Hardwarewalletfabrikant Keystone heeft gemeld dat de aanvaller die vorig week inbraak pleegde op de website ook een sleutel stalte waarmee de echtheid van de apparaten wordt geverifieerd, waarmee de reikwijdte is vergroot van een incident dat aanvankelijk werd gemeld als een lek van klantgegevens.

In een verklaring op X op maandag waarschuwde Keystone dat de gestolen authenticatiesleutel aanvallers in staat zou kunnen stellen namaakwallets te produceren die de echtheidscontroles van het bedrijf doorstaan.

"Deze apparaten zouden vervolgens verkocht of verzonden kunnen worden naar klanten, die ze onbewust als echte producten kunnen gebruiken, wat mogelijk kan leiden tot diefstal van activa", aldus Keystone.

Hardwarewallets zijn ontworpen om de privésleutels die crypto-bezittingen beheren offline te houden, en echtheidscontroles bestaan om te bevestigen dat een apparaat echt is voordat het wordt ingesteld. Nu de verificatiesleutel zelf is gestolen, is juist de beveiliging die namaak moest opsporen gecompromitteerd.

Met deze openbaarmaking voegt Keystone zich bij een reeks aanvallen op fabrikanten van hardwarewallets dit jaar. Eerder deze maand verzocht Ledger wederverkopers in Zuidoost-Azië en Hongkong de verkoop op te schorten nadat meldingen waren binnengekomen dat apparaten die in de regio werden verkocht, ongeautoriseerde implants bevatten die herstelzinnen konden onderscheppen. Eind juli gaf Coinkite, de maker van Coldcard, een waarschuwing aan gebruikers af nadat aanvallers een bug hadden misbruikt waardoor de apparaten wallet-seeds met minder entropie genereerden dan bedoeld, wat resulteerde in de diefstal van crypto ter waarde van miljoenen dollars.

Keystone vernietigt meer dan 18.000 apparaten met oude sleutel

Volgens de meest recente update van Keystone misbruikte de aanvaller een kwetsbaarheid in een monitoringtool van een derde partij die door de website van het bedrijf wordt gebruikt, om rechten te escaleren.

"Dit stelde de aanvaller in staat enkele klantgegevens en een sleutel te verkrijgen waarmee de echtheid van onze apparaten wordt geverifieerd", aldus het bedrijf.

Keystone meldde dat het van plan is 18.835 apparaten uit voorraad te vernietigen die de gecompromitteerde sleutel bevatten, en heeft de productverzendingen van alle apparaten die deze gebruiken opgeschort. De verzendingen worden hervat zodra het bedrijf begint met de productie van apparaten met een nieuwe authenticatiesleutel. Keystone heeft geen tijdlijn voor de overstap aangekondigd; het bedrijf publiceerde de update van maandag op zijn X-account.

Het bedrijf meldde dat apparaten die vóór het incident op 20 oktober zijn vervaardigd en geleverd als veilig moeten worden beschouwd en dat hun echtheidscontroles betrouwbaar blijven. Het kon echter de echtheid van apparaten die na die datum zijn geleverd niet garanderen en riep getroffen klanten op contact op te nemen met het supportteam voor aanvullende verificatie.

Keystone bevestigt lek van 25.964 kopersregistraties

Keystone maakte ook de omvang van het gegevenslek bekend en meldde dat de Shopify-winkel op de website 51.083 kopersregistraties had gegenereerd. Daarvan waren er 25.119 verwijderd op grond van het 180-dagen-retentiebeleid voor gegevens.

De resterende 25.964 registraties, daterend van 2024 tot 2026, zijn mogelijk door de aanvaller gestolen. Keystone schreef het behoud van de oudere gegevens toe aan een storing in de geautomatiseerde tool voor bulkverwijdering van gegevens.

"De tool werkte niet betrouwbaar. Sommige verwijdertaken mislukten, en we hebben deze fouten niet tijdig opgespoord en verholpen, waardoor bepaalde persoonlijke gegevens langer dan toegestaan zijn bewaard", aldus Keystone.

De aanvaller had mogelijk ook toegang tot 12.873 afrekenregistraties van klanten die door Shopify worden bewaard — informatie over aankopen die niet waren afgerond. Keystone meldde contact te hebben opgenomen met Shopify met het verzoek persoonlijke gegevens in afrekenregistraties die langer dan 30 dagen worden bewaard, te verwijderen.

Een jaar vol datalekken bij hardwarewallets

De openbaarmaking van maandag doet denken aan een gegevenslek bij Ledger in juni 2020, waarbij meer dan 1 miljoen e-mailadressen werden blootgesteld, samen met namen, telefoonnummers en fysieke adressen van klanten. De gelekte informatie leidde jarenlang tot phishingpogingen gericht op getroffen gebruikers.

Ook andere fabrikanten van hardwarewallets zijn dit jaar getroffen door inbreuken met betrekking tot klantgegevens en diensten van derden. In augustus meldde Trezor een inbreuk bij zijn verzendpartner waarbij klantgegevens werden blootgesteld, waarbij het aantal getroffen gebruikers in september opliep tot meer dan 80.000. SafePal meldde in augustus eveneens een kwetsbaarheid in ordertracking waarbij gegevens van bijna 40.000 klanten werden blootgesteld, terwijl BitBox in september het doelwit was van een phishingcampagne via een gecompromitteerde e-mailprovider van derden.

Het incident bij Keystone past in de blootstelling via leveranciers die door de inbreuken van dit jaar loopt: de aanvaller kwam binnen via een monitoringtool van een derde partij, net zoals de inbreuk bij Trezor naar een verzendpartner werd herleid en de phishingcampagne tegen BitBox naar een gecompromitteerde e-mailprovider.

Bron: Cointelegraph