Keystone wird nach Diebstahl des Geräteauthentifizierungsschlüssels 18,835 Wallets zerstören

Keystone plant, 18,835 unverkaufte Hardware Wallets zu vernichten, nachdem ein Angreifer einen Schlüssel erlangt hatte, mit dem überprüft wird, ob seine Geräte echt sind. Das Unternehmen gab am 26. Oktober das größere Ausmaß des Vorfalls bekannt, einschließlich des Zugriffs auf Kundendaten aus seinem Onlineshop.

Keystone unterstützt mehrere Cardano Wallets, darunter Lace und Eternl. Lace fügte im August Unterstützung für Keystone hinzu, sodass Nutzer Cardano Assets verwalten können, während sie Transaktionen auf dem Hardware Gerät genehmigen.

Website Sicherheitsverletzung legt Geräteverifizierungsschlüssel offen

Keystone stellte am 20. Oktober ungewöhnliche Zugriffe auf seine offizielle Website fest. Die Untersuchung ergab, dass der Angreifer eine Schwachstelle in einem von der Seite verwendeten Tool zur Datenüberwachung eines Drittanbieters ausnutzte und so erweiterte Berechtigungen sowie Zugriff auf Kundendaten und den Geräteauthentifizierungsschlüssel erlangte.

Der betroffene WebAuth Schlüssel wird während der Produktion in die Geräte geschrieben und kann nicht gelöscht oder ersetzt werden. Keystone nutzt ihn, um über seine Authentifizierungsseite zu prüfen, ob ein Gerät echt ist.

Laut dem Unternehmen könnte der Besitz des Schlüssels einem Angreifer ermöglichen, gefälschte Geräte herzustellen, die die Authentifizierungsprüfung bestehen. Keystone hat die Verwendung des alten Schlüssels in der Produktion eingestellt und plant, alle 18,835 Geräte im Lager zu vernichten, die ihn enthalten.

Das Unternehmen hat zudem den Versand offener Bestellungen von seiner offiziellen Website ausgesetzt. Der Verkauf wird auf ein Vorbestellmodell umgestellt, bis Geräte mit einem neuen Authentifizierungsschlüssel produziert sind.

Keystone gibt Hinweise für bestehende Geräte

Keystone erklärte, dass der Authentifizierungsschlüssel ausschließlich zur Überprüfung der Geräteauthentizität verwendet wird. Er wird nicht zur Erstellung von Wiederherstellungsphrasen, zum Ableiten privater Schlüssel oder zum Signieren von Transaktionen genutzt.

Das Unternehmen berichtete, dass der Vorfall keine Wiederherstellungsphrasen, private Wallet Schlüssel oder andere Wallet Zugangsdaten betraf. Es fügte hinzu, dass Kunden ihre Assets nicht allein wegen der Sicherheitsverletzung verschieben müssen.

Für Geräte, die vor dem 20. Oktober ausgeliefert wurden, erklärte Keystone, dass die Authentifizierung unverändert bleibt. Ein Gerät, das vor diesem Datum geliefert wurde, kann als echt gelten, wenn es die Authentifizierungsprüfung des Unternehmens besteht.

Geräte, die nach dem 20. Oktober eingegangen sind und den alten Schlüssel verwenden, erfordern eine zusätzliche Überprüfung. Keystone warnte, dass ein gefälschtes Gerät die bestehende Prüfung bestehen könnte, und wies Besitzer an, vor der Nutzung den Kundensupport zu kontaktieren.

Lace verbindet sich über QR Codes mit Keystone, wobei Transaktionen auf der Hardware Wallet genehmigt und signiert werden. Der private Schlüssel verbleibt auf dem Gerät und erscheint nicht auf einem mit dem Internet verbundenen Bildschirm.

[NEWSBREAK]

Kundendaten und Aufbewahrung

Der Vorfall betraf Datensätze von Käufen über den Shopify Store auf der offiziellen Website von Keystone. Das Unternehmen stellte fest, dass 25,964 Käuferdatensätze aus den Jahren 2024 bis 2026 noch persönliche Informationen enthielten, darunter Namen, Kontaktdaten, Versandadressen und Bestellinformationen.

Weitere 25,119 Käuferdatensätze waren bereits vor dem unbefugten Zugriff anonymisiert worden. In seine Reaktion auf den Vorfall bezog Keystone auch 12,873 unbezahlte Checkout Datensätze ein, da sie Informationen enthielten, die Nutzer beim Checkout übermittelt hatten. Kaufinformationen von Amazon und anderen Vertriebskanälen waren nach Angaben des Unternehmens nicht betroffen.

Keystone räumte ein, dass einige Kundendaten über die bisherige Frist von 180 Tagen hinaus aufbewahrt worden waren, weil das automatisierte Löschtool bestimmte Aufgaben nicht abgeschlossen hatte. Das Unternehmen hat seinen Aufbewahrungszeitraum auf 90 Tage verkürzt und erwartet, dass Shopify die angeforderte Löschung überfälliger Daten am 3. November abschließt.

Das Unternehmen plant, betroffene Kunden individuell zu benachrichtigen und eine Seite bereitzustellen, auf der Nutzer prüfen können, ob ihre Informationen offengelegt wurden. Keystone warnte zudem vor betrügerischen Nachrichten, die eine Migration von Assets anbieten oder zur Rücksendung von Geräten auffordern, und erklärte, dass es Kunden nicht dazu auffordern wird, ihre Geräte zurückzusenden.