Виробник апаратних гаманців Keystone підтвердив, що хакери викрали ключ автентифікації пристроїв і розкрили особисту інформацію, що належить 25 964 клієнтам, що змусило компанію знищити 18 835 пристроїв і призупинити відвантаження.
Короткий огляд
- Keystone підтвердила, що хакери отримали доступ до особистої інформації, пов'язаної з 25 964 записами клієнтів, і викрали ключ автентифікації пристроїв.
- Компанія знищить 18 835 апаратних гаманців із наявних запасів, оскільки викрадений ключ міг дозволити підробленим пристроям пройти перевірку автентичності.
- Keystone призупинила відвантаження та перейшла на попередні замовлення, доки не будуть готові нові пристрої з використанням замінного ключа автентифікації.
- Компанія заявила, що фрази відновлення та приватні ключі не були скомпрометовані, тоді як клієнтам, які отримають пристрої після 20 жовтня, може знадобитися додаткова перевірка.
Згідно з повідомленням компанії про безпеку від 26 жовтня, зловмисники 20 жовтня отримали несанкціонований доступ до її офіційного вебсайту, використавши вразливість у сторонньому інструменті моніторингу даних, що дозволило їм отримати записи клієнтів і ключ, який використовується для перевірки справжності пристроїв Keystone.
Компанія заявила, що фрази відновлення, приватні ключі, облікові дані гаманців, банківська інформація та державні ідентифікаційні номери не були скомпрометовані. Однак викрадений ключ автентифікації міг дозволити зловмисникам виготовляти підроблені пристрої, які проходять офіційні перевірки справжності Keystone.
Keystone припинила використовувати скомпрометований ключ у виробництві та замінить його новим. Наявні запаси, що містять старий ключ, будуть знищені, а незавершені замовлення залишатимуться в очікуванні, доки не будуть готові заміні пристрої.
Порушення ключа автентифікації Keystone змушує знищити пристрої
Викрадений обліковий дані, відомий як ключ WebAuth, вбудовується в апаратні гаманці Keystone під час виробництва і використовується, коли клієнти перевіряють свої пристрої через вебсайт автентифікації компанії.
Keystone пояснила, що ключ неможливо стерти або перезаписати після його встановлення. Хоча він не відіграє жодної ролі у генеруванні фраз відновлення, отриманні приватних ключів або підписанні транзакцій, його розкриття створює проблему для процесу перевірки пристроїв компанії.
Зловмисники, які володіють ключем, потенційно могли б виробляти підроблені гаманці, здатні пройти перевірки автентичності, які клієнти зазвичай використовують для підтвердження легітимності своїх пристроїв.
Як запобіжний захід Keystone знищить усі 18 835 пристроїв, які наразі є в запасах і містять скомпрометований ключ. Виробництво перейшло на замінний ключ автентифікації, і компанія призупинила відвантаження невиконаних замовлень, розміщених через її вебсайт.
Продажі продовжуватимуться за моделлю попереднього замовлення, доки не відновиться виробництво та відвантаження.
Компанія виключила можливість просити клієнтів повернути свої гаманці та попередила, що будь-кого, хто вимагає пристрої під приводом офіційного відкликання, слід вважати шахраєм.
Це попередження з'явилося після того, як Ledger розслідувала скомпрометовані пристрої, розповсюджені через південно-східноазійського реселера у жовтні. Слідчі виявили несанкціонований апаратний імплант всередині одного з уражених гаманців, який міг перехоплювати фрази відновлення під час налаштування.
Особиста інформація майже 26 000 покупців Keystone була розкрита
Розслідування Keystone виявило 51 083 записи про покупки, пов'язані з її офіційним магазином Shopify, хоча особиста інформація, що належить 25 119 із цих записів, уже була стерта до атаки.
Слідчі виявили ще 12 873 незавершені записи оформлення замовлення, що містять особисту інформацію, надану клієнтами, які так і не завершили оплату.
Keystone заявила, що її процедури зберігання даних сприяли розкриттю, оскільки інструмент автоматичного видалення не зміг видалити деякі записи клієнтів протягом необхідного компанією 180-денного періоду.
Компанія визнала, що не виявила невдалі запити на видалення вчасно, через що інформація зберігалася довше, ніж дозволено.
Після розслідування Keystone скоротила термін зберігання даних клієнтів до 90 днів і 24 жовтня подала до Shopify запити на видалення прострочених записів про покупки.
Shopify вимагає 10-денний період очікування, перш ніж ці запити буде остаточно оброблено, а видалення очікується до 3 листопада. Окремі запити було подано щодо неповної інформації про оформлення замовлення, яка зберігалася довше 30 днів.
Витоки інформації клієнтів цього року торкнулися й інших виробників апаратних гаманців. У вересні crypto.news повідомив, що Trezor і BitBox попередили клієнтів про фішингові електронні листи після проблем із безпекою, пов'язаних із сторонніми постачальниками послуг.
Trezor раніше повідомив, що інцидент із його постачальником доставки ShipMonk призвів до розкриття інформації, що належить понад 80 000 клієнтів.
Заплановано повідомлення клієнтам разом із додатковими перевірками безпеки
Keystone заявила, що 20 жовтня заблокувала несанкціонований доступ і вимкнула чутливі функції вебсайту, після чого усунула вразливість і розпочала криміналістичне розслідування.
Постраждалі клієнти отримають індивідуальні повідомлення електронною поштою, а запланована сторінка перевірки дозволить користувачам дізнатися, чи було розкрито їхню інформацію.
Окремий сервіс зрештою дозволить клієнтам підтвердити, чи було видалено їхні персональні дані.
Компанія застерегла користувачів від повідомлень, які пропонують міграцію гаманця, перевірку активів або допомогу в розслідуванні, наголошуючи, що цей інцидент не вимагає від наявних власників переміщувати свою криптовалюту.
Подібні спроби видавання себе за інших раніше вже були націлені на клієнтів апаратних гаманців. У жовтні фальшиві вебсайти Ledger з'являлися в спонсорованих результатах пошуку та спрямовували користувачів на шахрайські сторінки перевірки фрази відновлення.
Keystone зобов'язалася переглянути свої засоби контролю доступу до даних, управління ключами автентифікації та процедури видалення в рамках аудиту безпеки.
Компанія заявила, що звіти до регуляторних органів і правоохоронних органів уже було подано в Європейському Союзі, Великій Британії та інших юрисдикціях, і планується подати більше звітів там, де це вимагається.
