Keystone: napadači ukrali podatke oko 26.000 kupaca i ključ za provjeru autentičnosti uređaja

Proizvođač hardverskih novčanika Keystone objavio je 26. listopada da su napadači iz njegove web trgovine odnijeli osobne podatke 25.964 kupca i ključ kojim se provjerava autentičnost uređaja. Zbog toga tvrtka uništava 18.835 uređaja sa zalihe i obustavlja isporuke narudžbi s web stranice.

Što se dogodilo

Prema Keystoneu, napadač je 20. listopada iskoristio propust u alatu treće strane za praćenje podataka na službenoj stranici i dobio više ovlasti nego što je smio. Tvrtka kaže da je istog dana blokirala pristup i isključila osjetljive funkcije stranice. Prvu obavijest objavila je 24. listopada, a detaljno izvješće 26. listopada.

U trgovini na platformi Shopify bilo je 51.083 evidencije kupaca. Od toga je 25.119 već bilo anonimizirano, a 25.964 i dalje su sadržavale ime, kontakt, adresu za dostavu i podatke o narudžbi iz razdoblja od 2024. do 2026. Procurjelo je i 12.873 nedovršenih narudžbi s osobnim podacima. Kupnje preko Amazona i drugih prodavača prema tvrtki nisu obuhvaćene.

Ukraden ključ za provjeru uređaja

Ozbiljniji dio incidenta je ključ WebAuth, koji se upisuje u uređaj pri proizvodnji. Njime Keystoneova stranica provjerava je li novčanik originalan. S tim ključem netko bi teoretski mogao napraviti lažni uređaj koji prolazi tu provjeru. Ključ se na postojećim uređajima ne može zamijeniti nadogradnjom firmvera, pa tvrtka 18.835 uređaja sa zalihe uništava, a nove proizvodi s novim ključem. Do tada prodaja ide samo kao prednarudžba.

Keystone navodi da ključ ne sudjeluje u stvaranju seed fraze, izvođenju privatnih ključeva ni potpisivanju transakcija. Krađa sredstava zbog ovog incidenta zasad nije prijavljena.

Obećano brisanje nije provedeno

Keystone je javno tvrdio da podatke o dostavi briše 180 dana nakon narudžbe. Kupci su na mreži X, prema The Blocku, prijavili da su obavijest o curenju dobili i za narudžbe starije od toga. Tvrtka sada priznaje da alat za skupno brisanje nije radio i da neuspjeli zadaci nisu primijećeni. Rok čuvanja skratila je na 90 dana, a brisanje starih podataka očekuje do 3. studenoga. Incident je prijavila regulatorima i policiji u EU-u, Ujedinjenom Kraljevstvu i drugim državama.

Što trebaju napraviti vlasnici

Prema uputama tvrtke, vlasnici trebaju provjeriti uređaj na službenoj stranici za provjeru. Uređaj isporučen prije 20. listopada koji prođe provjeru može se koristiti. Za uređaj primljen nakon tog datuma treba se javiti podršci prije korištenja. Ako uređaj ne prođe provjeru, u njega se nikako ne smije unositi seed fraza. Keystone ne traži povrat uređaja, pa je svaki „službeni opoziv” koji traži slanje novčanika prevara.

Podaci kupaca hardverskih novčanika procurjeli su ove godine i u kolovozu, kod Trezorova logističkog partnera ShipMonka i kod SafePala, a ovog mjeseca Ledger je potvrdio uređaje s neovlaštenim dodatkom kod jednog preprodavača. Najveći rizik zato nisu sami uređaji, nego pozivi, poruke i pošiljke koje se predstavljaju kao proizvođač. Kako ih prepoznati, objašnjava vodič Kako prepoznati kripto prevaru, a osnove sigurne pohrane vodič Kako sigurno čuvati bitcoin.