stronie zostanie przeniesiona na przedsprzedaż do czasu wyprodukowania urządzeń z nowym kluczem. Dane o cenach rynkowych dotkniętych tokenów nie były dostępne.