Keystone distruggerà 18.835 wallet dopo il furto della chiave di autenticazione del dispositivo

Keystone prevede di distruggere 18.835 wallet hardware invenduti dopo che un aggressore ha ottenuto una chiave usata per verificare se i suoi dispositivi sono autentici. L’azienda ha reso nota la portata più ampia dell’incidente il 26 ottobre, compreso l’accesso a informazioni dei clienti dal suo negozio online.

Keystone supporta diversi wallet Cardano, tra cui Lace ed Eternl. Ad agosto Lace ha aggiunto il supporto a Keystone, consentendo agli utenti di gestire asset Cardano mentre approvano le transazioni sul dispositivo hardware.

Violazione del sito web espone la chiave di verifica del dispositivo

Keystone ha rilevato accessi insoliti al suo sito ufficiale il 20 ottobre. L’indagine ha rilevato che l’aggressore ha sfruttato una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti usato dal sito, ottenendo privilegi elevati e accesso a informazioni dei clienti e alla chiave di autenticazione del dispositivo.

La chiave WebAuth interessata viene scritta nei dispositivi durante la produzione e non può essere cancellata né sostituita. Keystone la usa per verificare se un dispositivo è autentico tramite la sua pagina di autenticazione.

Secondo l’azienda il possesso della chiave potrebbe consentire a un aggressore di creare dispositivi contraffatti che superano il controllo di autenticazione. Keystone ha smesso di usare la vecchia chiave in produzione e prevede di distruggere tutti i 18.835 dispositivi a magazzino che la contengono.

L’azienda ha inoltre sospeso la spedizione degli ordini non evasi dal suo sito ufficiale. Le vendite passeranno a un modello di preordine finché non verranno prodotti dispositivi con una nuova chiave di autenticazione.

Keystone fornisce indicazioni per i dispositivi esistenti

Keystone ha spiegato che la chiave di autenticazione viene utilizzata solo per verificare l’autenticità del dispositivo. Non viene usata per generare frasi di recupero, derivare chiavi private o firmare transazioni.

L’azienda ha riferito che l’incidente non ha coinvolto frasi di recupero, chiavi private del wallet o altre credenziali del wallet. Ha aggiunto che i clienti non devono spostare i propri asset solo a causa della violazione.

Per i dispositivi consegnati prima del 20 ottobre Keystone ha dichiarato che l’autenticazione rimane invariata. Un dispositivo consegnato prima di tale data può essere considerato autentico se supera il controllo di autenticazione dell’azienda.

I dispositivi ricevuti dopo il 20 ottobre che utilizzano la vecchia chiave richiedono una verifica aggiuntiva. Keystone ha avvertito che un dispositivo contraffatto potrebbe superare il controllo esistente e ha invitato i proprietari a contattare l’assistenza clienti prima di utilizzarlo.

Lace si collega a Keystone tramite codici QR, con le transazioni approvate e firmate sul wallet hardware. La chiave privata rimane sul dispositivo invece di comparire su uno schermo connesso a internet.

[NEWSBREAK]

Dati dei clienti e conservazione dei dati

La violazione ha coinvolto i record degli acquisti effettuati tramite il negozio Shopify sul sito ufficiale di Keystone. L’azienda ha riscontrato che 25.964 record di acquirenti dal 2024 al 2026 contenevano ancora informazioni personali, tra cui nomi, recapiti, indirizzi di spedizione e informazioni sugli ordini.

Altri 25.119 record di acquirenti erano già stati anonimizzati prima dell’accesso non autorizzato. Keystone ha incluso anche 12.873 record di checkout non pagati nella gestione dell’incidente perché contenevano informazioni inviate dagli utenti durante il checkout. Secondo l’azienda le informazioni di acquisto da Amazon e altri canali di vendita non sono state interessate.

Keystone ha riconosciuto che alcune informazioni dei clienti erano state conservate oltre il precedente limite di 180 giorni perché lo strumento automatico di eliminazione non aveva completato alcune attività. L’azienda ha ridotto il periodo di conservazione a 90 giorni e prevede che Shopify completerà l’eliminazione richiesta dei dati scaduti il 3 novembre.

L’azienda prevede di avvisare individualmente i clienti interessati e di fornire una pagina in cui gli utenti possono verificare se le loro informazioni sono state esposte. Keystone ha inoltre messo in guardia da messaggi fraudolenti che offrono la migrazione degli asset o richiedono la restituzione dei dispositivi, affermando che non chiederà ai clienti di spedire indietro i propri dispositivi.