Утечка данных Keystone усугубляется: хакеры похитили ключ для проверки подлинности кошельков

Производитель аппаратных кошельков Keystone сообщил, что злоумышленник, взломавший его сайт на прошлой неделе, также похитил ключ для проверки подлинности устройств, расширив масштаб инцидента, изначально объявленного как утечка данных клиентов.

В заявлении, опубликованном в понедельник, Keystone сообщила, что похищенный ключ аутентификации может позволить злоумышленникам выпускать поддельные кошельки, проходящие её проверки подлинности.

«Такие устройства могут быть проданы или отправлены клиентам, которые неосознанно будут использовать их как оригинальные продукты, что потенциально приведёт к краже активов», — заявила Keystone.

Этот инцидент добавляется к серии атак на производителей аппаратных кошельков в этом году.

Ранее в этом месяце Ledger попросила реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи после сообщений о том, что продаваемые в регионе устройства содержали несанкционированные вредоносные компоненты, способные перехватывать фразы восстановления.

В конце июля производитель Coldcard Coinkite предупредил пользователей после того, как злоумышленники использовали уязвимость, из-за которой устройства генерировали seed-фразы с меньшей энтропией, чем предполагалось, что привело к краже миллионов долларов в криптовалюте.

Keystone уничтожит более 18 000 устройств со старым ключом

В последнем обновлении Keystone сообщила, что злоумышленник воспользовался уязвимостью в стороннем инструменте мониторинга, используемом на её сайте, чтобы повысить свои привилегии.

«Это позволило злоумышленнику получить часть информации о клиентах и ключ для проверки подлинности наших устройств».

Keystone заявила, что планирует уничтожить 18 835 устройств из своего запаса, содержащих скомпрометированный ключ, и приостановила отгрузку всех устройств, использующих его.

Компания сообщила, что отгрузки возобновятся после начала производства устройств с новым ключом аутентификации.

Keystone заявила, что устройства, произведённые и доставленные до инцидента 20 октября, считаются безопасными, а их проверки подлинности остаются надёжными.

Однако компания не может гарантировать подлинность устройств, доставленных после этой даты, и призывает затронутых клиентов связаться со службой поддержки для дополнительной верификации.

Keystone подтвердила утечку данных 25 964 покупателей

Keystone также раскрыла масштаб утечки данных клиентов, сообщив, что интернет-магазин Shopify на её сайте сгенерировал 51 083 записи покупателей.

Из них 25 119 были удалены в соответствии с политикой хранения данных сроком 180 дней.

Однако оставшиеся 25 964 записи за период с 2024 по 2026 гг. могли быть похищены злоумышленником. Keystone пояснила, что более ранние записи не были удалены из-за сбоя в автоматизированном инструменте, предназначенном для массового стирания данных.

«Инструмент работал ненадёжно: часть задач по удалению завершилась неудачно, и мы не выявили эти сбои вовремя, что привело к хранению определённой персональной информации дольше разрешённого срока», — заявила компания Keystone.

Кроме того, злоумышленник, возможно, получил доступ к 12 873 записям оформления заказов клиентов, сохранённым Shopify — данным о покупках, не завершённых до конца.

Keystone сообщила, что связалась с компанией Shopify с просьбой удалить персональные данные из записей оформления заказов, хранившихся более 30 дней.

Этот инцидент напоминает утечку данных в июне 2020 г. у Ledger, в результате которой стали известны свыше 1 млн электронных адресов, а также имена, номера телефонов и почтовые адреса клиентов. Утекшая информация способствовала многолетней волне фишинговых атак на пострадавших пользователей.

Другие производители аппаратных кошельков также столкнулись в этом году с утечками данных клиентов через сторонние сервисы.

В августе Trezor сообщил об утечке у партнёра по доставке, повлёкшей раскрытие данных клиентов; к сентябрю число затронутых пользователей превысило 80 000.

SafePal также сообщил в августе об уязвимости отслеживания заказов, повлёкшей утечку данных почти 40 000 клиентов, а BitBox подвергся фишинговой атаке в сентябре через скомпрометированного стороннего провайдера электронной почты.

Журнал: 5 альтернатив Ledger для хранения биткоинов