Producent portfeli sprzętowych Keystone wezwał użytkowników do aktualizacji aplikacji Nexus do wersji 1.3.7 po tym, jak cyberatak zakłócił działanie części usług aplikacji. Ogłoszenie z piątku 6 listopada to trzecie zgłoszenie dotyczące bezpieczeństwa wydane przez firmę w ciągu około dwóch tygodni – po wycieku danych klientów w sklepie internetowym i kradzieży klucza służącego do weryfikacji autentyczności urządzeń.

Atak na aplikację Nexus i poprawka w wersji 1.3.7

W poście na X Keystone poinformował, że część usług Nexus App została naruszona w cyberataku, a część użytkowników przez pewien czas nie mogła uruchomić aplikacji. Firma oświadczyła, że zespół zareagował na incydent i wzmocnił bezpieczeństwo serwerów. Ogłoszenie Keystone nie wskazało, które usługi zostały dotknięte ani nie przypisało ataku sprawcy.

Po przeprowadzonym śledztwie Keystone napisał, że „nie znalazł dowodów na to, że aktywa użytkowników lub dane osobowe zostały naruszone”. Firma przeprosiła za przerwę i zaleciła użytkownikom aktualizację aplikacji do wersji 1.3.7. Zaleciła również, aby upewnić się, że każda pobierana aplikacja figuruje z deweloperem „Yanssie HK Limited”, dodając, że aplikacja bez tego dewelopera nie pochodzi od Keystone.

Wyciek ze sklepu, który ujawnił 25 964 rekordów kupujących

Pierwsze zgłoszenie dotyczyło wtargnięcia intruza do internetowego sklepu Keystone opartego na Shopify. Jak donosił Cryptopolitan we wcześniejszym serwisie, nieautoryzowany dostęp wykryto 20 października, a 23 października firma potwierdziła, że strona trzecia pobrała dane wysyłkowe klientów, ujawniając tę informację publicznie dzień później.

Skradzione rekordy zawierały imiona i nazwiska, dane kontaktowe, adresy wysyłkowe oraz informacje o zamówieniach, w tym o zakupionych urządzeniach. Firma oświadczyła, że karty płatnicze, dane bankowe, frazy odzyskiwania i klucze prywatne nie zostały ujawnione.

Doniesienia wskazywały, że wśród skradzionych danych znajdowało się 25 964 rekordów kupujących z zakupów z lat 2024–2026. Keystone zliczył również, w ramach ostrożności, 12 873 rekordów niedokończonych transakcji.

Ponieważ wyciek objął adresy domowe, badaczka bezpieczeństwa Taylor Monahan zwróciła uwagę, że może to narazić posiadaczy na ryzyko „ataków kluczem” – fizycznych gróźb stosowanych w celu zmuszenia właścicieli do przekazania kryptowalut. Platforma bezpieczeństwa kryptowalut Certik odnotowała 52 takie ataki w pierwszej połowie 2026 roku, wobec 39 incydentów zarejestrowanych w roku poprzednim.

18 835 portfeli przeznaczonych do zniszczenia

Kilka dni po ujawnieniu kradzieży rekordów użytkowników Keystone ponownie pojawił się w wiadomościach, informując, że ten sam sprawca odpowiedzialny za pierwszy atak ukradł również klucz WebAuth, którego urządzenia używają do potwierdzenia autentyczności. Jak podają doniesienia, sprawca wykorzystał lukę w narzędziu monitorującym strony trzeciej na stronie internetowej firmy, aby uzyskać podwyższone uprawnienia, a następnie przejął zarówno dane klientów, jak i klucz.

Problem jest istotny, ponieważ klucz jest wbudowywany w każde urządzenie podczas produkcji i nie może być nadpisany. Każdy posiadający klucz mógłby zbudować fałszywe urządzenie, które przejdzie weryfikację autentyczności samego Keystone. W odpowiedzi firma zdecydowała zutylizować wszystkie 18 835 niesprzedanych egzemplarzy z naruszonym kluczem.

Firma oświadczyła, że portfel dostarczony przed 20 października, który przechodzi weryfikację, jest autentyczny. W przypadku egzemplarzy ze starym kluczem otrzymanych po tej dacie firma „nie może całkowicie wykluczyć możliwości, że jest to podróbka” i zaleciła właścicielom kontakt z pomocą techniczną przed użyciem. Dotychczas nie zgłoszono żadnych podróbek urządzeń ani kradzieży.

Okres przechowywania skrócony do 90 dni po awarii narzędzia usuwania

Keystone deklarował, że usuwa dane wysyłkowe 180 dni po zamówieniu, ale klienci zgłaszali otrzymywanie powiadomień o wycieku dotyczących zakupów sprzed ponad dwóch lat, jak donosił Cryptopolitan. Automatyczne narzędzie usuwania danych firmy zawiodło, pozostawiając stare rekordy bez zmian.

Keystone następnie skrócił okres przechowywania do 90 dni i zwrócił się do Shopify o usunięcie starszych danych osobowych – zaległe rekordy mają zniknąć do 3 listopada. Konkurent OneKey również po incydencie z Keystone ograniczył własny okres przechowywania do 30 dni.

Projekty kryptowalutowe mają w 2026 roku trudny okres pod względem cyberataków, a dostawcy portfeli sprzętowych nie są oszczędzani. W sierpniu wyciek danych w ShipMonk, partnerze logistycznym Trezora, objął około 81 000 klientów. SafePal ujawnił około 39 798 użytkowników przez lukę w śledzeniu zamówień, a Ledger odkrył ukryte układy scalone w odsprzedawanych urządzeniach, które badacze on-chain powiązali ze stratami przekraczającymi 86 milionów dolarów. Sama dwutygodniowa seria zgłoszeń Keystone odzwierciedla tę skalę – incydenty objęły sklep internetowy firmy, narzędzia na jej stronie, zapas niesprzedanych urządzeń oraz usługi aplikacji.