Keystone уничтожит 18 835 аппаратных кошельков после кражи ключа проверки подлинности

Производитель аппаратных криптокошельков Keystone сообщил 26 октября, что атакующий, получивший доступ к сайту компании, завладел ключом, с помощью которого устройства подтверждают свою подлинность. С таким ключом можно изготовить поддельные кошельки, успешно проходящие онлайн-проверку. Покупатель, доверившийся подделке, рискует лишиться криптовалюты. При этом сид-фразы и приватные ключи кошельков владельцев, по словам компании, не пострадали.

Keystone уничтожит 18 835 непроданных устройств со старым ключом, а все новые кошельки получат другой.

Как произошёл взлом

Несанкционированный доступ обнаружили 20 октября. Злоумышленник воспользовался уязвимостью в стороннем инструменте мониторинга данных, работавшем на сайте компании, повысил привилегии и получил доступ к данным клиентов и к ключу. В тот же день доступ был заблокирован, уязвимость затем устранили. Когда атакующий проник в систему впервые и где хранился ключ, компания не сообщает.

Почему ключ нельзя просто заменить

При проверке владелец сканирует устройством QR-код на сайте Keystone и вводит код, который показывает кошелёк. Согласно открытой прошивке, QR-код содержит этот код в зашифрованном виде, и устройство расшифровывает его хранящимся в нём ключом. Ключ используется только для проверки и не участвует ни в генерации сид-фраз, ни в подписи транзакций.

Ключ записывается при производстве в однократно программируемую память, и прошивка отказывается принимать второй. Поэтому уже выпущенные устройства перевести на новый ключ невозможно. О выявленных подделках или кражах компания не сообщала.

Утечка данных покупателей

Пострадали 25 964 записи о покупках в интернет-магазине Keystone на Shopify за 2024–2026 годы: имена, контакты, адреса доставки и сведения о заказах. Платёжные данные и номера документов не затронуты, как и заказы через Amazon и другие каналы. Из предосторожности компания учла ещё 12 873 записи о незавершённых заказах.

Часть данных должна была быть удалена давно: Keystone обещала стирать адреса через 180 дней после заказа, но собственный инструмент массового удаления работал ненадёжно, и сбои вовремя не заметили. Теперь срок хранения сокращён до 90 дней, хотя на 27 октября в политике конфиденциальности всё ещё значились 180.

Что делать владельцам

• Устройство получено до 20 октября и проходит проверку — им можно пользоваться как обычно.
• Устройство со старым ключом получено после 20 октября — не использовать, пока поддержка Keystone не подтвердит подлинность. Как определить, какой ключ стоит в устройстве, компания не уточнила.
• Заказы с сайта приостановлены до выпуска устройств с новым ключом; Keystone 3 Pro доступен по предзаказу с отправкой через 4–6 недель.
• Правила действуют и для купленных на Amazon или у реселлеров.
• Переводить средства только из-за инцидента не нужно.

Keystone также предупреждает: любые предложения возврата, замены, отзыва устройств или «проверки кошелька» следует считать мошенничеством. Компания не просит возвращать устройства, а вводить сид-фразу в кошелёк, который вы не заказывали, нельзя ни при каких обстоятельствах.

Источник: The Hacker News