Коротко
- Злоумышленники взломали сайт Keystone и похитили ключ, используемый для проверки подлинности аппаратных криптокошельков.
- Компания уничтожит 18835 устройств со старым ключом и приостановила отгрузки до перехода на новую систему защиты.
- В ходе инцидента также произошла утечка данных 25964 покупателей за период с 2024 по 2026 год.
- Инцидент создает риски появления поддельных устройств и кражи средств, подчеркивая уязвимости аппаратных кошельков.
Производитель аппаратных кошельков Keystone сообщил, что хакер, взломавший их сайт на прошлой неделе, также похитил ключ для проверки подлинности устройств, тем самым расширив масштабы инцидента, изначально преподносившегося как утечка данных клиентов.
В официальном заявлении в понедельник представители Keystone пояснили, что украденный ключ аутентификации может позволить злоумышленникам создавать поддельные кошельки, которые будут успешно проходить проверку подлинности.
Такие устройства могут быть проданы или отправлены пользователям, которые по незнанию начнут использовать их как оригинальные продукты, что чревато кражей цифровых активов, отметили в Keystone.
Этот случай пополнил череду атак, с которыми в текущем году столкнулись производители аппаратных кошельков.
Ранее в этом месяце компания Ledger попросила реселлеров из Юго-Восточной Азии и Гонконга приостановить продажи после сообщений о том, что ввезенные в регион устройства содержали посторонние аппаратные модули, способные похищать сид-фразы.
В конце июля производитель Coldcard, компания Coinkite, выпустила предупреждение для пользователей, поскольку злоумышленники воспользовались уязвимостью, из-за которой устройства генерировали случайные сид-фразы с пониженным уровнем энтропии, что привело к хищению криптовалюты на миллионы долларов.
Keystone уничтожит более 18 000 устройств со старым ключом
В своем свежем отчете компания Keystone указала, что для повышения привилегий хакер использовал уязвимость в стороннем инструменте мониторинга, задействованном на сайте.
Это позволило злоумышленнику завладеть некоторой клиентской информацией и ключом, который применяется для проверки подлинности нашей продукции, заявили в компании.
В Keystone заявили о намерении утилизировать 18 835 находящихся на складе устройств, содержащих скомпрометированный ключ, а также приостановили отгрузку всех продуктов, в которых он используется.
Представители фирмы заверили, что поставки возобновятся, как только начнется выпуск аппаратов с новым ключом аутентификации.
В Keystone подчеркнули, что гаджеты, изготовленные и доставленные до инцидента 20 октября, можно считать безопасными, а их проверки подлинности по-прежнему надежны.
Тем не менее компания не может гарантировать подлинность устройств, отправленных после указанной даты, и настоятельно рекомендует затронутым клиентам обратиться в службу поддержки для дополнительной верификации.
Keystone подтверждает утечку 25 964 записей о покупателях
Кроме того, в Keystone раскрыли масштаб утечки клиентских баз данных, сообщив, что в магазине на базе Shopify было сформировано 51 083 записи о покупателях.
Из них 25 119 записей были удалены в соответствии с внутренней политикой хранения данных, рассчитанной на 180 дней.
Однако оставшиеся 25 964 записи за период с 2024 по 2026 год были похищены злоумышленником. В Keystone пояснили, что более старые данные не стерлись вовремя из-за сбоя в автоматизированном скрипте массового удаления.
Этот инструмент работал нестабильно. Некоторые задачи по очистке завершились с ошибкой, а мы не смогли вовремя обнаружить и устранить эти проблемы, что привело к сохранению персональных данных дольше положенного срока, пояснили в компании.
Помимо этого, хакеру удалось завладеть еще 12 873 записями о незавершенных покупках, которые хранились в Shopify.
В Keystone отметили, что уже обратились к администрации Shopify с просьбой удалить личные сведения из незавершенных заказов, которые хранились дольше 30 дней.
Этот инцидент напоминает утечку данных в компании Ledger в июне 2020 года, когда в открытый доступ попало более миллиона адресов электронной почты, а также имена, телефоны и физические адреса пользователей. Утекшая информация спровоцировала волну фишинговых атак, продолжавшуюся долгие годы.
В текущем году и другие изготовители аппаратных кошельков сталкивались с утечками, затрагивающими персональные данные клиентов и сторонние сервисы.
В августе представители Trezor сообщили о взломе у своего партнера по логистике, в результате которого пострадали клиентские данные, причем к сентябрю число затронутых пользователей выросло более чем до 80 000.
Компания SafePal также заявляла об обнаружении уязвимости в системе отслеживания заказов в августе, из-за чего в открытом доступе оказались сведения почти о 40 000 клиентов, в то время как BitBox в сентябре стала мишенью фишинговой кампании с использованием скомпрометированного стороннего почтового сервиса.
