Il produttore di hardware wallet Keystone ha invitato gli utenti ad aggiornare l'app Nexus alla versione 1.3.7 dopo che un attacco informatico ha interrotto alcuni servizi dell'applicazione. Annunciato venerdì 6 novembre, si tratta della terza comunicazione di sicurezza emessa dall'azienda in circa due settimane, a seguito di una violazione dei dati dei clienti nel suo negozio online e del furto di una chiave utilizzata per verificare l'autenticità dei suoi dispositivi.

L'attacco all'app Nexus e la correzione della v1.3.7

In un post su X, Keystone ha dichiarato che alcuni servizi dell'app Nexus erano stati compromessi in un attacco informatico e che un certo numero di utenti non è riuscito a utilizzare l'app per un periodo di tempo. L'azienda ha affermato che il proprio team ha risposto all'incidente e ha rafforzato la sicurezza dei server. L'annuncio di Keystone non ha dettagliato quali servizi sono stati interessati né attribuito l'attacco.

A seguito di un'indagine, Keystone ha scritto di aver "trovato nessuna prova che gli asset degli utenti o le informazioni personali siano stati interessati". L'azienda si è scusata per l'interruzione e ha invitato gli utenti ad aggiornare l'app alla v1.3.7. Ha inoltre consigliato agli utenti di verificare che qualsiasi app scarichino elenchi "Yanssie HK Limited" come sviluppatore, aggiungendo che un'app senza tale sviluppatore non è di Keystone.

Una violazione del negozio che ha esposto 25.964 record di acquirenti

La prima comunicazione riguardava un intruso che ha avuto accesso al negozio online di Keystone basato su Shopify. Secondo una precedente inchiesta di Cryptopolitan, l'accesso non autorizzato è stato rilevato il 20 ottobre, e il 23 ottobre l'azienda ha confermato che una terza parte aveva prelevato i dati di spedizione dei clienti, rendendo pubblica l'informazione il giorno successivo.

I record rubati contenevano nomi, dati di contatto, indirizzi di spedizione e informazioni sugli ordini, compresi i dispositivi acquistati dagli utenti. L'azienda ha dichiarato che carte di pagamento, dati bancari, frasi di recupero e chiavi private non sono state esposte.

È stato riferito che 25.964 record di acquirenti relativi ad acquisti effettuati tra il 2024 e il 2026 erano tra i dati rubati. Keystone ha inoltre contato, come precauzione, 12.873 record di checkout non pagati.

Poiché gli indirizzi di casa facevano parte della violazione, la ricercatrice di sicurezza Taylor Monahan ha sottolineato che potrebbe esporre i possessori al rischio di "wrench attack" — minacce fisiche utilizzate per costringere i proprietari a consegnare le proprie criptovalute. La piattaforma di sicurezza crypto Certik ha tracciato 52 attacchi di questo tipo nella prima metà del 2026, rispetto ai 39 incidenti registrati nell'anno precedente.

18.835 wallet destinati alla distruzione

Pochi giorni dopo aver comunicato il furto dei record degli utenti, Keystone è tornata alle notizie dichiarando che lo stesso aggressore responsabile della prima violazione aveva anche rubato la chiave WebAuth che i suoi dispositivi utilizzano per dimostrare la loro autenticità. L'attaccante avrebbe sfruttato una vulnerabilità in uno strumento di monitoraggio di terze parti sul sito web dell'azienda per escalare i privilegi, prelevando poi sia i dati dei clienti sia la chiave.

Il problema è significativo perché la chiave è impressa in ogni dispositivo durante la produzione e non può essere riscritta. Chiunque possieda la chiave potrebbe costruire un dispositivo contraffatto che supera il controllo di autenticità di Keystone. In risposta, Keystone ha deciso di scartare tutte le 18.835 unità invendute che contengono la chiave compromessa.

L'azienda ha dichiarato che un wallet consegnato prima del 20 ottobre che supera il controllo è autentico. Per le unità con la vecchia chiave ricevute dopo tale data, "non è possibile escludere completamente la possibilità che sia contraffatto", e ha invitato quei proprietari a contattare l'assistenza prima dell'uso. Non ha segnalato finora dispositivi contraffatti o furti.

Conservazione ridotta a 90 giorni dopo il fallimento di uno strumento di cancellazione

Keystone aveva pubblicizzato di cancellare i dati di spedizione 180 giorni dopo un ordine, ma i clienti hanno riferito di aver ricevuto notifiche di violazione per acquisti effettuati più di due anni prima, come riportato da Cryptopolitan. Lo strumento di cancellazione automatizzato dell'azienda aveva fallito, lasciando intatti i vecchi record.

Keystone ha successivamente ridotto il periodo di conservazione a 90 giorni e ha chiesto a Shopify di eliminare i dati personali più vecchi, con la cancellazione dei record scaduti prevista entro il 3 novembre. Il concorrente OneKey ha anch'esso limitato il proprio periodo di conservazione a 30 giorni dopo l'incidente di Keystone.

I progetti crypto hanno affrontato un 2026 difficile per quanto riguarda gli attacchi informatici, e i fornitori di hardware wallet non sono stati risparmiati. Ad agosto, una violazione dei dati presso ShipMonk, uno dei partner logistici di Trezor, ha interessato circa 81.000 clienti. SafePal ha esposto circa 39.798 utenti tramite una vulnerabilità nel tracciamento degli ordini, e Ledger ha trovato chip nascosti in dispositivi rivenduti che ricercatori on-chain hanno collegato a perdite superiori a 86 milioni di dollari. La serie di comunicazioni di Keystone in due settimane riflette questa ampiezza, con gli incidenti che riguardano il suo negozio online, i suoi strumenti web, il suo stock di dispositivi invenduti e i servizi della sua app.