Le fabricant de portefeuilles matériels Keystone a déclaré que l'attaquant à l'origine du piratage de son site web la semaine dernière avait également volé une clé servant à vérifier l'authenticité de ses appareils, élargissant la portée d'un incident initialement divulgué comme une fuite de données clients.

Dans un communiqué sur X publié lundi, Keystone a averti que la clé d'authentification volée pourrait permettre à des attaquants de produire des portefeuilles contrefaits capables de passer les contrôles d'authenticité de l'entreprise.

« Ces appareils pourraient ensuite être vendus ou expédiés à des clients, qui pourraient les utiliser sans le savoir comme des produits authentiques, ce qui pourrait entraîner un vol d'actifs », a déclaré Keystone.

Les portefeuilles matériels sont conçus pour conserver hors ligne les clés privées contrôlant les avoirs en cryptomonnaies, et les contrôles d'authenticité existent pour confirmer qu'un appareil est authentique avant sa configuration. Avec le vol de la clé de vérification elle-même, c'est précisément le contrôle censé détecter les contrefaçons qui se retrouve compromis.

Cette divulgation ajoute Keystone à la série d'attaques visant les fabricants de portefeuilles matériels cette année. Plus tôt ce mois-ci, Ledger a demandé aux revendeurs d'Asie du Sud-Est et de Hong Kong de suspendre leurs ventes après des signalements selon lesquels des appareils vendus dans la région contenaient des implants non autorisés capables de capturer les phrases de récupération. Fin juillet, Coinkite, le fabricant de Coldcard, avait mis en garde les utilisateurs après que des attaquants ont exploité un bug provoquant la génération de graines de portefeuille avec moins d'entropie que prévu, entraînant le vol de cryptomonnaies pour des millions de dollars.

Keystone va détruire plus de 18 000 appareils contenant l'ancienne clé

Selon la dernière mise à jour de Keystone, l'attaquant a exploité une vulnérabilité dans un outil de surveillance tiers utilisé par le site web de l'entreprise pour élever ses privilèges.

« Cela a permis à l'attaquant d'obtenir certaines informations clients ainsi qu'une clé servant à vérifier l'authenticité de nos appareils », a indiqué l'entreprise.

Keystone a déclaré qu'elle prévoit de détruire 18 835 appareils de son inventaire contenant la clé compromise et a suspendu les expéditions de production de tous les appareils qui l'utilisent. Les expéditions reprendront une fois que l'entreprise commencera à produire des appareils avec une nouvelle clé d'authentification. Keystone n'a pas annoncé de calendrier pour cette transition ; l'entreprise a publié la mise à jour de lundi sur son compte X.

L'entreprise a indiqué que les appareils fabriqués et livrés avant l'incident du 20 octobre doivent être considérés comme sûrs, et que leurs contrôles d'authenticité restent fiables. Cependant, elle n'a pas pu garantir l'authenticité des appareils livrés après cette date et a exhorté les clients concernés à contacter son équipe d'assistance pour une vérification supplémentaire.

Keystone confirme la fuite de 25 964 enregistrements d'acheteurs

Keystone a également révélé l'ampleur de la fuite de données clients, indiquant que la boutique Shopify de son site web avait généré 51 083 enregistrements d'acheteurs. Parmi ceux-ci, 25 119 avaient été supprimés conformément à sa politique de conservation des données de 180 jours.

Les 25 964 enregistrements restants, datant de 2024 à 2026, ont pu être volés par l'attaquant. Keystone a attribué la conservation de ces anciennes entrées à une défaillance de son outil automatisé d'effacement massif des données.

« L'outil n'a pas fonctionné de manière fiable. Certaines tâches d'effacement ont échoué, et nous n'avons pas détecté et corrigé ces défaillances à temps, ce qui a entraîné la conservation de certaines informations personnelles au-delà de la période autorisée », a déclaré Keystone.

L'attaquant a également pu avoir accès à 12 873 enregistrements de paiement clients conservés par Shopify — des informations issues d'achats qui n'avaient pas été finalisés. Keystone a déclaré avoir contacté Shopify pour demander la suppression des informations personnelles figurant dans les enregistrements de paiement conservés depuis plus de 30 jours.

Une année de piratages de portefeuilles matériels

La divulgation de lundi rappelle la fuite de données de juin 2020 chez Ledger, qui avait exposé plus d'un million d'adresses e-mail, ainsi que des noms, numéros de téléphone et adresses physiques de clients. Les informations divulguées ont alimenté des années de tentatives de phishing visant les utilisateurs concernés.

D'autres fabricants de portefeuilles matériels ont également subi cette année des piratages impliquant des informations clients et des services tiers. En août, Trezor a révélé un piratage chez son partenaire logistique ayant exposé des informations clients, le nombre d'utilisateurs concernés passant à plus de 80 000 en septembre. SafePal a également signalé en août une vulnérabilité de suivi des commandes ayant exposé les données de près de 40 000 clients, tandis que BitBox était ciblé en septembre par une campagne de phishing impliquant un fournisseur de services e-mail tiers compromis.

L'incident de Keystone illustre l'exposition aux fournisseurs qui traverse les piratages de cette année : son attaquant est entré via un outil de surveillance tiers, tout comme le piratage de Trezor remontait à un partenaire logistique et la campagne de phishing contre BitBox à un fournisseur e-mail compromis.

Source : Cointelegraph