Keystone ha ridotto del 50% il periodo di conservazione dei dati di spedizione, passando da 180 a 90 giorni con effetto immediato. Il produttore di hardware wallet ha annunciato la modifica in un post su X venerdì e ha chiesto agli acquirenti che desiderano la cancellazione dei propri dati di contattare l'assistenza immediatamente dopo aver ricevuto un ordine.

La riduzione arriva dopo l'ammissione di Keystone che la sua funzione di cancellazione automatica a 180 giorni, ampiamente pubblicizzata, aveva smesso di funzionare, lasciando i dati personali di 25.964 record di acquirenti esposti a una potenziale violazione. Il concorrente OneKey è andato oltre, limitando la conservazione automatica a 30 giorni. L'episodio evidenzia inoltre una caratteristica strutturale del settore degli hardware wallet: i dispositivi sono beni fisici, quindi i venditori devono raccogliere e conservare nomi, recapiti e indirizzi di consegna per ogni ordine — una categoria di dati personali che i prodotti esclusivamente software non devono mai conservare.

Keystone: «Ci assumiamo la responsabilità di questo fallimento»

La modifica è arrivata dopo che Keystone ha riconosciuto che la funzione automatizzata per la cancellazione dei dati utente dopo una finestra di 180 giorni aveva smesso di funzionare correttamente e che nessun allarme aveva segnalato il malfunzionamento.

Secondo Cryptopolitan, Keystone ha individuato 25.964 record di acquirenti contenenti dati personali come nomi, recapiti, indirizzi di spedizione e cronologie degli acquisti. La scoperta è emersa da una revisione di 51.083 record di acquirenti. Alcuni dei record contenenti dati personali risalivano fino al 2024, ben oltre il limite di cancellazione automatica a 180 giorni promesso dall'azienda. Altri 12.873 record di checkout non pagati sono risultati contenere dati sensibili.

«Non abbiamo mantenuto il nostro impegno a cancellare i dati dei clienti nei tempi previsti e ci assumiamo la responsabilità di questo fallimento», ha dichiarato l'azienda.

Tre documenti, tre versioni della regola

L'impegno violato da Keystone esisteva in tre versioni completamente diverse, a seconda della sezione del sito web letta dal cliente. La prima versione appariva sulla pagina Privacy Promise dell'azienda, che afferma che «tutte le informazioni di spedizione vengono cancellate automaticamente 180 giorni dopo l'effettuazione dell'ordine».

L'informativa sulla privacy di Keystone, modificata l'ultima volta a maggio 2021, recita invece: «Keystone cancella tutte le informazioni degli ordini di ogni cliente che non ha effettuato un ordine negli ultimi 180 giorni».

Una terza versione compare nel centro assistenza dell'azienda, che indica che i record relativi a città e paese del cliente non verranno cancellati su richiesta e che Shopify esegue la cancellazione finale. In pratica, le condizioni di cancellazione promesse al cliente variavano per trigger, tempistiche, ambito e chi eseguiva la cancellazione, a seconda della pagina consultata.

OneKey passa a 30 giorni

La svista di Keystone ha offerto al concorrente OneKey l'opportunità di andare avanti. Yishi Wang, fondatore di OneKey, ha annunciato il 27 ottobre — all'indomani dei problemi di Keystone — che l'azienda avrebbe fissato un limite di 30 giorni prima della cancellazione dei dati utente dal proprio database. Wang ha ribadito che la mossa era semplicemente una precauzione.

Il ragionamento alla base della decisione non è complicato: più a lungo un venditore conserva i record, più è probabile che questi finengano coinvolti in una violazione.

SafePal ha compiuto una mossa simile dopo che circa 40.000 dei suoi clienti sono stati esposti tramite un difetto nel tracciamento degli ordini, riducendo la conservazione a 90 giorni. Prese insieme, le iniziative di entrambe le aziende dimostrano che le debolezze vanno oltre qualsiasi singolo produttore di wallet.

Una chiave rubata costringe alla distruzione di 18.835 dispositivi

Il fallimento nella conservazione dei dati è una parte di un episodio più ampio. Keystone ha notato un accesso non autorizzato al proprio sito il 20 ottobre, confermandolo il 23 ottobre. Un intruso aveva rubato i dati degli acquirenti e l'azienda ha successivamente scoperto che il ladro aveva anche preso la chiave WebAuth — un codice impresso in fabbrica su ogni dispositivo per dimostrarne l'autenticità.

Poiché la chiave non può essere riscritta, Keystone ha deciso di eliminare tutte le 18.835 unità invendute che la contengono. L'azienda ha sospeso le spedizioni tramite il proprio sito ed è passata ai preordini in attesa dei dispositivi sostitutivi. Qualsiasi dispositivo consegnato prima del 20 ottobre è sicuro, a condizione che superi l'autenticazione.

Frasi di recupero, chiavi private e dati di pagamento non sono stati esposti, ha dichiarato l'azienda. Keystone ha presentato richieste di cancellazione a Shopify il 24 ottobre; un'attesa obbligatoria di 10 giorni significa che i record scaduti dovrebbero essere eliminati entro il 3 novembre. Tale scadenza, insieme alla ripresa delle spedizioni dirette sospese da Keystone, rappresenta il prossimo punto di controllo per gli acquirenti che monitorano se la pulizia viene completata come previsto.