Атакуващ, който е получил достъп до уебсайта на Keystone, се е сдобил с ключа, използван от нейните хардуерни портфейли за доказване на тяхната автентичност, съобщи компанията в изявление на 26 октомври.

Всеки, който разполага с този ключ, би могъл да създаде фалшиви устройства, които да преминат онлайн проверката, използвана от собствениците за верификация на Keystone. Купувач, който се довери на фалшификат, би могъл да загуби своите криптовалути, но инцидентът не засяга фразите за възстановяване (seed phrases) или частните ключове на портфейлите на потребителите.

Keystone ще унищожи 18 835 непродадени устройства, които съдържат този ключ, като всички нови устройства ще получат нов.

Keystone открива неоторизирания достъп на 20 октомври, като съветите ѝ към собствениците зависят от датата на получаване на устройството. За устройство, получено след тази дата със стария ключ, от компанията заявяват: „Дори такова устройство да премине автентикацията, не можем напълно да изключим вероятността то да е фалшиво.“

Собствениците на такова устройство трябва да се свържат с поддръжката на Keystone и да го използват едва след като компанията потвърди, че е автентично.

Устройство, доставено преди 20 октомври, което преминава проверката, може да се счита за автентично и да се използва нормално, според Keystone. Компанията не уточнява кога атакуващият е проникнал за първи път.

Атакуващият е експлоатирал уязвимост в инструмент на трета страна за мониторинг на данни, използван от уебсайта на Keystone, за да ескалира привилегии, посочват от компанията. Това му е позволило да се сдобие с потребителски данни и ключа.

Keystone блокира достъпа на атакуващия на 20 октомври и оттогава е отстранила уязвимостта. Не се посочва къде точно е бил съхраняван ключът.

Как работи проверката на устройството

Собственикът сканира QR код на страницата за верификация на Keystone чрез устройството, след което въвежда кода, показан на екрана на устройството, обратно в страницата.

Във фърмуера с отворен код на Keystone QR кодът пренася този код в криптиран вид, а устройството го декриптира чрез своя съхранен ключ. По този начин правилният код показва, че устройството разполага с ключа.

Ключът се използва единствено за тази проверка. Той няма никакво участие в генерирането на фрази за възстановяване, извеждането на частни ключове или подписването на трансакции.

Всеки, разполагащ с копие на ключа, би могъл да генерира правилните кодове, така че фалшиво устройство, заредено с него, би могло да премине проверката. Такива устройства биха могли да бъдат продавани или изпращани на клиенти, което да доведе до кражба на техните криптоактиви, предупреждава Keystone. Засега компанията не съобщава за открити фалшиви устройства или извършени кражби.

Ключът се записва във всяко устройство по време на производството и не може да бъде изтрит или презаписан. Фърмуерът го съхранява в памет, която позволява еднократен запис, и отказва да приеме втори ключ. Поради това вече произведените устройства не могат да бъдат прехвърлени към новия ключ.

Потребителски записи

Keystone за първи път оповести пробива на 24 октомври, заявявайки, че трета страна е получила информация за доставките на клиентите.

Инцидентът е засегнал 25 964 записа на купувачи от поръчки в уебсайта на Keystone между 2024 и 2026 г., съобщи компанията на 26 октомври. Записите съдържат имена, данни за контакт, адреси за доставка и детайли за поръчките. Онлайн магазинът на Keystone работи върху платформата Shopify, която е съхранявала и управлявала записите.

Данни за банкови карти, банкови сметки и национални идентификационни номера не са засегнати, заявява Keystone. Записите за покупки от Amazon и други канали за продажба на Keystone също не са засегнати.

Като предпазна мярка Keystone включва и 12 873 записа от незавършени поръчки. Те съдържат имена, данни за контакт и информация за доставка от поръчки, които никога не са били финализирани.

Част от засегнатите данни е трябвало вече да бъдат изтрити. Keystone е поел ангажимент да изтрива информацията за доставка 180 дни след всяка поръчка.

Автоматизиран инструмент, създаден от Keystone за масово изтриване на записи, не е сработил надеждно. Част от изтриванията са се провалили, а компанията не е засякла тези грешки навреме.

Keystone съкращава периода за съхранение на личните данни на клиентите от 180 на 90 дни, считано незабавно. Компанията е поискала от Shopify да изтрие личните данни на купувачите, по-стари от 90 дни, и очаква това да приключи на 3 ноември. Към 27 октомври политиката за поверителност все още посочва 180 дни.

Keystone изпраща имейли до засегнатите клиенти и планира създаването на страница, където потребителите могат да проверят дали данните им са били засегнати.

Какво трябва да направят собствениците на Keystone

Препоръките на Keystone обхващат следните ситуации:

  • Доставени преди 20 октомври: Устройство, което преминава проверката, може да се използва нормално.
  • Получени след 20 октомври със стария ключ: Не използвайте устройството, докато поддръжката на Keystone (на support@keyst.one) не потвърди, че е оригинално. Keystone посъветва тези собственици да следват инструкциите на страницата за верификация, но към 27 октомври страницата не съдържа такива указания. Keystone не посочва как да се разпознае кой ключ съдържа дадено устройство или какво трябва да направят собствениците, които вече са превели криптовалута към такова устройство.
  • Очакващи поръчка от сайта на Keystone: Доставките са спрени, докато не бъдат готови устройства с новия ключ. Към 27 октомври магазинът предлагаше Keystone 3 Pro като предварителна поръчка с очаквана доставка след 4 до 6 седмици.
  • Закупени през Amazon или дистрибутор: Важат същите препоръки, тъй като те се основават на датата на получаване на устройството, а не на мястото на покупка. Keystone продава през официални магазини в Amazon и оторизирани дистрибутори. Keystone не уточнява дали там все още се продават устройства със стария ключ.
  • Вече съхраняващи криптовалута с Keystone: Не е необходимо собствениците да преместват криптовалутата си само заради този инцидент, заявиха от Keystone. Тези с устройство, получено след 20 октомври със стария ключ, все пак трябва да следват стъпките по-горе.
  • Измамнически съобщения: Третирайте всяко обаждане, SMS, имейл или писмо, предлагащо възстановяване на суми, замяна на устройство, изтегляне от пазара, верификация на портфейл или съдействие за преместване на средства, като опит за измама. Keystone няма да изисква връщане на устройства. Никога не въвеждайте фраза за възстановяване в устройство, което не сте поръчали, и въвеждайте ръчно keyst.one в браузъра си, вместо да следвате връзки.