El fabricante de wallets de hardware Keystone informó que el atacante que violó su sitio web la semana pasada también robó una clave usada para verificar la autenticidad de sus dispositivos, ampliando el alcance de un incidente que inicialmente se reveló como una fuga de datos de clientes.

En una declaración en X del lunes, Keystone advirtió que la clave de autenticación robada podría permitir a los atacantes producir wallets falsificadas que superen las verificaciones de autenticidad de la empresa.

"Estos dispositivos podrían luego venderse o enviarse a clientes, quienes podrían usarlos sin saberlo como productos genuinos, lo que podría resultar en el robo de activos", señaló Keystone.

Las wallets de hardware están diseñadas para mantener fuera de línea las claves privadas que controlan las criptomonedas, y las verificaciones de autenticidad existen para confirmar que un dispositivo es genuino antes de configurarlo. Con la propia clave de verificación robada, la salvaguarda ahora comprometida es precisamente el mecanismo que debía detectar las falsificaciones.

Esta revelación suma a Keystone a una serie de ataques contra fabricantes de wallets de hardware este año. A principios de este mes, Ledger pidió a los revendedores del sudeste asiático y Hong Kong suspender las ventas tras informes de que los dispositivos vendidos en la región contenían implantes no autorizados capaces de capturar las frases de recuperación. A fines de julio, Coinkite, fabricante de Coldcard, emitió una advertencia a los usuarios después de que atacantes aprovecharan un error que hacía que sus dispositivos generaran semillas de wallet con menos entropía de la prevista, lo que resultó en el robo de millones de dólares en criptomonedas.

Keystone destruirá más de 18,000 dispositivos con la clave antigua

Según la última actualización de Keystone, el atacante aprovechó una vulnerabilidad en una herramienta de monitoreo de terceros utilizada por el sitio web de la empresa para escalar privilegios.

"Esto permitió al atacante obtener cierta información de clientes y una clave usada para verificar la autenticidad de nuestros dispositivos", indicó la empresa.

Keystone dijo que planea destruir 18,835 dispositivos de su inventario que contienen la clave comprometida y ha suspendido los envíos de producción de todos los dispositivos que la utilizan. Los envíos se reanudarán una vez que la empresa comience a producir dispositivos con una nueva clave de autenticación. Keystone no ha anunciado un cronograma para el cambio; la empresa publicó la actualización del lunes en su cuenta de X.

La empresa señaló que los dispositivos fabricados y entregados antes del incidente del 20 de octubre deben considerarse seguros y que sus verificaciones de autenticidad siguen siendo confiables. Sin embargo, no pudo garantizar la autenticidad de los dispositivos entregados después de esa fecha y pidió a los clientes afectados que se comuniquen con su equipo de soporte para una verificación adicional.

Keystone confirma la filtración de 25,964 registros de compradores

Keystone también reveló el alcance de la violación de datos de clientes, indicando que la tienda Shopify de su sitio web había generado 51,083 registros de compradores. De ellos, 25,119 habían sido eliminados conforme a su política de retención de datos de 180 días.

Los 25,964 registros restantes, que datan de 2024 a 2026, podrían haber sido robados por el atacante. Keystone atribuyó la retención de los registros antiguos a una falla en su herramienta automatizada para el borrado masivo de datos.

"La herramienta no funcionaba de manera confiable. Algunas tareas de borrado fallaron y no detectamos ni abordamos estas fallas a tiempo, lo que resultó en que cierta información personal se retuviera más allá del período permitido", indicó Keystone.

El atacante también podría haber tenido acceso a 12,873 registros de pago de clientes conservados por Shopify, correspondientes a compras que no se habían completado. Keystone dijo que contactó a Shopify para solicitar la eliminación de la información personal en los registros de pago conservados por más de 30 días.

Un año de violaciones en wallets de hardware

La revelación del lunes recuerda la violación de datos de junio de 2020 en Ledger, que expuso más de 1 millón de direcciones de correo electrónico, junto con nombres de clientes, números de teléfono y direcciones físicas. La información filtrada alimentó años de intentos de phishing contra los usuarios afectados.

Otros fabricantes de wallets de hardware también sufrieron violaciones relacionadas con información de clientes y servicios de terceros este año. En agosto, Trezor reveló una violación en su socio de envíos que expuso información de clientes, y el número de usuarios afectados aumentó a más de 80,000 en septiembre. SafePal también reportó en agosto una vulnerabilidad de seguimiento de pedidos que expuso datos de casi 40,000 clientes, mientras que BitBox fue objeto de una campaña de phishing en septiembre que involucró a un proveedor de correo electrónico de terceros comprometido.

El incidente de Keystone encaja en la exposición a proveedores que atraviesa las violaciones de este año: su atacante entró a través de una herramienta de monitoreo de terceros, al igual que la violación de Trezor se rastreó hasta un socio de envíos y la campaña de phishing contra BitBox hasta un proveedor de correo electrónico comprometido.

Fuente: Cointelegraph