Keystone destruirá 18,835 billeteras tras el robo de la clave de autenticación del dispositivo

Keystone planea destruir 18,835 billeteras de hardware sin vender después de que un atacante obtuvo una clave usada para verificar si sus dispositivos son genuinos. La empresa divulgó el mayor alcance del incidente el 26 de octubre, incluido el acceso a la información de clientes de su tienda en línea.

Keystone es compatible con varias billeteras de Cardano, incluidas Lace y Eternl. Lace añadió compatibilidad con Keystone en agosto, permitiendo a los usuarios gestionar activos de Cardano mientras aprueban transacciones en el dispositivo de hardware.

La brecha en el sitio web expone la clave de verificación del dispositivo

Keystone detectó un acceso inusual a su sitio web oficial el 20 de octubre. Su investigación encontró que el atacante explotó una vulnerabilidad en una herramienta de monitoreo de datos de terceros usada por el sitio, obteniendo privilegios elevados y acceso a la información de clientes y a la clave de autenticación del dispositivo.

La clave WebAuth afectada se escribe en los dispositivos durante la fabricación y no puede borrarse ni reemplazarse. Keystone la utiliza para verificar si un dispositivo es genuino mediante su página de autenticación.

Según la empresa, la posesión de la clave podría permitir a un atacante crear dispositivos falsificados que superen la verificación de autenticación. Keystone dejó de usar la clave antigua en producción y planea destruir los 18,835 dispositivos de su inventario que la contienen.

La empresa también suspendió el envío de los pedidos pendientes desde su sitio web oficial. Las ventas pasarán a un modelo de preventa hasta que se produzcan dispositivos con una nueva clave de autenticación.

Keystone emite recomendaciones para los dispositivos existentes

Keystone explicó que la clave de autenticación se usa únicamente para verificar la autenticidad del dispositivo. No se usa para generar frases de recuperación, derivar claves privadas ni firmar transacciones.

La empresa informó que el incidente no involucró frases de recuperación, claves privadas de billetera ni otras credenciales de billetera. Agregó que los clientes no necesitan mover sus activos solo por la brecha.

Para los dispositivos entregados antes del 20 de octubre, Keystone indicó que la autenticación no se ve afectada. Un dispositivo entregado antes de esa fecha puede considerarse genuino si supera la verificación de autenticación de la empresa.

Los dispositivos recibidos después del 20 de octubre que usan la clave antigua requieren una verificación adicional. Keystone advirtió que un dispositivo falsificado podría superar la verificación existente y pidió a los propietarios que contacten al soporte al cliente antes de usarlo.

Lace se conecta con Keystone por medio de códigos QR, con las transacciones aprobadas y firmadas en la billetera de hardware. La clave privada permanece en el dispositivo en lugar de aparecer en una pantalla conectada a internet.

[NEWSBREAK]

Registros de clientes y retención de datos

La brecha involucró registros de compras realizadas a través de la tienda de Shopify en el sitio web oficial de Keystone. La empresa encontró que 25,964 registros de compradores de 2024 a 2026 aún contenían información personal, incluidos nombres, datos de contacto, direcciones de envío e información de pedidos.

Otros 25,119 registros de compradores ya habían sido anonimizados antes del acceso no autorizado. Keystone también incluyó 12,873 registros de pagos no completados en su respuesta al incidente porque contenían información enviada por los usuarios durante el proceso de pago. La información de compras de Amazon y otros canales de venta no se vio afectada, según la empresa.

Keystone reconoció que parte de la información de clientes se había retenido más allá de su límite previo de 180 días porque su herramienta de eliminación automatizada no logró completar ciertas tareas. La empresa ha acortado su período de retención a 90 días y espera que Shopify complete la eliminación solicitada de los datos vencidos el 3 de noviembre.

La empresa planea notificar individualmente a los clientes afectados y proporcionar una página donde los usuarios puedan verificar si su información fue expuesta. Keystone también advirtió sobre mensajes fraudulentos que ofrecen migración de activos o solicitan devoluciones de dispositivos, indicando que no pedirá a los clientes que envíen sus dispositivos de vuelta.