Keystone bo uničil 18,835 strojnih denarnic po kraji overitvenega ključa naprave

Keystone namerava uničiti 18,835 neprodanih strojnih denarnic, potem ko je napadalec pridobil ključ, ki se uporablja za preverjanje pristnosti njenih naprav. Podjetje je 26. oktobra razkrilo širši obseg incidenta, vključno z dostopom do podatkov strank iz njegove spletne trgovine.

Keystone podpira več denarnic Cardano, med njimi Lace in Eternl. Lace je avgusta dodal podporo za Keystone, kar uporabnikom omogoča upravljanje sredstev Cardano, medtem ko transakcije potrjujejo na strojni napravi.

Vdor v spletno stran je razkril overitveni ključ naprave

Keystone je 20. oktobra zaznal nenavaden dostop do svoje uradne spletne strani. Preiskava je pokazala, da je napadalec izkoristil ranljivost v orodju tretje strani za nadzor podatkov, ki ga uporablja stran, s čimer je pridobil povišana dovoljenja ter dostop do podatkov strank in overitvenega ključa naprave.

Prizadeti ključ WebAuth je v naprave vpisan med proizvodnjo in ga ni mogoče izbrisati ali zamenjati. Keystone ga uporablja za preverjanje pristnosti naprave prek svoje strani za preverjanje pristnosti.

Po navedbah podjetja bi lahko posedovanje ključa napadalcu omogočilo ustvarjanje ponarejenih naprav, ki bi prestale preverjanje pristnosti. Keystone je v proizvodnji prenehal uporabljati stari ključ in namerava uničiti vseh 18,835 naprav na zalogi, ki ga vsebujejo.

Podjetje je tudi ustavilo odpreme neizpolnjenih naročil z uradne spletne strani. Prodaja bo prešla na model prednaročil, dokler ne bodo izdelane naprave z novim overitvenim ključem.

Keystone podaja napotke za obstoječe naprave

Keystone je pojasnil, da se overitveni ključ uporablja samo za preverjanje pristnosti naprave. Ne uporablja se za ustvarjanje obnovitvenih fraz, izpeljavo zasebnih ključev ali podpisovanje transakcij.

Podjetje je sporočilo, da incident ni vključeval obnovitvenih fraz, zasebnih ključev denarnic ali drugih poverilnic denarnic. Dodalo je, da strankam zaradi vdora ni treba premikati svojih sredstev.

Za naprave, dobavljene pred 20. oktobrom, je Keystone navedel, da preverjanje pristnosti ostaja nespremenjeno. Napravo, dobavljeno pred tem datumom, je mogoče šteti za pristno, če prestane preverjanje pristnosti podjetja.

Naprave, prejete po 20. oktobru, ki uporabljajo stari ključ, zahtevajo dodatno preverjanje. Keystone je opozoril, da bi lahko ponarejena naprava prestala obstoječe preverjanje, zato je lastnikom svetoval, naj se pred uporabo obrnejo na podporo za stranke.

Lace se s Keystone povezuje prek kod QR, pri čemer se transakcije odobrijo in podpišejo na strojni denarnici. Zasebni ključ ostane v napravi in se ne prikaže na zaslonu, povezanem z internetom.

[NEWSBREAK]

Evidenca strank in hramba podatkov

Vdor je vključeval zapise o nakupih, opravljenih prek trgovine Shopify na uradni spletni strani podjetja Keystone. Podjetje je ugotovilo, da je 25,964 zapisov kupcev iz let 2024 do 2026 še vedno vsebovalo osebne podatke, vključno z imeni, kontaktnimi podatki, dostavnimi naslovi in informacijami o naročilih.

Drugi 25,119 zapisov kupcev je bilo pred nepooblaščenim dostopom že anonimiziranih. Keystone je v odziv na incident vključil tudi 12,873 neplačanih zaključkov nakupa, ker so vsebovali informacije, ki so jih uporabniki predložili med zaključkom nakupa. Po navedbah podjetja podatki o nakupih prek Amazon in drugih prodajnih kanalov niso bili prizadeti.

Keystone je priznal, da so bili nekateri podatki strank hranjeni dlje od njegovega prejšnjega roka 180 dni, ker orodje za samodejni izbris ni uspelo dokončati nekaterih opravil. Podjetje je obdobje hrambe skrajšalo na 90 dni in pričakuje, da bo Shopify 3. novembra dokončal zahtevani izbris zapadlih podatkov.

Podjetje namerava prizadete stranke individualno obvestiti in zagotoviti stran, kjer bodo uporabniki lahko preverili, ali so bili njihovi podatki razkriti. Keystone je tudi opozoril na goljufiva sporočila, ki ponujajo migracijo sredstev ali zahtevajo vračilo naprav, in poudaril, da od strank ne bo zahteval pošiljanja naprav nazaj.