Il produttore di hardware wallet Keystone ha ritirato dai magazzini vendibili quasi 19.000 dispositivi e sospeso tutti gli ordini non evasi effettuati tramite il proprio sito, dopo che un attaccante ha ottenuto la chiave crittografica utilizzata dall'azienda per verificare l'autenticità di un wallet Keystone. Il furto solleva la possibilità che hardware contraffato possa superare il controllo di autenticità dello stesso Keystone.

In una dichiarazione pubblicata su X, la società ha dichiarato che l'attaccante ha ottenuto la chiave WebAuth che alimenta la pagina di autenticazione dei dispositivi — il meccanismo su cui gli acquirenti si affidano per confermare che un wallet sia stato spedito direttamente dal produttore. Con quella chiave in mani estranee, un attaccante sofisticato potrebbe teoricamente utilizzarla per far apparire legittimo un dispositivo falso a chiunque esegua il processo di verifica standard.

Keystone distrugge l'inventario e congela le spedizioni

Piuttosto che spedire scorte che non poteva più autenticare in modo affidabile, Keystone ha dichiarato che distruggerà 18.835 dispositivi in magazzino che portano la vecchia chiave WebAuth e che non venderà né inoltrerà ai clienti alcun ordine dal sito non ancora spedito.

Distruggere quasi 19.000 unità è un passo insolito per un'azienda di hardware wallet e segnala quanto seriamente Keystone stia affrontando questa lacuna di autenticazione. L'azienda ha sottolineato che la chiave WebAuth non è utilizzata per la generazione della frase di recupero, la derivazione delle chiavi private o la firma delle transazioni, il che significa che i wallet già in mano agli utenti rimangono funzionalmente sicuri per la gestione delle criptovalute.

Keystone ha inoltre confermato che i dispositivi consegnati prima del 20 ottobre non sono interessati, secondo Decrypt. La società ha dichiarato di aver presentato segnalazioni di incidente nell'UE, nel Regno Unito e in altre giurisdizioni, anche si tratta di comunicazioni avviate dall'azienda stessa e non rappresentano accertamenti o provvedimenti applicativi da parte di alcun autorità di regolamentazione. Per ora, le divulgazioni registrate sono quelle di Keystone; un'eventuale valutazione separata da parte di tali autorità sarebbe un nuovo sviluppo da monitorare.

Anche i dati dei clienti coinvolti nell'incidente

Oltre al problema di autenticazione dei dispositivi, l'episodio ha anche esposto informazioni personali legate allo storico degli ordini di Keystone. Decrypt ha riferito che 25.964 record di acquirenti conservano dati personali relativi ad acquisti effettuati tra il 2024 e il 2026.

Unchained ha riportato una cifra più ampia: in totale erano coinvolti 51.083 record di acquirenti Shopify, sebbene 25.119 di questi avessero già avuto i dati personali cancellati. Le cifre delle due testate si conciliano aritmeticamente: 51.083 meno le 25.119 voci cancellate lascia 25.964 — esattamente il numero citato da Decrypt come ancora in possesso di dati personali. Inoltre, altri 12.873 record di checkout non pagati conservavano nomi, informazioni di contatto e dati di spedizione.

L'esposizione dei dati aggiunge una preoccupazione separata per la privacy al problema dell'autenticità dei dispositivi, considerando soprattutto che i clienti di hardware wallet sono spesso identificabili come detentori di criptovalute.

Perché una chiave di autenticazione rubata è rilevante per il rischio di contraffazione

Gli hardware wallet occupano un ruolo di fiducia specifico nell'ecosistema delle criptovalute: dovrebbero essere dispositivi a prova di manomissione e isolati dalla rete che non espongono mai le chiavi private a un computer connesso a internet. Questa promessa dipende in parte dalla capacità degli acquirenti di confermare di aver ricevuto hardware autentico e non un dispositivo intercettato o sostituito durante il transito.

La chiave WebAuth nella pagina di autenticità di Keystone era precisamente il meccanismo concepito per affrontare quel rischio nella catena di fornitura. Se un attaccante possiede la chiave, qualsiasi dispositivo contraffatto che produce potrebbe generare un risultato di verifica dall'aspetto valido, lasciando l'acquirente senza un modo affidabile per distinguere un dispositivo legittimo da uno falso tramite il controllo standard. La risposta di Keystone — sostituire la chiave e distruggere le vecchie scorte — è coerente con il trattamento del percorso di verifica come compromesso piuttosto che riparabile sul posto.

Vale la pena notare che nessun dispositivo Keystone contraffatto confermato è emerso nella copertura pubblica dell'incidente. Le divulgazioni dell'azienda descrivono il rischio creato dalla chiave rubata, non prove che dispositivi falsi siano già arrivati agli acquirenti.

Cosa dovrebbero fare ora gli utenti del wallet Keystone

Per gli utenti che possiedono già un dispositivo Keystone, la dichiarazione della società secondo cui la chiave WebAuth non ha alcun ruolo nella generazione della frase di recupero, nella derivazione delle chiavi private o nella firma delle transazioni è l'informazione più rilevante. I wallet esistenti in mano a utenti legittimi non sono direttamente compromessi dal furto della chiave di autenticazione, e le frasi seed conservate correttamente rimangono protette. Per indicazioni specifiche sul prodotto, la prudenza suggerisce di seguire direttamente i canali ufficiali di Keystone piuttosto che fare affidamento su riassunti di terze parti.

Per gli acquirenti che hanno effettuato ordini sul web non ancora spediti, Keystone ha dichiarato che tali ordini sono sospesi. La società non ha ancora reso pubblico dettagli su una tempistica di sostituzione o rinvio, quindi i clienti interessati dovrebbero monitorare le comunicazioni ufficiali di Keystone per gli aggiornamenti. Chiunque stia valutando l'acquisto di un dispositivo Keystone sul mercato secondario o da un rivenditore dovrebbe prestare particolare cautela finché l'azienda non rilascia nuovi dispositivi con una nuova chiave di autenticazione, poiché i dispositivi con la vecchia chiave in circolazione secondaria non possono essere verificati tramite la precedente pagina di autenticità.

L'incidente ricorda che l'autenticazione nella catena di fornitura è una superficie di attacco attiva per i produttori di hardware wallet, in particolare man mano che cresce il valore degli asset gestiti in auto-custodia. Il sentiment generale del mercato crypto si trova su Neutral (48) nell'Fear and Greed Index, e Bitcoin viene scambiato vicino agli $80.646 — indicatori di quanto sia consistente la popolazione di utenti in auto-custodia con patrimoni significativi, e quanto direttamente finanziarie possano essere le conseguenze di un dispositivo compromesso.

La domanda centrale per Keystone ora è quanto rapidamente possa riemettere dispositivi con una nuova chiave WebAuth non compromessa e fornire agli acquirenti un percorso di autenticazione sostitutivo affidabile. Finché tale processo non sarà completato e verificabile in modo indipendente, il controllo di autenticità che l'azienda ha costruito per proteggere i clienti da hardware falso rimane non disponibile.

Disclaimer: Questo articolo ha scopo puramente informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettua sempre le tue ricerche prima di prendere decisioni.