Keystone, produttore di hardware wallet per criptovalute, ha reso noto che la sua recente violazione della sicurezza è stata molto più grave di quanto inizialmente riferito, rivelando che gli aggressori hanno rubato una chiave di autenticazione fondamentale che potrebbe consentire a dispositivi contraffatti di superare i controlli di verifica ufficiali dell'azienda.

L'azienda ha diffuso la comunicazione ampliata il 26 ottobre 2026, dopo aver inizialmente segnalato solo l'esposizione delle informazioni dei clienti. In risposta, Keystone prevede di distruggere 18.835 hardware wallet, sospendere le spedizioni in sospeso e introdurre misure di autenticazione più rigorose.

Gli aggressori ottengono la chiave WebAuth

Keystone ha rilevato per la prima volta un accesso non autorizzato al proprio sito ufficiale il 20 ottobre. Gli investigatori hanno successivamente determinato che gli aggressori hanno sfruttato una vulnerabilità in uno strumento di monitoraggio dati di terze parti, che ha consentito loro di ottenere privilegi di accesso elevati.

Tra i dati sottratti figurava la chiave WebAuth di Keystone, la credenziale utilizzata per verificare se gli hardware wallet sono autentici. Controlli di questo tipo permettono agli acquirenti di confermare che un dispositivo è legittimo e non contraffatto o manomesso, il che colloca la credenziale al centro della fiducia nel prodotto stesso.

La chiave è incorporata nei dispositivi durante la produzione, il che significa che non può essere cancellata o sostituita sulle unità già in circolazione — a differenza di una password divulgata, non può essere semplicemente ruotata. Di conseguenza, i criminali potrebbero in teoria produrre wallet contraffatti in grado di superare il processo di autenticazione ufficiale di Keystone, esponendo potenzialmente ignari detentori di criptovalute al furto di asset. Keystone ha tuttavia sottolineato che la chiave rubata non può generare frasi di recupero, derivare chiavi private o autorizzare transazioni in criptovalute. L'azienda ha dichiarato di non aver confermato alcun caso di dispositivi contraffatti che suttino la credenziale compromessa.

18.835 dispositivi da distruggere

Dopo la scoperta, Keystone ha annunciato che distruggerà 18.835 dispositivi contenenti la chiave di autenticazione compromessa. L'azienda ha inoltre sospeso le spedizioni degli ordini online in sospeso fino a quando le unità sostitutive non saranno disponibili.

I wallet di nuova produzione porteranno una chiave di autenticazione diversa. Nell'intervallo, Keystone ha spostato le vendite online su un modello di preordine mentre prepara l'inventario sostitutivo.

L'indagine ha inoltre rivelato che gli hacker hanno avuto accesso a informazioni personali legate a 25.964 record di acquisto dei clienti. Keystone ha anche identificato 12.873 record di checkout incompleti che potrebbero aver contenuto dettagli sensibili dei clienti. I dati esposti includevano nomi, informazioni di contatto, indirizzi di spedizione e cronologie degli acquisti. L'azienda ha riconosciuto che guasti nel suo sistema di eliminazione automatica avevano consentito ad alcune informazioni dei clienti di rimanere archiviate più a lungo del previsto.

Invito agli utenti a fare attenzione alle truffe

Keystone ha dichiarato che i wallet consegnati prima del 20 ottobre rimangono affidabili a condizione che superino i controlli di autenticazione. I clienti che hanno ricevuto dispositivi contenenti la chiave precedente dopo tale data sono invitati a contattare l'assistenza ufficiale per una verifica aggiuntiva.

L'azienda ha inoltre messo in guardia gli utenti su avvisi di richiamo fraudolenti, offerte di sostituzione e richieste di trasferimento di asset in criptovalute. Keystone ha sottolineato che non chiederà mai ai clienti di consegnare le frasi di recupero o di restituire i dispositivi tramite richieste di richiamo non sollecitate. Tali avvertenze assumono un peso aggiuntivo considerando i record esposti, poiché nomi reali, indirizzi e cronologie degli ordini possono rendere i messaggi fraudolenti credibili per i destinatari.

Sebbene le chiavi private e le frasi di recupero non siano state compromesse, l'incidente sottolinea che i rischi di sicurezza per i produttori di hardware wallet vanno oltre i dispositivi stessi, comprendendo i dati dei clienti e i sistemi di autenticazione che sostengono la fiducia degli investitori. Gli sviluppi da monitorare includono la conferma eventuale di dispositivi contraffatti, la ripresa delle spedizioni sostitutive nel modello di preordine e la forma che assumeranno le promesse misure di autenticazione più rigorose di Keystone.