Keystone destrói 18.835 wallets após grave falha de segurança
A Keystone refere que dados de clientes e uma chave de produção foram expostos; quase 19.000 hardware wallets não vendidos serão destruídos. A breach aumenta as preocupações sobre a cadeia de distribuição do armazenamento de criptomoedas.
Pontos principais
- A Keystone destrói 18.835 hardware wallets não vendidas e suspende os envios após uma breach no seu website.
- No ataque, foram expostos dados de clientes, dados de encomendas e, possivelmente, 12.873 registos de checkout não pagos.
- A chave de autenticação exposta pode permitir que wallets falsas passem nos controlos; as recovery phrases e as private keys não foram comprometidas.
A fabricante de hardware wallets Keystone vai destruir quase 19.000 dispositivos não vendidos e suspende temporariamente os envios após uma breach no seu website. Foram expostos dados de clientes e uma chave que podia permitir que wallets falsas passassem nos controlos de autenticação.
O que foi exatamente exposto
Segundo a Keystone, um atacante obteve acesso ao website em 20 de outubro através de uma falha numa ferramenta de terceiros para monitorização de dados. A empresa informou na segunda-feira no X que 25.964 registos de compra de 2024 até 2026 foram expostos. Estão em causa nomes, dados de contacto, moradas de envio e dados de encomendas. Possivelmente, também foram afetados 12.873 registos de checkout não pagos.
A chave roubada está integrada nos dispositivos durante a produção e não pode ser alterada. Por isso, as wallets podem ser reconhecidas online como autênticas, o que aumenta o risco de dispositivos falsos passarem na verificação. A Keystone diz que vai destruir 18.835 unidades não vendidas. As recovery phrases, as private keys e os dados da wallet não terão sido comprometidos.
Mais pressão sobre as hardware wallets
A breach enquadra-se numa série de incidentes relacionados com hardware wallets este ano. Em outubro, a Ledger comunicou um grande ataque no qual, através de hardware manipulado em alguns revendedores, as recovery phrases podiam ser intercetadas durante a instalação. Mais cedo este ano, também vieram a público fugas de dados em empresas de transporte que afetaram dados de clientes de utilizadores de hardware wallets na Trezor e na SafePal. Estes incidentes mostram como não só o próprio dispositivo, mas também a cadeia de distribuição e os dados de clientes podem ser vulneráveis.
A Keystone disse que alguns registos de clientes já deveriam, na verdade, ter sido eliminados ao abrigo da sua própria regra de 180 dias, mas que uma ferramenta automática de eliminação falhou sem que a empresa se apercebesse. A empresa reconheceu esse erro e diz que vai substituir a chave de autenticação em novos dispositivos, converter as vendas online em pré-encomendas e reduzir o prazo de retenção dos dados de clientes para 90 dias.
Também na SafePal, uma falha num plugin de acompanhamento de encomendas levou anteriormente à exposição de dados de clientes, sem que as seed phrases ou as private keys fossem afetadas. Isto deixa claro que, nas hardware wallets, não só o hardware, mas também a camada web e logística pode ser um ponto fraco.
O que os utilizadores precisam de saber agora
A Keystone diz que os dispositivos entregues antes de 20 de outubro continuam seguros se passarem na autenticação. Os clientes que receberam após essa data um dispositivo com a chave antiga devem verificar com atenção antes de o utilizar. A empresa sublinha que os utilizadores não precisam de transferir os seus fundos apenas por causa desta breach e alerta para mensagens falsas sobre recalls ou a transferência de assets.
