Keystone destruirá 18,835 carteiras de hardware após roubo de chave de autenticação do dispositivo

Keystone planeja destruir 18,835 carteiras de hardware não vendidas depois que um invasor obteve uma chave usada para verificar se seus dispositivos são genuínos. A empresa divulgou o escopo mais amplo do incidente em 26 de outubro, incluindo o acesso a informações de clientes de sua loja online.

Keystone é compatível com várias carteiras de Cardano, incluindo Lace e Eternl. Lace adicionou suporte a Keystone em agosto, permitindo que os usuários gerenciem ativos de Cardano enquanto aprovam transações no dispositivo de hardware.

Violação do site expõe chave de verificação do dispositivo

Keystone detectou acessos incomuns ao seu site oficial em 20 de outubro. Sua investigação constatou que o invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros usada pelo site, obtendo privilégios elevados e acesso a informações de clientes e à chave de autenticação do dispositivo.

A chave WebAuth afetada é gravada nos dispositivos durante a fabricação e não pode ser apagada ou substituída. Keystone a utiliza para verificar se um dispositivo é genuíno por meio de sua página de autenticação.

Segundo a empresa, a posse da chave poderia permitir que um invasor criasse dispositivos falsificados que passassem na verificação de autenticação. Keystone parou de usar a chave antiga na produção e planeja destruir todos os 18,835 dispositivos em seu estoque que a contenham.

A empresa também suspendeu o envio de pedidos pendentes de seu site oficial. As vendas passarão para um modelo de pré-venda até que dispositivos com uma nova chave de autenticação sejam produzidos.

Keystone emite orientações para dispositivos existentes

Keystone explicou que a chave de autenticação é usada apenas para verificar a autenticidade do dispositivo. Ela não é usada para gerar frases de recuperação, derivar chaves privadas ou assinar transações.

A empresa informou que o incidente não envolveu frases de recuperação, chaves privadas da carteira ou outras credenciais da carteira. Acrescentou que os clientes não precisam mover seus ativos apenas por causa da violação.

Para dispositivos entregues antes de 20 de outubro, Keystone afirmou que a autenticação permanece inalterada. Um dispositivo entregue antes dessa data pode ser considerado genuíno se passar na verificação de autenticação da empresa.

Dispositivos recebidos após 20 de outubro que usem a chave antiga exigem verificação adicional. Keystone alertou que um dispositivo falsificado pode passar na verificação existente e orientou os proprietários a contatarem o suporte ao cliente antes de usá-lo.

Lace se conecta a Keystone por meio de códigos QR, com as transações aprovadas e assinadas na carteira de hardware. A chave privada permanece no dispositivo em vez de aparecer em uma tela conectada à internet.

[NEWSBREAK]

Registros de clientes e retenção de dados

A violação envolveu registros de compras feitas pela loja da Shopify no site oficial da Keystone. A empresa constatou que 25,964 registros de compradores de 2024 a 2026 ainda continham informações pessoais, incluindo nomes, dados de contato, endereços de envio e informações de pedidos.

Outros 25,119 registros de compradores já haviam sido anonimizados antes do acesso não autorizado. Keystone também incluiu 12,873 registros de checkout não pagos em sua resposta ao incidente porque continham informações enviadas pelos usuários durante o checkout. Informações de compras da Amazon e de outros canais de vendas não foram afetadas, segundo a empresa.

Keystone reconheceu que algumas informações de clientes foram mantidas além de seu limite anterior de 180 dias porque sua ferramenta automatizada de exclusão não concluiu certas tarefas. A empresa reduziu seu período de retenção para 90 dias e espera que a Shopify conclua a exclusão solicitada dos dados em atraso em 3 de novembro.

A empresa planeja notificar os clientes afetados individualmente e fornecer uma página onde os usuários possam verificar se suas informações foram expostas. Keystone também alertou sobre mensagens fraudulentas oferecendo migração de ativos ou solicitando a devolução de dispositivos, afirmando que não pedirá que os clientes enviem seus dispositivos de volta.