Producent portfeli sprzętowych Keystone wycofał zasilę sprzedażową blisko 19 000 urządzeń i wstrzymał wszystkie niezrealizowane zamówienia złożone przez stronę internetową po tym, jak atakujący uzyskał klucz kryptograficzny używany przez firmę do weryfikacji autentyczności portfela Keystone. Kradzież rodzi możliwość, że podrobiony sprzęt mógłby przejść weryfikację autentyczności samego Keystone.

W oświadczeniu opublikowanym na X spółka poinformowała, że atakujący uzyskał klucz WebAuth zasilający stronę uwierzytelniania urządzeń — mechanizm, za pomocą którego kupujący potwierdzają, że portfel został wysłany bezpośrednio od producenta. Gdy klucz trafił w obce ręce, zaawansowany atakujący mógłby teoretycznie użyć go, aby podrobione urządzenie wydawało się legalne każdemu, kto przeprowadza standardową weryfikację.

Keystone niszczy zapasy i zamraża wysyłki

Zamiast wysyłać zapasy, których nie można już rzetelnie uwierzytelnić, Keystone oświadczył, że zniszczy 18 835 urządzeń z zapasów noszących stary klucz WebAuth i nie sprzeda ani nie przekaże klientom żadnych niewysłanych zamówień ze strony.

Złomowanie blisko 19 000 sztuk to nietypowy krok dla producenta portfeli sprzętowych i sygnał, jak poważnie Keystone traktuje lukę w uwierzytelnianiu. Firma podkreśliła, że klucz WebAuth nie jest używany do generowania frazy odzyskiwania, wyprowadzania kluczy prywatnych ani podpisywania transakcji, co oznacza, że portfele znajdujące się już w rękach użytkowników pozostają funkcjonalnie bezpieczne do zarządzania aktywami krypto.

Keystone potwierdził również, zgodnie z Decrypt, że urządzenia dostarczone przed 20 października nie są objęte incydentem. Spółka poinformowała, że złożyła zgłoszenia incydentu w UE, Wielkiej Brytanii i innych jurysdykcjach, choć są to ujawnienia inicjowane przez samą firmę i nie stanowią ustaleń ani działań egzekucyjnych żadnego regulatora. Na ten moment dostępne są wyłącznie ujawnienia samego Keystone; ewentualna odrębna ocena tych organów byłaby nowym wydarzeniem wartym obserwacji.

Incydent objął także dane klientów

Poza problemem uwierzytelniania urządzeń incydent ujawnił również dane osobowe związane z historią zamówień Keystone. Decrypt poinformował, że 25 964 rekordów kupujących nadal zawiera dane osobowe z zakupów dokonanych między 2024 a 2026 rokiem.

Unchained podał szerszą liczbę: łącznie objętych było 51 083 rekordów kupujących w Shopify, choć 25 119 z nich miało już wymazane dane osobowe. Liczby obu redakcji arytmetycznie się zgadzają: od 51 083 po odjęciu 25 119 wymazanych wpisów pozostaje 25 964 — dokładnie tyle, ile Decrypt wskazał jako rekordy nadal przechowujące dane osobowe. Dodatkowe 12 873 rekordów nieopłaconych zamówień również zawierało imiona i nazwiska, dane kontaktowe oraz informacje o wysyłce.

Ujawnienie danych dodaje odrębną obawę o prywatność do problemu z autentycznością urządzeń, zwłaszcza że klienci portfeli sprzętowych często są identyfikowalni jako posiadacze kryptowalut.

Dlaczego kradzież klucza uwierzytelniającego ma znaczenie dla ryzyka podróbek

Portfele sprzętowe pełnią szczególną rolę zaufania w ekosystemie krypto: powinny być urządzeniami odpornymi na manipulację, odseparowanymi od sieci, które nigdy nie ujawniają kluczy prywatnych komputerowi podłączonemu do internetu. Ta obietnica zależy częściowo od możliwości potwierdzenia przez kupujących, że otrzymali oryginalny sprzęt, a nie urządzenie przechwycone lub podmienione w trakcie transportu.

Klucz WebAuth na stronie autentyczności Keystone był właśnie mechanizmem mającym adresować to ryzyko w łańcuchu dostaw. Jeśli atakujący posiada klucz, każde wyprodukowane przez niego podrobione urządzenie mogłoby generować wyglądający na ważny wynik weryfikacji, pozbawiając kupującego rzetelnego sposobu odróżnienia legalnego urządzenia od fałszywki za pomocą standardowego sprawdzenia. Odpowiedź Keystone — wymiana klucza i zniszczenie starych zapasów — jest spójna z potraktowaniem ścieżki weryfikacji jako skompromitowanej, a nie naprawialnej na miejscu.

Warto zauważyć, że w publicznych relacjach o incydencie nie pojawiło się żadne potwierdzone podrobione urządzenie Keystone. Ujawnienia firmy opisują ryzyko stworzone przez skradziony klucz, a nie dowód na to, że fałszywe urządzenia dotarły już do kupujących.

Co powinni teraz zrobić użytkownicy portfela Keystone

Dla użytkowników, którzy już posiadają urządzenie Keystone, najważniejszą informacją jest oświadczenie firmy, że klucz WebAuth nie odgrywa żadnej roli w generowaniu frazy odzyskiwania, wyprowadzaniu kluczy prywatnych ani podpisywaniu transakcji. Istniejące portfele w rękach legalnych użytkowników nie zostały bezpośrednio skompromitowane przez kradzież klucza uwierzytelniającego, a prawidłowo przechowywane frazy seed pozostają chronione. W sprawach dotyczących konkretnych produktów rozsądnie jest kierować się bezpośrednio oficjalnymi kanałami Keystone, a nie opracowaniami osób trzecich.

Dla kupujących, którzy złożyli zamówienia przez stronę i jeszcze ich nie otrzymali, Keystone poinformował, że zamówienia te są wstrzymywane. Spółka nie podała jeszcze publicznie harmonogramu wymiany ani ponownej wysyłki, więc dotknięci klienci powinni śledzić oficjalne komunikaty Keystone. Każdy, kto rozważa zakup urządzenia Keystone na rynku wtórnym lub u odsprzedawcy, powinien zachować szczególną ostrożność, dopóki firma nie wypuści nowych urządzeń z nowym kluczem uwierzytelniającym, ponieważ urządzeń ze starym kluczem w obiegu wtórnym nie można zweryfikować przez poprzednią stronę autentyczności.

Incydent przypomina, że uwierzytelnianie w łańcuchu dostaw jest aktywną powierzchnią ataku dla producentów portfeli sprzętowych, szczególnie w miarę wzrostu wartości aktywów przechowywanych w samodzielnej kustodii. Sentyment szerszego rynku krypto pozostaje neutralny (48) wg Fear and Greed Index, a Bitcoin notowany jest w okolicach 80 646 USD — wskaźniki tego, jak liczna stała się grupa użytkowników samodzielnej kustodii z znaczącymi holdingami i jak bezpośrednio finansowe mogą być konsekwencje skompromitowanego urządzenia.

Kluczowym pytaniem dla Keystone jest teraz to, jak szybko wyda nowe urządzenia z nowym, niekompromitowanym kluczem WebAuth i zapewni kupującym godną zaufania zastępczą ścieżkę uwierzytelniania. Dopóki ten proces nie zostanie zakończony i niezależnie zweryfikowany, sprawdzenie autentyczności, które firma zbudowała, by chronić klientów przed podrobionym sprzętem, pozostaje niedostępne.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych niosą znaczne ryzyko. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.