Keystone уничтожит 18,835 аппаратных кошельков после кражи ключа аутентификации устройства

Keystone планирует уничтожить 18,835 непроданных аппаратных кошельков после того как злоумышленник получил ключ, используемый для проверки подлинности ее устройств. Компания 26 октября раскрыла более широкий масштаб инцидента, включая доступ к информации о клиентах из своего онлайн магазина.

Keystone поддерживает несколько кошельков Cardano, включая Lace и Eternl. Lace добавил поддержку Keystone в августе, что позволило пользователям управлять активами Cardano, подтверждая транзакции на аппаратном устройстве.

Взлом сайта раскрыл ключ проверки подлинности устройства

Keystone обнаружила необычный доступ к своему официальному сайту 20 октября. Расследование установило, что злоумышленник использовал уязвимость в стороннем инструменте мониторинга данных, который применялся на сайте, получив повышенные привилегии и доступ к информации о клиентах и к ключу аутентификации устройства.

Затронутый ключ WebAuth записывается в устройства на этапе производства и не может быть стертым или замененным. Keystone использует его для проверки подлинности устройства через свою страницу аутентификации.

По данным компании, обладание этим ключом может позволить злоумышленнику создавать поддельные устройства, которые проходят проверку аутентификации. Keystone прекратила использовать старый ключ в производстве и планирует уничтожить все 18,835 устройств на складе, которые его содержат.

Компания также приостановила отгрузку невыполненных заказов с официального сайта. Продажи перейдут на модель предзаказа до выпуска устройств с новым ключом аутентификации.

Keystone публикует рекомендации для существующих устройств

Keystone пояснила, что ключ аутентификации используется только для проверки подлинности устройства. Он не используется для генерации фраз восстановления, получения приватных ключей или подписи транзакций.

Компания сообщила, что инцидент не затронул фразы восстановления, приватные ключи кошельков или другие учетные данные кошельков. Также было отмечено, что клиентам не нужно перемещать свои активы только из за этого взлома.

Для устройств, доставленных до 20 октября, Keystone заявила, что аутентификация остается без изменений. Устройство, доставленное до этой даты, можно считать подлинным, если оно проходит проверку аутентификации компании.

Устройства, полученные после 20 октября и использующие старый ключ, требуют дополнительной проверки. Keystone предупредила, что поддельное устройство может пройти текущую проверку, и порекомендовала владельцам связаться со службой поддержки перед использованием.

Lace подключается к Keystone через QR коды, при этом транзакции подтверждаются и подписываются на аппаратном кошельке. Приватный ключ остается на устройстве и не появляется на экране, подключенном к интернету.

[NEWSBREAK]

Данные клиентов и сроки их хранения

Взлом затронул записи о покупках, совершенных через магазин Shopify на официальном сайте Keystone. Компания обнаружила, что 25,964 записей покупателей за период с 2024 по 2026 годы все еще содержали персональные данные, включая имена, контактные данные, адреса доставки и информацию о заказах.

Еще 25,119 записей покупателей были уже анонимизированы до несанкционированного доступа. Keystone также включила в реагирование на инцидент 12,873 записи неоплаченных оформлений заказа, поскольку они содержали информацию, введенную пользователями при оформлении. По словам компании, информация о покупках из Amazon и других каналов продаж не пострадала.

Keystone признала, что часть клиентских данных хранилась дольше прежнего лимита в 180 дней, поскольку автоматический инструмент удаления не завершил некоторые задачи. Компания сократила срок хранения до 90 дней и ожидает, что Shopify завершит запрошенное удаление просроченных данных 3 ноября.

Компания планирует уведомить пострадавших клиентов индивидуально и предоставить страницу, где пользователи смогут проверить, была ли их информация раскрыта. Keystone также предупредила о мошеннических сообщениях с предложениями миграции активов или с просьбами вернуть устройства, указав, что не будет просить клиентов отправлять свои устройства обратно.