Keystone će uništiti 18,835 hardverskih novčanika nakon krađe ključa za autentikaciju uređaja

Keystone planira uništiti 18,835 neprodanih hardverskih novčanika nakon što je napadač pribavio ključ koji se koristi za provjeru jesu li njihovi uređaji originalni. Tvrtka je 26. listopada otkrila širi opseg incidenta, uključujući pristup podacima kupaca iz svoje internetske trgovine.

Keystone podržava nekoliko Cardano novčanika, uključujući Lace i Eternl. Lace je u kolovozu dodao podršku za Keystone, omogućujući korisnicima upravljanje Cardano imovinom uz odobravanje transakcija na hardverskom uređaju.

Proboj web stranice izložio ključ za autentikaciju uređaja

Keystone je 20. listopada otkrio neuobičajen pristup svojoj službenoj web stranici. Istragom je utvrđeno da je napadač iskoristio ranjivost u alatu za nadzor podataka treće strane koji koristi stranica, čime je stekao povišene privilegije i pristup podacima korisnika te ključu za autentikaciju uređaja.

Pogođeni WebAuth ključ upisuje se u uređaje tijekom proizvodnje i ne može se izbrisati niti zamijeniti. Keystone ga koristi za provjeru je li uređaj originalan putem svoje stranice za autentikaciju.

Prema navodima tvrtke, posjedovanje tog ključa moglo bi napadaču omogućiti izradu krivotvorenih uređaja koji prolaze provjeru autentikacije. Keystone je prestao koristiti stari ključ u proizvodnji i planira uništiti svih 18,835 uređaja na zalihi koji ga sadrže.

Tvrtka je također obustavila otpremu neispunjenih narudžbi sa svoje službene web stranice. Prodaja će prijeći na model prednarudžbi dok se ne proizvedu uređaji s novim ključem za autentikaciju.

Keystone izdaje upute za postojeće uređaje

Keystone je objasnio da se ključ za autentikaciju koristi samo za provjeru autentičnosti uređaja. Ne koristi se za generiranje fraza za oporavak, izvođenje privatnih ključeva niti za potpisivanje transakcija.

Tvrtka je izvijestila da incident nije uključivao fraze za oporavak, privatne ključeve novčanika niti druge vjerodajnice novčanika. Dodala je da korisnici ne trebaju premještati svoju imovinu isključivo zbog ovog proboja.

Za uređaje isporučene prije 20. listopada, Keystone je naveo da autentikacija ostaje nepromijenjena. Uređaj isporučen prije tog datuma može se smatrati originalnim ako prođe tvrtkinu provjeru autentikacije.

Uređaji zaprimljeni nakon 20. listopada koji koriste stari ključ zahtijevaju dodatnu provjeru. Keystone je upozorio da bi krivotvoreni uređaj mogao proći postojeću provjeru te je vlasnike uputio da se prije uporabe jave korisničkoj podršci.

Lace se s Keystone povezuje putem QR kodova, pri čemu se transakcije odobravaju i potpisuju na hardverskom novčaniku. Privatni ključ ostaje na uređaju, umjesto da se pojavljuje na zaslonu spojenom na internet.

[NEWSBREAK]

Zapisi o kupcima i zadržavanje podataka

Proboj je obuhvatio zapise o kupnjama obavljenim putem Shopify trgovine na službenoj web stranici Keystone. Tvrtka je utvrdila da 25,964 zapisa kupaca iz razdoblja od 2024. do 2026. i dalje sadrži osobne podatke, uključujući imena, kontaktne podatke, adrese za dostavu i informacije o narudžbama.

Još 25,119 zapisa kupaca već je bilo anonimizirano prije neovlaštenog pristupa. Keystone je u svoj odgovor na incident uključio i 12,873 zapisa o nedovršenoj naplati jer su sadržavali informacije koje su korisnici unijeli tijekom naplate. Prema navodima tvrtke, informacije o kupnjama s Amazona i drugih prodajnih kanala nisu bile pogođene.

Keystone je priznao da su neki podaci o korisnicima bili zadržani dulje od prethodnog ograničenja od 180 dana jer njihov automatizirani alat za brisanje nije dovršio određene zadatke. Tvrtka je skratila razdoblje zadržavanja na 90 dana i očekuje da će Shopify 3. studenoga dovršiti zatraženo brisanje zastarjelih podataka.

Tvrtka planira pojedinačno obavijestiti pogođene korisnike i pružiti stranicu na kojoj mogu provjeriti je li njihovim podacima pristupljeno. Keystone je također upozorio na prijevarne poruke koje nude migraciju imovine ili traže povrat uređaja, navodeći da od korisnika neće tražiti slanje njihovih uređaja natrag.