Il produttore di hardware wallet Keystone ha dichiarato che l'attaccante autore della violazione del proprio sito web la settimana scorsa ha rubato anche una chiave utilizzata per verificare l'autenticità dei suoi dispositivi, ampliando la portata di un incidente inizialmente divulgato come fuga di dati dei clienti.

In una dichiarazione su X di lunedì, Keystone ha avvertito che la chiave di autenticazione rubata potrebbe consentire agli attaccanti di produrre wallet contraffatti che superano i controlli di autenticità dell'azienda.

"Questi dispositivi potrebbero quindi essere venduti o spediti ai clienti, che potrebbero utilizzarli inconsapevolmente come prodotti originali, con il potenziale risultato di furti di asset", ha dichiarato Keystone.

Gli hardware wallet sono progettati per mantenere offline le chiavi private che controllano le criptovalute, e i controlli di autenticità esistono per confermare che un dispositivo sia originale prima della configurazione. Con la stessa chiave di verifica rubata, la salvaguardia ora compromessa è proprio il controllo pensato per individuare i contraffatti.

La divulgazione aggiunge Keystone alla serie di attacchi rivolti ai produttori di hardware wallet quest'anno. All'inizio del mese, Ledger ha chiesto ai rivenditori del Sud-est asiatico e di Hong Kong di sospendere le vendite dopo segnalazioni secondo cui i dispositivi venduti nella regione conteneano implant non autorizzati in grado di catturare le frasi di recupero. A fine luglio, Coinkite, produttore di Coldcard, ha emesso un avviso agli utenti dopo che attaccanti hanno sfruttato un bug che faceva generare ai dispositivi seed dei wallet con meno entropia del previsto, con conseguente furto di criptovalute per milioni di dollari.

Keystone distruggerà oltre 18.000 dispositivi con la vecchia chiave

Secondo l'ultimo aggiornamento di Keystone, l'attaccante ha sfruttato una vulnerabilità in uno strumento di monitoraggio di terze parti utilizzato dal sito web dell'azienda per elevare i privilegi.

"Questo ha permesso all'attaccante di ottenere alcune informazioni sui clienti e una chiave utilizzata per verificare l'autenticità dei nostri dispositivi", ha dichiarato l'azienda.

Keystone ha dichiarato di prevedere di distruggere 18.835 dispositivi nel proprio inventario contenenti la chiave compromessa e ha sospeso le spedizioni di produzione di tutti i dispositivi che la utilizzano. Le spedizioni riprenderanno una volta che l'azienda avrà iniziato a produrre dispositivi con una nuova chiave di autenticazione. Keystone non ha annunciato una tempistica per il passaggio; l'azienda ha pubblicato l'aggiornamento di lunedì sul proprio account X.

L'azienda ha dichiarato che i dispositivi fabbricati e consegnati prima dell'incidente del 20 ottobre devono essere considerati sicuri e che i loro controlli di autenticità rimangono affidabili. Tuttavia, non ha potuto garantire l'autenticità dei dispositivi consegnati dopo tale data e ha invitato i clienti coinvolti a contattare il team di assistenza per una verifica aggiuntiva.

Keystone conferma la fuga di 25.964 record di acquirenti

Keystone ha inoltre reso nota la portata della violazione dei dati dei clienti, dichiarando che lo store Shopify del suo sito web aveva generato 51.083 record di acquirenti. Di questi, 25.119 erano stati eliminati ai sensi della sua politica di conservazione dei dati di 180 giorni.

I restanti 25.964 record, risalenti al periodo dal 2024 al 2026, potrebbero essere stati rubati dall'attaccante. Keystone ha attribuito la conservazione delle voci più datate a un malfunzionamento del suo strumento automatizzato per la cancellazione in blocco dei dati.

"Lo strumento non funzionava in modo affidabile. Alcune attività di cancellazione sono fallite e non abbiamo rilevato e risolto questi guasti in tempo, con il risultato che alcune informazioni personali sono state conservate oltre il periodo consentito", ha dichiarato Keystone.

L'attaccante potrebbe inoltre aver avuto accesso a 12.873 record di checkout dei clienti conservati da Shopify — informazioni relative ad acquisti non completati. Keystone ha dichiarato di aver contattato Shopify per richiedere l'eliminazione delle informazioni personali presenti nei record di checkout conservati per più di 30 giorni.

Un anno di violazioni legate agli hardware wallet

La divulgazione di lunedì riecheggia una violazione dei dati occurreda a Ledger a giugno 2020, che ha esposto oltre 1 milione di indirizzi e-mail, oltre a nomi dei clienti, numeri di telefono e indirizzi fisici. Le informazioni trapelate hanno alimentato anni di tentativi di phishing rivolti agli utenti coinvolti.

Altri produttori di hardware wallet hanno subito violazioni riguardanti informazioni sui clienti e servizi di terze parti quest'anno. Ad agosto, Trezor ha rivelato una violazione presso il suo partner di spedizione che ha esposto informazioni sui clienti, con il numero di utenti coinvolti salito a oltre 80.000 a settembre. Anche SafePal ha segnalato ad agosto una vulnerabilità nel tracciamento degli ordini che ha esposto dati di quasi 40.000 clienti, mentre BitBox è stata oggetto a settembre di una campagna di phishing che coinvolgeva un provider e-mail di terze parti compromesso.

L'incidente di Keystone rientra nell'esposizione ai fornitori che attraversa le violazioni di quest'anno: l'attaccante è entrato attraverso uno strumento di monitoraggio di terze parti, proprio come la violazione di Trezor è stata ricondotta a un partner di spedizione e la campagna di phishing contro BitBox a un provider e-mail compromesso.

Fonte: Cointelegraph