Keystone va détruire 18,835 portefeuilles après le vol de la clé d’authentification des appareils

Keystone prévoit de détruire 18,835 portefeuilles matériels invendus après qu’un attaquant a obtenu une clé utilisée pour vérifier si ses appareils sont authentiques. L’entreprise a dévoilé l’ampleur élargie de l’incident le 26 octobre, y compris l’accès à des informations clients issues de sa boutique en ligne.

Keystone prend en charge plusieurs portefeuilles Cardano, dont Lace et Eternl. Lace a ajouté la prise en charge de Keystone en août, ce qui permet aux utilisateurs de gérer des actifs Cardano tout en approuvant les transactions sur l’appareil matériel.

La violation du site web expose la clé de vérification des appareils

Keystone a détecté un accès inhabituel à son site web officiel le 20 octobre. Son enquête a révélé que l’attaquant avait exploité une vulnérabilité dans un outil tiers de surveillance des données utilisé par le site, obtenant des privilèges élevés ainsi qu’un accès aux informations clients et à la clé d’authentification des appareils.

La clé WebAuth concernée est inscrite dans les appareils lors de la fabrication et ne peut pas être effacée ni remplacée. Keystone l’utilise pour vérifier si un appareil est authentique via sa page d’authentification.

Selon l’entreprise, la possession de cette clé pourrait permettre à un attaquant de fabriquer des appareils contrefaits qui réussiraient la vérification d’authentification. Keystone a cessé d’utiliser l’ancienne clé en production et prévoit de détruire les 18,835 appareils de son inventaire qui l’intègrent.

L’entreprise a également suspendu l’expédition des commandes non encore honorées depuis son site officiel. Les ventes passeront à un modèle de précommande jusqu’à la production d’appareils dotés d’une nouvelle clé d’authentification.

Keystone publie des recommandations pour les appareils existants

Keystone a expliqué que la clé d’authentification sert uniquement à vérifier l’authenticité de l’appareil. Elle n’est pas utilisée pour générer des phrases de récupération, dériver des clés privées ou signer des transactions.

L’entreprise a indiqué que l’incident n’impliquait pas de phrases de récupération, de clés privées de portefeuille ni d’autres identifiants de portefeuille. Elle a ajouté que les clients n’ont pas besoin de déplacer leurs actifs uniquement à cause de cette violation.

Pour les appareils livrés avant le 20 octobre, Keystone a déclaré que l’authentification reste inchangée. Un appareil livré avant cette date peut être considéré comme authentique s’il réussit la vérification d’authentification de l’entreprise.

Les appareils reçus après le 20 octobre et utilisant l’ancienne clé nécessitent une vérification supplémentaire. Keystone a averti qu’un appareil contrefait pourrait réussir la vérification actuelle et a demandé aux propriétaires de contacter l’assistance client avant de l’utiliser.

Lace se connecte à Keystone via des codes QR, les transactions étant approuvées et signées sur le portefeuille matériel. La clé privée reste sur l’appareil plutôt que d’apparaître sur un écran connecté à Internet.

[NEWSBREAK]

Dossiers clients et conservation des données

La violation a impliqué des enregistrements d’achats effectués via la boutique Shopify sur le site officiel de Keystone. L’entreprise a constaté que 25,964 dossiers d’acheteurs de 2024 à 2026 contenaient encore des informations personnelles, notamment des noms, des coordonnées, des adresses de livraison et des informations de commande.

Un autre ensemble de 25,119 dossiers d’acheteurs avait déjà été anonymisé avant l’accès non autorisé. Keystone a également inclus 12,873 enregistrements de paniers non payés dans sa réponse à l’incident, car ils contenaient des informations soumises par les utilisateurs lors du passage en caisse. Les informations d’achat provenant d’Amazon et d’autres canaux de vente n’ont pas été affectées, selon l’entreprise.

Keystone a reconnu que certaines informations clients avaient été conservées au delà de sa précédente limite de 180 jours, car son outil automatisé de suppression n’avait pas réussi à accomplir certaines tâches. L’entreprise a raccourci sa période de conservation à 90 jours et s’attend à ce que Shopify termine la suppression demandée des données en retard le 3 novembre.

L’entreprise prévoit d’informer individuellement les clients concernés et de fournir une page où les utilisateurs peuvent vérifier si leurs informations ont été exposées. Keystone a également mis en garde contre des messages frauduleux proposant une migration d’actifs ou demandant le renvoi d’appareils, en précisant qu’elle ne demandera pas aux clients de renvoyer leurs appareils.