Keystone distrugge 18.835 wallet dopo una grave violazione di sicurezza
Keystone segnala che dati dei clienti e una chiave di produzione sono stati esposti; quasi 19.000 hardware wallet invenduti verranno distrutti. La violazione aumenta le preoccupazioni sulla catena di distribuzione della custodia crypto.
In breve
- Keystone distrugge 18.835 hardware wallet invenduti e sospende le spedizioni dopo una violazione sul suo sito web.
- Nell’attacco sono stati esposti dati dei clienti, dati degli ordini e forse 12.873 record di checkout non pagati.
- La chiave di autenticazione trapelata può far passare wallet falsi ai controlli; recovery phrase e private key non sono state sottratte.
Il produttore di hardware wallet Keystone distruggerà quasi 19.000 dispositivi invenduti e sospende temporaneamente le spedizioni dopo una violazione sul suo sito web. Insieme a questo sono stati esposti dati dei clienti e una chiave che poteva far passare wallet falsi attraverso i controlli di autenticazione.
Cosa è trapelato esattamente
Secondo Keystone, un attaccante ha ottenuto accesso al sito il 20 ottobre tramite un errore in uno strumento di terze parti per il monitoraggio dei dati. L’azienda ha comunicato lunedì su X che sono stati esposti 25.964 record di acquisto dal 2024 al 2026. Si tratta di nomi, dati di contatto, indirizzi di spedizione e dati degli ordini. Potrebbero essere stati coinvolti anche 12.873 record di checkout non pagati.
La chiave rubata è già integrata nei dispositivi durante la produzione e non può essere modificata. Per questo i wallet possono essere riconosciuti online come autentici, aumentando il rischio che dispositivi falsi superino i controlli. Keystone dice di distruggere 18.835 unità invendute. Recovery phrase, private key e dati del wallet non sarebbero stati sottratti.
Più pressione sui hardware wallet
La violazione si inserisce in una serie di incidenti legati agli hardware wallet quest’anno. A ottobre Ledger ha segnalato un grande attacco in cui, tramite hardware manomesso, in alcuni reseller le recovery phrase potevano essere intercettate durante l’installazione. All’inizio di quest’anno sono emersi anche data breach presso aziende di spedizione che hanno colpito i dati dei clienti degli utenti di hardware wallet di Trezor e SafePal. Incidenti del genere mostrano quanto possano essere vulnerabili non solo il dispositivo in sé, ma anche la catena di distribuzione e i dati dei clienti.
Keystone ha detto che alcuni record dei clienti in realtà avrebbero già dovuto essere cancellati in base alla propria regola dei 180 giorni, ma che uno strumento automatico di eliminazione ha fallito senza che l’azienda se ne accorgesse. L’azienda ha riconosciuto l’errore e dice di sostituire la chiave di autenticazione nei nuovi dispositivi, trasformare le vendite online in preorder e ridurre il periodo di conservazione dei dati dei clienti a 90 giorni.
Anche presso SafePal un errore in un plugin di tracciamento degli ordini aveva in precedenza portato all’esposizione di dati dei clienti, senza che seed phrase o private key venissero colpite. Questo rende chiaro che, per gli hardware wallet, non solo l’hardware ma anche il livello web e logistico può essere un punto debole.
Cosa devono sapere ora gli utenti
Keystone dice che i dispositivi consegnati prima del 20 ottobre restano sicuri se superano l’autenticazione. I clienti che dopo quella data hanno ricevuto un dispositivo con la vecchia chiave devono fare controlli extra prima di usarlo. L’azienda sottolinea che gli utenti non devono spostare i propri fondi solo a causa di questa violazione e avverte contro messaggi falsi su richiami o sul trasferimento degli asset.
