Производитель аппаратных кошельков Keystone подтвердил, что хакеры украли ключ аутентификации устройства и раскрыли личную информацию, принадлежащую 25 964 клиентам, что вынудило компанию уничтожить 18 835 устройств и приостановить поставки.
Краткое содержание
- Keystone подтвердила, что хакеры получили доступ к личной информации, связанной с 25 964 записями клиентов, и украли ключ аутентификации устройства.
- Компания уничтожит 18 835 аппаратных кошельков из существующих запасов, поскольку украденный ключ может позволить поддельным устройствам проходить проверку подлинности.
- Keystone приостановила поставки и перешла на предзаказы до тех пор, пока не будут готовы новые устройства с использованием заменяющего ключа аутентификации.
- Компания заявила, что фразы восстановления и закрытые ключи не были скомпрометированы, при этом клиентам, получающим устройства после 20 октября, может потребоваться дополнительная проверка.
Согласно опубликованному 26 октября заявлению компании о безопасности, 20 октября злоумышленники получили несанкционированный доступ к её официальному сайту, воспользовавшись уязвимостью в стороннем инструменте мониторинга данных, что позволило им получить записи клиентов и ключ, используемый для проверки подлинности устройств Keystone.
Компания заявила, что фразы восстановления, закрытые ключи, учётные данные кошельков, банковская информация и государственные идентификационные номера не были скомпрометированы. Однако украденный ключ аутентификации может позволить злоумышленникам изготавливать поддельные устройства, проходящие официальные проверки подлинности Keystone.
Keystone прекратила использовать скомпрометированный ключ в производстве и заменит его новым. Существующие запасы, содержащие старый ключ, будут уничтожены, а ожидающие выполнения заказы останутся на удержании до тех пор, пока не будут готовы заменяющие устройства.
Утечка ключа аутентификации Keystone вынуждает уничтожить устройства
Украденный учётный данные, известный как ключ WebAuth, встраивается в аппаратные кошельки Keystone во время производства и используется, когда клиенты проверяют свои устройства через сайт аутентификации компании.
Keystone пояснила, что ключ невозможно стереть или перезаписать после установки. Хотя он не играет роли в генерации фраз восстановления, выводе закрытых ключей или подписании транзакций, его раскрытие создаёт проблему в процессе проверки устройств компании.
Злоумышленники, обладающие ключом, потенциально могут производить поддельные кошельки, способные проходить проверки аутентификации, которые клиенты обычно используют для подтверждения подлинности своих устройств.
В качестве меры предосторожности Keystone уничтожит все 18 835 устройств, находящихся в настоящее время на складе и содержащих скомпрометированный ключ. Производство переведено на заменяющий ключ аутентификации, и компания приостановила поставки по невыполненным заказам, размещённым через её сайт.
Продажи будут продолжаться по модели предзаказа до тех пор, пока производство и отгрузка не смогут возобновиться.
Компания исключила возможность просить клиентов вернуть свои кошельки и предупредила, что любого, кто требует устройства под предлогом официального отзыва, следует считать мошенником.
Предупреждение появилось после того, как в октябре Ledger расследовала скомпрометированные устройства, распространявшиеся через юго-восточноазиатского реселлера. Следователи обнаружили несанкционированный аппаратный имплант внутри одного из затронутых кошельков, который мог перехватывать фразы восстановления во время настройки.
Личная информация почти 26 000 покупателей Keystone была раскрыта
В ходе расследования Keystone выявила 51 083 записи о покупках, связанных с её официальным магазином на Shopify, хотя личная информация, относящаяся к 25 119 из этих записей, уже была удалена до атаки.
Следователи выявили ещё 12 873 незавершённые записи оформления заказа, содержащие личную информацию, предоставленную клиентами, которые так и не завершили оплату.
Keystone заявила, что её процедуры хранения данных способствовали раскрытию, поскольку автоматизированный инструмент удаления не смог удалить некоторые записи клиентов в течение требуемого компанией 180-дневного срока.
Компания признала, что не обнаружила запросы на удаление, которые не были выполнены, вовремя, из-за чего информация хранилась дольше разрешённого срока.
По итогам расследования Keystone сократила срок хранения данных клиентов до 90 дней и 24 октября направила в Shopify запросы на удаление просроченных записей о покупках.
Shopify требует 10-дневного периода ожидания перед окончательным исполнением этих запросов, удаление ожидается к 3 ноября. Отдельные запросы были направлены в отношении неполной информации об оформлении заказа, хранившейся дольше 30 дней.
Утечки информации о клиентах в этом году затронули и других производителей аппаратных кошельков. В сентябре crypto.news сообщил, что Trezor и BitBox предупредили клиентов о фишинговых письмах после проблем с безопасностью, связанных со сторонними поставщиками услуг.
Ранее Trezor раскрыл, что инцидент с его поставщиком логистических услуг ShipMonk привёл к раскрытию информации, принадлежащей более чем 80 000 клиентов.
Планируются уведомления клиентов наряду с дополнительными проверками безопасности
Keystone заявила, что 20 октября заблокировала несанкционированный доступ и отключила чувствительные функции сайта, после чего устранила уязвимость и начала судебно-техническое расследование.
Пострадавшие клиенты получат индивидуальные уведомления по электронной почте, а запланированная страница проверки позволит пользователям узнать, была ли раскрыта их информация.
Отдельный сервис в конечном итоге позволит клиентам подтвердить, были ли удалены их персональные данные.
Компания предупредила пользователей о сообщениях, предлагающих миграцию кошелька, проверку активов или помощь в расследовании, подчеркнув, что инцидент не требует от существующих владельцев перемещать свою криптовалюту.
Подобные попытки выдать себя за других ранее уже нацеливались на клиентов аппаратных кошельков. В октябре поддельные сайты Ledger появились в спонсируемых результатах поиска и направляли пользователей на мошеннические страницы проверки фразы восстановления.
Keystone обязалась пересмотреть свои механизмы контроля доступа к данным, управление ключами аутентификации и процедуры удаления в рамках аудита безопасности.
Компания сообщила, что отчёты в регулирующие органы и правоохранительные органы уже были поданы в Европейском союзе, Великобритании и других юрисдикциях, и планируется подать дополнительные отчёты везде, где это требуется.
