Atacatorul care a pătruns pe site-ul Keystone a furat cheia folosită de portofelele hardware ale companiei pentru a demonstra că sunt autentice, a anunțat aceasta pe 26 octombrie. Breșa nu a expus frazele de recuperare sau cheile private ale utilizatorilor, dar permitea fabricarea unor dispozitive contrafăcute care ar fi putut trece verificarea online și, astfel, înșela cumpărătorii.
Keystone spune că va distruge 18.835 de dispozitive nevândute care conțin cheia compromisă și că toate unitățile noi vor folosi o cheie diferită. Compania nu a raportat până acum portofele contrafăcute sau furturi de criptomonede, însă nu a precizat când a obținut atacatorul accesul inițial.
O verificare de autenticitate devenită vulnerabilitate
Verificarea Keystone se bazează pe un cod afișat de dispozitiv și pe o pagină online. Proprietarul scanează cu portofelul un cod QR de pe pagina de verificare, apoi introduce pe site codul returnat de dispozitiv; firmware-ul open-source al companiei arată că QR-ul conține codul într-o formă criptată.
Dispozitivul îl decriptează cu cheia păstrată în memoria sa. Dacă rezultatul corespunde, verificarea arată că portofelul deține cheia respectivă.
Însă, după furtul cheii, oricine are o copie poate genera codurile corecte, iar un dispozitiv contrafăcut care o conține poate trece testul.
Cheia este folosită numai pentru această verificare. Potrivit Keystone, ea nu participă la generarea frazelor de recuperare, la derivarea cheilor private sau la semnarea tranzacțiilor, distincție importantă pentru evaluarea impactului: incidentul compromite încrederea în autentificarea dispozitivului, nu dezvăluie automat accesul la fondurile din portofelele existente.
Cheia este înscrisă în fiecare dispozitiv în timpul fabricației și nu poate fi ștearsă ori rescrisă. Memoria în care se păstrează permite o singură scriere, iar firmware-ul refuză o a doua cheie; de aceea, unitățile deja produse nu pot fi actualizate cu cheia nouă și vor trebui scoase din circuit.
Acces printr-un instrument terț și date de cumpărători expuse
Keystone a identificat accesul neautorizat pe 20 octombrie și spune că atacatorul a exploatat o vulnerabilitate într-un instrument terț de monitorizare a datelor folosit de site. Exploatarea i-a permis să își extindă privilegiile și să obțină atât datele clienților, cât și cheia de verificare; compania afirmă că a blocat accesul în aceeași zi și a remediat vulnerabilitatea.
Nu a dezvăluit unde era stocată cheia, nici când a început intruziunea. Compania a făcut publică inițial breșa pe 24 octombrie, când a spus că o terță parte obținuse informații de livrare ale clienților; pe 26 octombrie a oferit detalii suplimentare despre amploarea incidentului și cheia compromisă.
Au fost afectate 25.964 de înregistrări asociate cumpărăturilor făcute pe site-ul Keystone între 2024 și 2026. Acestea includ nume, date de contact, adrese de livrare și detalii despre comenzi; magazinul online folosește Shopify, platforma care a stocat și administrat aceste informații.
Separat, compania a inclus în răspunsul la incident, ca măsură de precauție, 12.873 de înregistrări de checkout neplătite, provenite din comenzi abandonate. Keystone spune că informațiile despre carduri, datele bancare și numerele actelor de identitate nu au fost implicate, iar achizițiile realizate prin Amazon sau alte canale de vânzare nu au fost afectate.
Ștergerea datelor a eșuat, iar termenul de păstrare se scurtează
O parte dintre informațiile expuse ar fi trebuit să fi fost deja șterse. Keystone promisese să elimine datele de livrare la 180 de zile după fiecare comandă, dar un instrument automat creat pentru ștergerea în masă nu a funcționat fiabil: unele operațiuni au eșuat, iar compania nu a observat la timp problemele.
Keystone reduce imediat perioada de păstrare a datelor personale de la 180 la 90 de zile și a cerut Shopify să șteargă informațiile cumpărătorilor mai vechi de 90 de zile. Compania se așteaptă ca operațiunea să fie încheiată pe 3 noiembrie; totuși, la 27 octombrie, politica sa de confidențialitate încă menționa termenul de 180 de zile.
Compania spune că trimite e-mailuri clienților afectați și pregătește o pagină unde aceștia își vor putea verifica situația. Pentru organizațiile și utilizatorii din România și Uniunea Europeană, expunerea numelor, adreselor și detaliilor comenzilor justifică vigilență față de mesaje de phishing personalizate, dar materialul public nu stabilește dacă printre înregistrări se află persoane din aceste jurisdicții.
În cazul clienților din UE, incidentul ridică și întrebări despre aplicarea termenelor de păstrare declarate, controlul ștergerii datelor și informarea persoanelor afectate. Companiile care folosesc portofele hardware în procese de custodie ar trebui să verifice data primirii dispozitivelor, să păstreze evidența achizițiilor și să nu trateze un rezultat pozitiv al verificării drept suficient pentru unitățile suspecte.
Data livrării decide dacă portofelul trebuie pus în așteptare
Pentru dispozitivele primite înainte de 20 octombrie, Keystone spune că un rezultat pozitiv la verificare confirmă autenticitatea și permite folosirea normală. Pentru unitățile primite după acea dată, dacă au cheia veche, compania nu poate exclude complet posibilitatea să fie contrafăcute; proprietarii trebuie să contacteze suportul și să le folosească numai după confirmarea autenticității.
Keystone indică adresa [email protected] și le cere proprietarilor să urmeze instrucțiunile de pe pagina sa de verificare a dispozitivelor. La 27 octombrie, pagina nu afișa însă instrucțiunile menționate, iar compania nu explicase cum poate fi identificată cheia instalată.
Nu a precizat nici ce ar trebui să facă utilizatorii care au transferat deja criptomonede către un asemenea dispozitiv.
Livrările comenzilor plasate pe site sunt suspendate până când sunt pregătite dispozitivele cu cheia nouă. La 27 octombrie, magazinul afișa Keystone 3 Pro ca precomandă, cu expediere estimată în patru până la șase săptămâni; recomandarea bazată pe data primirii se aplică și produselor cumpărate de pe Amazon sau de la revânzători autorizați.
Keystone nu a spus dacă unități cu cheia veche mai sunt disponibile pe Amazon sau prin distribuitori. Utilizatorii care dețin deja criptomonede într-un portofel Keystone nu trebuie să le mute doar din cauza incidentului, potrivit companiei, însă cei cu dispozitive primite după 20 octombrie trebuie să respecte procedura de confirmare înainte de a le utiliza.
Compania avertizează că apelurile, mesajele, e-mailurile sau scrisorile care promit rambursări, înlocuirea dispozitivului, o retragere de pe piață, verificarea portofelului ori ajutor la mutarea fondurilor trebuie tratate ca tentative de fraudă. Keystone spune că nu va cere returnarea dispozitivelor; utilizatorii nu trebuie să introducă fraza de recuperare într-un aparat pe care nu l-au comandat și ar trebui să tasteze manual keyst.one, în loc să urmeze linkuri primite.
