Keystone, producent sprzętowych portfeli kryptowalutowych, poinformował, że ostatnie naruszenie bezpieczeństwa było znacznie poważniejsze, niż początkowo raportowano — atakujący ukradli kluczowy klucz uwierzytelniający, który mógłby umożliwić podrabianym urządzeniom przejście oficjalnej weryfikacji firmy.

Firma dokonała rozszerzonego ujawnienia 26 października 2026 r., po tym jak początkowo zgłosiła jedynie wyciek danych klientów. W odpowiedzi Keystone planuje zniszczyć 18 835 portfeli sprzętowych, wstrzymać oczekujące wysyłki i wprowadzić silniejsze zabezpieczenia uwierzytelniania.

Atakujący pozyskali klucz WebAuth

Keystone po raz pierwszy wykrył nieautoryzowany dostęp do swojej oficjalnej strony internetowej 20 października. Śledczy później ustalili, że atakujący wykorzystali podatność w zewnętrznym narzędziu do monitorowania danych, co pozwoliło im uzyskać podwyższone uprawnienia dostępu.

Wśród pozyskanych znalazł się klucz WebAuth firmy Keystone — poświadczenie używane do weryfikacji, czy portfele sprzętowe są oryginalne. To właśnie takie kontrole pozwalają kupującym potwierdzić, że urządzenie jest legalne, a nie podrabiane lub naruszone, co czyni to poświadczenie fundamentem zaufania do samego produktu.

Klucz jest osadzany w urządzeniach podczas produkcji, co oznacza, że nie można go wymazać ani wymienić w egzemplarzach już znajdujących się w obiegu — w przeciwieństwie do wycieczonego hasła nie da się go po prostu zmienić. W konsekwencji przestępcy mogliby w teorii produkować podrabiane portfele zdolne przejść oficjalny proces uwierzytelniania Keystone, potencjalnie narażając nieświadomych posiadaczy kryptowalut na kradzież aktywów. Keystone podkreślił jednak, że ukradziony klucz nie może generować fraz odzyskiwania, wyprowadzać kluczy prywatnych ani autoryzować transakcji kryptowalutowych. Firma oświadczyła, że nie potwierdziła żadnych przypadków wykorzystania naruszonego poświadczenia przez podrabiane urządzenia.

18 835 urządzeń zostanie zniszczonych

Po wykryciu incydentu Keystone ogłosił, że zniszczy 18 835 urządzeń zawierających naruszony klucz uwierzytelniający. Firma wstrzymała również wysyłki oczekujących zamówień ze strony internetowej, aż staną się dostępne urządzenia zamienne.

Nowo produkowane portfele będą wyposażone w inny klucz uwierzytelniający. W międzyczasie Keystone przeniósł sprzedaż na swojej stronie do modelu przedsprzedaży, przygotowując zapasy zamienników.

Śledztwo ujawniło również, że hakerzy uzyskali dostęp do danych osobowych powiązanych z 25 964 rekordami zakupów klientów. Keystone zidentyfikował także 12 873 niedokończonych zamówień, które mogły zawierać wrażliwe dane klientów. Wyciekłe dane obejmowały imiona i nazwiska, dane kontaktowe, adresy dostawy oraz historie zakupów. Firma przyznała, że awarie automatycznego systemu usuwania danych sprawiły, iż część informacji o klientach pozostawała przechowywana dłużej niż zamierzano.

Użytkownicy ostrzeżeni przed oszustwami

Keystone oświadczy, że portfele dostarczone przed 20 października pozostają godne zaufania, pod warunkiem że przejdą kontrole uwierzytelniania. Klienci, którzy otrzymali urządzenia ze starszym kluczem po tej dacie, powinni skontaktować się z oficjalnym wsparciem w celu dodatkowej weryfikacji.

Firma ostrzegła również użytkowników przed fałszywymi zawiadomieniami o akcjach wycofania, ofertami wymiany oraz prośbami o przelanie aktywów kryptowalutowych. Keystone podkreślił, że nigdy nie poprosi klientów o przekazanie fraz odzyskiwania ani o odesłanie urządzeń w odpowiedzi na niezamówione wezwania. Takie ostrzeżenia mają szczególne znaczenie w świetle wycieku danych, ponieważ prawdziwe nazwiska, adresy i historie zamówień mogą sprawić, że oszukańcze wiadomości będą wyglądać wiarygodnie.

Choć klucze prywatne i frazy odzyskiwania nie zostały naruszone, incydent pokazuje, że zagrożenia bezpieczeństwa dla producentów portfeli sprzętowych wykraczają poza same urządzenia i obejmują dane klientów oraz systemy uwierzytelniania, na których opiera się zaufanie inwestorów. Warto obserwować, czy zostaną potwierdzone jakiekolwiek podrabiane urządzenia, kiedy wznowione zostaną wysyłki zamienników w modelu przedsprzedaży oraz jaką formę przyjmą zapowiedziane silniejsze zabezpieczenia uwierzytelniania Keystone.