Violação da Keystone se agrava: hackers roubaram chave usada para verificar carteiras como autênticas

A fabricante de carteiras de hardware Keystone informou que um atacante que violou seu site na semana passada também roubou uma chave usada para verificar a autenticidade de seus dispositivos, ampliando o escopo do incidente inicialmente divulgado como vazamento de dados de clientes.

Num comunicado na segunda-feira, a Keystone afirmou que a chave de autenticação roubada poderia permitir que atacantes produzissem carteiras falsificadas que passassem em suas verificações de autenticidade.

“Esses dispositivos poderiam então ser vendidos ou enviados a clientes, que talvez os utilizassem inadvertidamente como produtos genuínos, potencialmente resultando em roubo de ativos”, afirmou a Keystone.

Esse incidente soma-se a uma série de ataques contra fabricantes de carteiras de hardware neste ano.

No início deste mês, a Ledger pediu aos revendedores do Sudeste Asiático e de Hong Kong que suspendessem as vendas após relatos de que dispositivos comercializados na região continham implantes não autorizados capazes de capturar frases de recuperação.

No final de julho, a Coinkite, fabricante da Coldcard, emitiu um alerta aos usuários após atacantes explorarem um bug que fez seus dispositivos gerarem seeds de carteira com entropia inferior à prevista, resultando no roubo de milhões de dólares em criptoativos.

Keystone destruirá mais de 18.000 dispositivos com a chave antiga

Na atualização mais recente, a Keystone afirmou que o atacante explorou uma vulnerabilidade em uma ferramenta de monitoramento de terceiros usada em seu site para elevar privilégios.

“Isso permitiu ao atacante obter alguns dados de clientes e uma chave usada para verificar a autenticidade de nossos dispositivos.”

A Keystone informou que planeja destruir 18.835 dispositivos em seu estoque que contêm a chave comprometida e suspendeu o envio de todos os dispositivos que a utilizam.

A empresa afirmou que os envios serão retomados assim que começar a produzir dispositivos com uma nova chave de autenticação.

A Keystone afirmou que dispositivos fabricados e entregues antes do incidente de 20 de outubro devem ser considerados seguros e que suas verificações de autenticidade continuam confiáveis.

No entanto, não pôde garantir a autenticidade de dispositivos entregues após essa data e orientou os clientes afetados a entrarem em contato com sua equipe de suporte para verificação adicional.

Keystone confirma vazamento de 25.964 registros de compradores

A Keystone também divulgou a extensão da violação de dados de clientes, informando que sua loja Shopify gerou 51.083 registros de compradores.

Desses, 25.119 haviam sido excluídos conforme sua política de retenção de dados de 180 dias.

No entanto, os 25.964 registros restantes, datados de 2024 a 2026, podem ter sido roubados pelo atacante. A Keystone afirmou que as entradas mais antigas não foram excluídas devido a uma falha em sua ferramenta automatizada usada para exclusão em massa de dados.

“A ferramenta não operou de forma confiável. Algumas tarefas de exclusão falharam, e não detectamos nem resolvemos essas falhas a tempo, fazendo com que certas informações pessoais fossem retidas além do prazo permitido”, afirmou a Keystone.

Além disso, o atacante pode também ter tido acesso a 12.873 registros de checkout de clientes retidos pela Shopify — informações de compras não concluídas.

A Keystone afirmou ter contatado a Shopify para solicitar a exclusão das informações pessoais contidas em registros de checkout retidos por mais de 30 dias.

Esse incidente lembra uma violação de dados ocorrida em junho de 2020 na Ledger, que expôs mais de 1 milhão de endereços de e-mail, além de nomes, números de telefone e endereços físicos dos clientes. As informações vazadas alimentaram anos de tentativas de phishing contra os usuários afetados.

Outros fabricantes de carteiras de hardware também sofreram violações envolvendo informações de clientes e serviços de terceiros este ano.

Em agosto, a Trezor divulgou uma violação em seu parceiro de envio que expôs dados de clientes, com o número de usuários afetados crescendo para mais de 80.000 em setembro.

A SafePal também relatou, em agosto, uma vulnerabilidade no rastreamento de pedidos que expôs dados de quase 40.000 clientes, enquanto a BitBox foi alvo de uma campanha de phishing em setembro envolvendo um provedor de e-mail de terceiros comprometido.

Revista: 5 alternativas à Ledger para armazenar seu Bitcoin