Producent portfeli sprzętowych Keystone potwierdził, że hakerzy ukradli klucz uwierzytelniający urządzenia i ujawnili dane osobowe należące do 25 964 klientów, co zmusiło firmę do zniszczenia 18 835 urządzeń i wstrzymania wysyłek.
Podsumowanie
- Keystone potwierdził, że hakerzy uzyskali dostęp do danych osobowych powiązanych z 25 964 rekordami klientów i ukradli klucz uwierzytelniający urządzenia.
- Firma zniszczy 18 835 portfeli sprzętowych z istniejących zapasów, ponieważ skradziony klucz mógłby pozwolić podrobionym urządzeniom przejść kontrole uwierzytelniania.
- Keystone wstrzymał wysyłki i przeszedł na model przedsprzedaży do czasu, aż nowe urządzenia wykorzystujące zastępczy klucz uwierzytelniający będą gotowe.
- Firma podała, że frazy odzyskiwania i klucze prywatne nie zostały naruszone, a klienci otrzymujący urządzenia po 20 października mogą wymagać dodatkowej weryfikacji.
Zgodnie z ogłoszeniem bezpieczeństwa firmy z 26 października, atakujący uzyskali nieuprawniony dostęp do jej oficjalnej strony internetowej 20 października, wykorzystując lukę w narzędziu strony trzeciej do monitorowania danych, co pozwoliło im uzyskać rekordy klientów oraz klucz używany do weryfikacji, czy urządzenia Keystone są oryginalne.
Firma podała, że frazy odzyskiwania, klucze prywatne, dane uwierzytelniające portfela, informacje bankowe i numery identyfikacyjne wydane przez rząd nie zostały naruszone. Jednak skradziony klucz uwierzytelniający mógłby pozwolić atakującym na produkcję podrobionych urządzeń, które przechodzą oficjalne kontrole autentyczności Keystone.
Keystone zaprzestał używania naruszonego klucza w produkcji i zastąpi go nowym. Istniejące zapasy zawierające stary klucz zostaną zniszczone, a oczekujące zamówienia pozostaną wstrzymane do czasu, aż urządzenia zastępcze będą gotowe.
Naruszenie klucza uwierzytelniającego Keystone wymusza zniszczenie urządzeń
Skradzione dane uwierzytelniające, znane jako klucz WebAuth, są osadzane w portfelach sprzętowych Keystone podczas produkcji i są używane, gdy klienci sprawdzają swoje urządzenia za pośrednictwem strony internetowej firmy służącej do uwierzytelniania.
Keystone wyjaśnił, że klucza nie można usunąć ani nadpisać po jego zainstalowaniu. Chociaż nie odgrywa on żadnej roli w generowaniu fraz odzyskiwania, wyprowadzaniu kluczy prywatnych ani podpisywaniu transakcji, jego ujawnienie stwarza problem w procesie weryfikacji urządzeń firmy.
Atakujący posiadający klucz mogliby potencjalnie wyprodukować podrobione portfele zdolne do przejścia kontroli uwierzytelniania, których klienci zwykle używają do potwierdzenia, czy ich urządzenia są legalne.
Jako środek ostrożności Keystone zniszczy wszystkie 18 835 urządzeń obecnie znajdujących się w zapasach, które zawierają naruszony klucz. Produkcja została przełączona na zastępczy klucz uwierzytelniający, a firma wstrzymała wysyłki niezrealizowanych zamówień złożonych za pośrednictwem jej strony internetowej.
Sprzedaż będzie kontynuowana w modelu przedsprzedaży do czasu, aż produkcja i wysyłka będą mogły zostać wznowione.
Firma wykluczyła proszenie klientów o zwrot portfeli i ostrzegła, że każdy, kto żąda urządzeń pod pretekstem oficjalnego wycofania, powinien być traktowany jako oszust.
Ostrzeżenie pojawia się po tym, jak w październiku Ledger zbadał naruszone urządzenia dystrybuowane przez resellera z Azji Południowo-Wschodniej. Śledczy zidentyfikowali nieautoryzowany implant sprzętowy wewnątrz jednego z dotkniętych portfeli, który mógł przechwytywać frazy odzyskiwania podczas konfiguracji.
Dane osobowe prawie 26 000 nabywców Keystone zostały ujawnione
Śledztwo Keystone zidentyfikowało 51 083 rekordów zakupów powiązanych z jego oficjalnym sklepem Shopify, chociaż dane osobowe należące do 25 119 z tych rekordów zostały już usunięte przed atakiem.
Śledczy zidentyfikowali kolejne 12 873 niekompletne rekordy realizacji zamówienia zawierające dane osobowe przesłane przez klientów, którzy nigdy nie dokończyli płatności.
Keystone podał, że do ujawnienia przyczyniły się jego procedury przechowywania danych, ponieważ automatyczne narzędzie do usuwania nie zdążyło usunąć niektórych rekordów klientów w wymaganym przez firmę okresie 180 dni.
Firma przyznała, że nie wykryła na czas nieudanych żądań usunięcia danych, w wyniku czego informacje były przechowywane dłużej niż było to dozwolone.
Po przeprowadzeniu dochodzenia Keystone skróciła okres przechowywania danych klientów do 90 dni i 24 października złożyła w Shopify żądania usunięcia zaległych rekordów zakupów.
Shopify wymaga 10-dniowego okresu oczekiwania, zanim te żądania zostaną sfinalizowane, przy czym usunięcie danych ma nastąpić do 3 listopada. Osobne żądania złożono w odniesieniu do niekompletnych informacji o realizacji zamówienia przechowywanych dłużej niż 30 dni.
Wycieki danych klientów dotknęły w tym roku także innych producentów portfeli sprzętowych. We wrześniu crypto.news poinformował, że Trezor i BitBox ostrzegły klientów przed e-mailami phishingowymi w następstwie problemów z bezpieczeństwem dotyczących zewnętrznych dostawców usług.
Trezor wcześniej ujawnił, że naruszenie bezpieczeństwa dotyczące jego dostawcy wysyłki ShipMonk ujawniło informacje należące do ponad 80 000 klientów.
Planowane powiadomienia klientów wraz z dodatkowymi kontrolami bezpieczeństwa
Keystone poinformowała, że 20 października zablokowała nieautoryzowany dostęp i wyłączyła wrażliwe funkcje witryny, zanim naprawiła lukę i rozpoczęła dochodzenie kryminalistyczne.
Dotknięci klienci otrzymają indywidualne powiadomienia e-mail, a planowana strona wyszukiwania pozwoli użytkownikom sprawdzić, czy ich informacje zostały ujawnione.
Osobna usługa docelowo pozwoli klientom potwierdzić, czy ich dane osobowe zostały usunięte.
Firma ostrzegła użytkowników przed wiadomościami oferującymi migrację portfela, weryfikację aktywów lub pomoc w dochodzeniu, podkreślając, że incydent nie wymaga od obecnych właścicieli przenoszenia swoich kryptowalut.
Podobne próby podszywania się wcześniej były wymierzone w klientów portfeli sprzętowych. W październiku fałszywe strony Ledger pojawiły się w sponsorowanych wynikach wyszukiwania i kierowały użytkowników do oszukańczych stron weryfikacji frazy odzyskiwania.
Keystone zobowiązała się do przeglądu swoich mechanizmów kontroli dostępu do danych, zarządzania kluczami uwierzytelniania i procedur usuwania danych w ramach audytu bezpieczeństwa.
Firma poinformowała, że zgłoszenia do organów regulacyjnych i organów ścigania zostały już złożone w Unii Europejskiej, Wielkiej Brytanii i innych jurysdykcjach, a kolejne zgłoszenia są planowane wszędzie tam, gdzie jest to wymagane.
