La violazione di Keystone si aggrava: gli hacker hanno rubato la chiave usata per verificare l'autenticità dei portafogli

Il produttore di portafogli hardware Keystone ha dichiarato che un attaccante, che ha violato il suo sito web la scorsa settimana, ha rubato anche una chiave per verificare l'autenticità dei suoi dispositivi, ampliando la portata dell'incidente inizialmente segnalato come perdita di dati clienti.

In una dichiarazione lunedì, Keystone ha affermato che la chiave di autenticazione rubata potrebbe consentire agli attaccanti di produrre portafogli contraffatti che superano i controlli di autenticità.

«Questi dispositivi potrebbero quindi essere venduti o spediti ai clienti, che potrebbero utilizzarli inconsapevolmente come prodotti autentici, con possibili conseguenze di furto di asset», ha dichiarato Keystone.

L'incidente si aggiunge a una serie di attacchi contro produttori di portafogli hardware quest'anno.

All'inizio di questo mese, Ledger ha chiesto ai rivenditori del Sud-Est asiatico e di Hong Kong di sospendere le vendite dopo segnalazioni di dispositivi venduti nella regione contenenti impianti non autorizzati in grado di catturare le frasi di recupero.

A fine luglio, Coinkite, produttore di Coldcard, ha avvertito gli utenti dopo che attaccanti hanno sfruttato un bug che ha causato la generazione di seed per portafogli con entropia inferiore al previsto, portando al furto di milioni di dollari in criptovalute.

Keystone distruggerà oltre 18.000 dispositivi con la vecchia chiave

Nell'ultimo aggiornamento, Keystone ha dichiarato che l'attaccante ha sfruttato una vulnerabilità in uno strumento di monitoraggio di terze parti utilizzato dal suo sito web per elevare i propri privilegi.

«Ciò ha permesso all'attaccante di ottenere alcuni dati dei clienti e una chiave usata per verificare l'autenticità dei nostri dispositivi.»

Keystone ha dichiarato che distruggerà 18.835 dispositivi nel suo inventario contenenti la chiave compromessa e ha sospeso le spedizioni di tutti i dispositivi che la utilizzano.

L'azienda ha precisato che le spedizioni riprenderanno non appena inizierà la produzione di dispositivi con una nuova chiave di autenticazione.

Keystone ha confermato che i dispositivi prodotti e consegnati prima dell'incidente del 20 ottobre sono da considerarsi sicuri e che i relativi controlli di autenticità restano affidabili.

Tuttavia, non può garantire l'autenticità dei dispositivi consegnati dopo tale data e invita i clienti interessati a contattare il proprio team di supporto per ulteriori verifiche.

Keystone conferma la fuga di 25.964 record di acquirenti

Keystone ha inoltre rivelato l'entità della violazione dei dati clienti, precisando che il negozio Shopify del suo sito web aveva generato 51.083 record di acquirenti.

Di questi, 25.119 erano stati eliminati secondo la sua politica di conservazione dati di 180 giorni.

Tuttavia, i restanti 25.964 record dal 2024 al 2026 potrebbero essere stati rubati dall'attaccante. Keystone ha spiegato che le voci più vecchie non sono state eliminate a causa di un malfunzionamento del suo strumento automatizzato per la cancellazione massiva dei dati.

«Lo strumento non funzionava in modo affidabile: alcuni compiti di cancellazione sono falliti e non abbiamo rilevato né risolto tempestivamente questi errori, causando il mantenimento di alcune informazioni personali oltre il periodo consentito», ha dichiarato Keystone.

Inoltre, l'attaccante potrebbe aver avuto accesso a 12.873 record di checkout clienti conservati da Shopify — dati relativi ad acquisti non completati.

Keystone ha affermato di aver contattato Shopify per richiedere la cancellazione delle informazioni personali contenute nei record di checkout conservati per più di 30 giorni.

L'incidente ricorda la violazione dei dati subita da Ledger nel giugno 2020, che ha esposto oltre 1 milione di indirizzi email, insieme a nomi, numeri di telefono e indirizzi fisici dei clienti. Le informazioni trapelate hanno alimentato per anni tentativi di phishing contro gli utenti coinvolti.

Anche altri produttori di portafogli hardware hanno subito quest'anno violazioni riguardanti informazioni clienti e servizi terzi.

A agosto, Trezor ha rivelato una violazione presso il suo partner logistico che ha esposto dati clienti; a settembre il numero degli utenti interessati è salito a oltre 80.000.

SafePal ha segnalato ad agosto una vulnerabilità nel tracciamento ordini che ha esposto dati di quasi 40.000 clienti, mentre BitBox è stato oggetto di una campagna phishing a settembre tramite un provider email esterno compromesso.

Rivista: 5 alternative a Ledger per conservare il tuo Bitcoin