Производитель аппаратных кошельков Keystone сообщил, что злоумышленник, взломавший на прошлой неделе его сайт, также похитил ключ, используемый для проверки подлинности устройств, расширив масштаб инцидента, который изначально был объявлен как утечка данных клиентов.

В заявлении в X в понедельник Keystone предупредила, что украденный ключ аутентификации может позволить злоумышленникам производить поддельные кошельки, проходящие проверки подлинности компании.

«Эти устройства затем могут быть проданы или отправлены клиентам, которые могут по незнанию использовать их как подлинные продукты, что потенциально может привести к краже активов», — заявила Keystone.

Аппаратные кошельки предназначены для хранения закрытых ключей, контролирующих криптовалютные активы, в автономном режиме, а проверки подлинности существуют для того, чтобы подтвердить, что устройство является оригинальным, до его настройки. С кражей самого ключа проверки скомпрометирована именно та защита, которая должна была выявлять подделки.

Это признание добавляет Keystone к серии атак на производителей аппаратных кошельков в этом году. Ранее в этом месяце Ledger попросила реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи после сообщений о том, что устройства, продававшиеся в регионе, содержали несанкционированные импланты, способные перехватывать фразы восстановления. В конце июля Coinkite, производитель Coldcard, выпустила предупреждение для пользователей после того, как злоумышленники использовали ошибку, из-за которой устройства генерировали сид-фразы кошельков с меньшей энтропией, чем задумано, что привело к краже криптовалюты на миллионы долларов.

Keystone уничтожит более 18 000 устройств со старым ключом

Согласно последнему обновлению Keystone, злоумышленник воспользовался уязвимостью в стороннем инструменте мониторинга, используемом на сайте компании, чтобы повысить привилегии.

«Это позволило злоумышленнику получить некоторую информацию о клиентах и ключ, используемый для проверки подлинности наших устройств», — сообщила компания.

Keystone заявила, что планирует уничтожить 18 835 устройств на складе, содержащих скомпрометированный ключ, и приостановила производственные поставки всех устройств с ним. Поставки возобновятся, как только компания начнет производство устройств с новым ключом аутентификации. Keystone не объявила сроков перехода; компания опубликовала понедельничное обновление в своем аккаунте X.

Компания сообщила, что устройства, произведенные и доставленные до инцидента 20 октября, следует считать безопасными, и их проверки подлинности остаются надежными. Однако она не может гарантировать подлинность устройств, доставленных после этой даты, и призвала затронутых клиентов обратиться в службу поддержки для дополнительной проверки.

Keystone подтверждает утечку 25 964 записей о покупателях

Keystone также раскрыла масштаб утечки данных клиентов, сообщив, что магазин Shopify на ее сайте сгенерировал 51 083 записи о покупателях. Из них 25 119 были удалены в соответствии с 180-дневной политикой хранения данных.

Оставшиеся 25 964 записи, датированные с 2024 по 2026 год, могли быть украдены злоумышленником. Keystone объяснила сохранение старых записей сбоем автоматизированного инструмента массового удаления данных.

«Инструмент работал ненадежно. Некоторые задачи удаления завершились неудачей, и мы не обнаружили и не устранили эти сбои вовремя, в результате чего определенная личная информация хранилась дольше разрешенного периода», — заявила Keystone.

Злоумышленник также мог иметь доступ к 12 873 записям оформления заказов клиентов, хранившимся в Shopify, — информации о незавершенных покупках. Keystone сообщила, что связалась с Shopify с просьбой удалить личную информацию из записей оформления заказов, хранившихся более 30 дней.

Год взломов аппаратных кошельков

Понедельничное признание перекликается со взломом данных в Ledger в июне 2020 года, в результате которого были раскрыты более 1 миллиона адресов электронной почты, а также имена клиентов, номера телефонов и физические адреса. Утекшая информация годами подпитывала фишинговые атаки на затронутых пользователей.

Другие производители аппаратных кошельков в этом году также пострадали от взломов с участием данных клиентов и сторонних сервисов. В августе Trezor раскрыла взлом у партнера по доставке, раскрывшего информацию о клиентах, число затронутых пользователей в сентябре выросло до более чем 80 000. SafePal также сообщила в августе об уязвимости в отслеживании заказов, раскрывшей данные почти 40 000 клиентов, а BitBox подверглась фишинговой атаке в сентябре с использованием скомпрометированного стороннего почтового провайдера.

Инцидент Keystone вписывается в тему уязвимости поставщиков, проходящую через взломы этого года: злоумышленник проник через сторонний инструмент мониторинга, точно так же, как взлом Trezor был прослежен до партнера по доставке, а фишинговая кампания против BitBox — до скомпрометированного почтового провайдера.

Источник: Cointelegraph