Producent portfeli sprzętowych Keystone poinformował, że atakujący, który w zeszłym tygodniu włamał się na stronę firmy, ukradł także klucz służący do weryfikacji oryginalności urządzeń, poszerzając zakres incydentu, który początkowo ujawniono jako wyciek danych klientów.

W oświadczeniu na X w poniedziałek Keystone ostrzegł, że skradziony klucz uwierzytelniający mógłby pozwolić atakującym na produkcję podróbek portfeli przechodzących testy oryginalności firmy.

„Takie urządzenia mogłyby zostać następnie sprzedane lub wysłane klientom, którzy mogliby nieświadomie używać ich jako oryginalnych produktów, co potencjalnie może skutkować kradzieżą aktywów” — powiedział Keystone.

Portfele sprzętowe zostały zaprojektowane tak, aby klucze prywatne kontrolujące zasoby kryptowalut pozostawały offline, a testy oryginalności służą do potwierdzenia, że urządzenie jest autentyczne przed jego konfiguracją. Po skradzieniu samego klucza weryfikacyjnego skompromitowane zostało zabezpieczenie, które miało właśnie wykrywać podróbki.

Dzięki temu ujawnieniu Keystone dołączył do serii ataków wymierzonych w producentów portfeli sprzętowych w tym roku. Na początku tego miesiąca Ledger poprosił sprzedawców w Azji Południowo-Wschodniej i Hongkongu o wstrzymanie sprzedaży po doniesieniach, że urządzenia sprzedawane w tym regionie zawierały nieautoryzowane implanty zdolne do przechwytywania fraz odzyskiwania. Pod koniec lipca Coinkite, producent Coldcard, ostrzegł użytkowników po tym, jak atakujący wykorzystali błąd powodujący generowanie przez urządzenia ziaren portfela o mniejszej entropii niż przewidziano, co doprowadziło do kradzieży kryptowalut o wartości milionów dolarów.

Keystone zniszczy ponad 18 000 urządzeń ze starym kluczem

Zgodnie z najnowszą aktualizacją Keystone atakujący wykorzystał lukę w zewnętrznym narzędziu do monitorowania używanym przez stronę firmy, aby podnieść uprawnienia.

„Umożliwiło to atakującemu uzyskanie pewnych danych klientów oraz klucza służącego do weryfikacji oryginalności naszych urządzeń” — powiedziała firma.

Keystone oświadczył, że planuje zniszczyć 18 835 urządzeń w magazynie zawierających skompromitowany klucz i wstrzymał wysyłki produkcyjne wszystkich urządzeń, które go używają. Wysyłki zostaną wznowione, gdy firma rozpocznie produkcję urządzeń z nowym kluczem uwierzytelniającym. Keystone nie ogłosił harmonogramu zmiany; firma opublikowała poniedziałkową aktualizację na swoim koncie X.

Firma oświadczyła, że urządzenia wyprodukowane i dostarczone przed incydentem z 20 października należy uznać za bezpieczne, a ich testy oryginalności pozostają wiarygodne. Nie mogła jednak zagwarantować oryginalności urządzeń dostarczonych po tej dacie i wezwała zainteresowanych klientów do kontaktu z zespołem wsparcia w celu dodatkowej weryfikacji.

Keystone potwierdza wyciek 25 964 rekordów kupujących

Keystone ujawnił także skalę wycieku danych klientów, podając, że sklep Shopify na stronie firmy wygenerował 51 083 rekordów kupujących. Z tej liczby 25 119 zostało usuniętych zgodnie z polityką przechowywania danych przez 180 dni.

Pozostałe 25 964 rekordy, pochodzące z lat 2024–2026, mogły zostać skradzione przez atakującego. Keystone przypisał przechowywanie starszych wpisów awarii automatycznego narzędzia do masowego usuwania danych.

„Narzędzie nie działało niezawodnie. Niektóre zadania usuwania nie powiodły się, a nie wykryliśmy i nie usunęliśmy tych awarii na czas, w wyniku czego pewne dane osobowe były przechowywane dłużej niż dozwolony okres” — powiedział Keystone.

Atakujący mógł mieć także dostęp do 12 873 rekordów checkoutu klientów przechowywanych przez Shopify — informacji z zakupów, które nie zostały zakończone. Keystone poinformował, że skontaktował się z Shopify z prośbą o usunięcie danych osobowych z rekordów checkoutu przechowywanych dłużej niż 30 dni.

Rok włamań do portfeli sprzętowych

Poniedziałkowe ujawnienie przypomina naruszenie danych w Ledgerze z czerwca 2020 roku, które ujawniło ponad milion adresów e-mail, a także imiona i nazwiska klientów, numery telefonów oraz adresy fizyczne. Wyciekłe informacje przez lata zasilały próby phishingu wymierzone w poszkodowanych użytkowników.

Inni producenci portfeli sprzętowych również padli w tym roku ofiarą włamań dotyczących danych klientów i usług zewnętrznych. W sierpniu Trezor ujawnił włamanie do partnera wysyłkowego, które ujawniło dane klientów, przy czym liczba poszkodowanych użytkowników we wrześniu wzrosła do ponad 80 000. SafePal poinformował w sierpniu o luce w śledzeniu zamówień, która ujawniła dane niemal 40 000 klientów, natomiast BitBox stał się celem kampanii phishingowej we wrześniu, wykorzystującej skompromitowanego zewnętrznego dostawcę poczty e-mail.

Incydent Keystone'a wpisuje się w wzorzec narażenia na dostawców przewijający się przez tegoroczne włamania: atakujący wszedł przez zewnętrzne narzędzie do monitorowania, podobnie jak włamanie do Trezora prowadziło do partnera wysyłkowego, a kampania phishingowa przeciwko BitBox do skompromitowanego dostawcy poczty e-mail.

Źródło: Cointelegraph