Компания Keystone значительно расширила оценку масштаба взлома своего сайта. Если первоначально инцидент представляли как утечку информации клиентов, то теперь выяснилось, что злоумышленники украли криптографический ключ, используемый для проверки подлинности устройств. Это означает, что атакующие могут создавать поддельные кошельки, которые пройдут все проверки подлинности.
По словам Keystone, такие контрафактные устройства могут быть проданы или отправлены клиентам, которые будут использовать их как оригинальные продукты. Это создаёт риск кражи криптоактивов, если владельцы такого поддельного кошелька введут в него свои приватные ключи.
Масштаб компрометации
Компания обнаружила, что взломавший сайт атакующий использовал уязвимость в инструменте мониторинга третьей стороны, чтобы повысить привилегии. Это дало ему доступ к данным клиентов и упомянутому ключу проверки подлинности.
Keystone объявила о плане уничтожить более 18 тысяч устройств из своего инвентаря, содержащих скомпрометированный ключ. Производство всех кошельков с этим ключом приостановлено. Компания заявила, что возобновит поставки только после начала выпуска устройств с новым криптографическим ключом.
По информации Keystone, аппаратные кошельки, изготовленные и поставленные до 20 октября (даты взлома), остаются безопасны и их проверки подлинности работают корректно. Однако компания не может гарантировать подлинность устройств, отправленных после этой даты, и просит затронутых клиентов обратиться в службу поддержки для дополнительной проверки.
Утечка данных клиентов
Keystone раскрыла масштабы компрометации информации покупателей. Shopify-магазин компании хранил 51 083 записи о покупателях. Из них 25 119 были удалены в соответствии с политикой хранения данных в течение 180 дней. Однако оставшиеся 25 964 записей с датами с 2024 по 2026 год могут быть похищены — данные задержались в системе из-за отказа автоматического инструмента удаления.
Кроме того, взломавший мог получить доступ к 12 873 записям о незавершённых покупках, хранимым Shopify. Keystone уже попросила платформу удалить эту информацию.
Часть волны атак на производителей
Взлом Keystone вписывается в серию инцидентов против компаний аппаратных кошельков в 2024 году. В начале октября Ledger предупредила перепродавцов в Юго-Восточной Азии и Гонконге о приостановке продаж после обнаружения устройств с несанкционированными чипами, способными перехватывать фразы восстановления. В конце июля производитель Coldcard обнаружил, что атакующие использовали программную уязвимость, вызывавшую генерацию ключей с недостаточной криптографической стойкостью — это привело к краже миллионов долларов в криптовалютах. В августе Trezor раскрыла взлом логистического партнёра, скомпрометировавший данные более чем 80 тысяч клиентов, а SafePal сообщила об уязвимости в системе отслеживания заказов, затронувшей около 40 тысяч пользователей.