Um invasor que obteve acesso ao site da Keystone obteve a chave que suas carteiras de hardware usam para provar que são genuínas, disse a empresa em um comunicado. declaração em 26 de outubro.
Alguém com essa chave poderia construir dispositivos falsificados que passassem no cheque on-line usado pelos proprietários para verificar um Keystone. Um comprador que confiasse em uma falsificação poderia ter sua criptografia roubada, mas o incidente não envolveu frases de recuperação dos proprietários ou chaves privadas da carteira.
A Keystone destruirá 18.835 dispositivos não vendidos que carregam a chave, e todos os novos dispositivos receberão uma nova.
A Keystone descobriu o acesso não autorizado em 20 de outubro, e seu conselho aos proprietários depende de quando o dispositivo chegou. Para um dispositivo recebido após essa data com a chave antiga, a empresa disse: “Mesmo que tal dispositivo passe na autenticação, não podemos descartar completamente a possibilidade de ser falsificado”.
Os proprietários de tal dispositivo devem entrar em contato com o suporte da Keystone e usá-lo somente depois que a empresa confirmar que é genuíno.
Um dispositivo entregue antes de 20 de outubro que passe na verificação pode ser considerado genuíno e usado normalmente, segundo a Keystone. A empresa não informou quando o invasor entrou pela primeira vez.
O invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros usada pelo site da Keystone para aumentar privilégios, segundo a empresa. Isso permitiu que o invasor obtivesse os dados do cliente e a chave.
A Keystone bloqueou o acesso do invasor em 20 de outubro e desde então corrigiu a vulnerabilidade. Não foi dito onde a chave foi armazenada.
Como funciona a verificação do dispositivo
O proprietário escaneia um código QR na página de verificação da Keystone com o dispositivo e insere o código que o dispositivo exibe na página.
Em Firmware de código aberto da Keystoneo código QR carrega esse código de forma criptografada e o dispositivo o descriptografa com sua chave armazenada. Portanto, um código correto mostra que o dispositivo contém a chave.
A chave é usada apenas para esta verificação. Ele não desempenha nenhum papel na criação de frases de recuperação, na obtenção de chaves privadas ou na assinatura de transações.
Qualquer pessoa com uma cópia da chave poderia produzir os códigos corretos, de modo que um dispositivo falsificado que a transportasse poderia passar na verificação. Esses dispositivos poderiam ser vendidos ou enviados aos clientes, levando ao roubo de suas criptomoedas, disse Keystone. A empresa não relatou nenhum dispositivo falsificado ou roubo.
A chave é gravada em cada dispositivo durante a fabricação e não pode ser apagada ou reescrita. O firmware o mantém na memória, que pode ser escrita apenas uma vez, e se recusa a aceitar uma segunda chave. Portanto, dispositivos já fabricados não podem ser trocados para a nova chave.
Registros de clientes
Pedra angular primeiro divulgou a violação em 24 de outubro, dizendo que um terceiro obteve informações de envio dos clientes.
O incidente afetou 25.964 registros de compradores de compras no site da Keystone entre 2024 e 2026, informou a empresa em 26 de outubro. Os registros contêm nomes, detalhes de contato, endereços de entrega e detalhes de pedidos. A loja online da Keystone funciona no Shopify, que armazena e gerencia os registros.
Dados de cartão de pagamento, bancários e números de identificação do governo não estavam envolvidos, disse Keystone. Os registros de compras da Amazon e de outros canais de vendas da Keystone não foram afetados.
A Keystone também incluiu 12.873 registros de checkout não pagos em sua resposta como precaução. Eles contêm nomes, detalhes de contato e informações de envio de compras que nunca foram concluídas.
Alguns dos dados afetados já deveriam ter sido excluídos. Keystone tinha prometeu excluir informações de envio 180 dias após cada pedido.
Uma ferramenta automatizada que a Keystone criou para apagar registros em massa não funcionou de maneira confiável. Algumas exclusões falharam e a Keystone não detectou as falhas a tempo.
A Keystone está reduzindo o período de retenção dos dados pessoais dos clientes de 180 para 90 dias, com efeito imediato. Solicitou ao Shopify que excluísse os dados pessoais dos compradores com mais de 90 dias e espera que isso seja feito em 3 de novembro. política de Privacidade ainda listado 180 dias.
A Keystone está enviando e-mails aos clientes afetados e planeja uma página onde as pessoas possam verificar se suas informações foram afetadas.
O que os proprietários da Keystone devem fazer
A orientação da Keystone cobre estas situações:
- Entregue antes de 20 de outubro: Um dispositivo que passe na verificação pode ser usado normalmente.
- Recebido após 20 de outubro com a chave antiga: Não use o dispositivo até que o suporte da Keystone, em [email protected], confirme que ele é genuíno. A Keystone disse a esses proprietários para seguirem as instruções em seu página de verificação do dispositivomas a página não mostrava tais instruções em 27 de outubro. Keystone não disse como saber qual chave um dispositivo carrega, ou o que os proprietários que já enviaram criptografia para tal dispositivo deveriam fazer.
- Aguardando um pedido no site da Keystone: O envio é pausado até que os dispositivos com a nova chave estejam prontos. Em 27 de outubro, a loja listou o Keystone 3 Pro como uma encomenda com previsão de envio dentro de 4 a 6 semanas.
- Comprei na Amazon ou em um revendedor: A mesma orientação se aplica, porque se baseia na data de chegada do dispositivo, e não no local onde foi comprado. A Keystone vende através de lojas oficiais da Amazon e revendedores autorizados. A Keystone não informou se dispositivos com a chave antiga ainda estão à venda por lá.
- Já possui criptografia com um Keystone: Os proprietários não precisam mover suas criptomoedas apenas por causa do incidente, disse Keystone. Quem possui aparelho recebido após 20 de outubro com a chave antiga ainda deve seguir os passos acima.
- Mensagens fraudulentas: Trate qualquer chamada, mensagem de texto, e-mail ou carta oferecendo reembolso, substituição de dispositivo, recall, verificação de carteira ou ajuda na movimentação de criptografia como uma fraude. A Keystone não pedirá a ninguém que devolva um dispositivo. Nunca insira uma frase de recuperação em um dispositivo que você não solicitou e digite keyst.one em seu navegador em vez de seguir os links.
