硬體錢包製造商 Keystone 已確認，駭客竊取了一組裝置驗證金鑰，並洩露了 25,964 名客戶的個人資訊，迫使該公司銷毀 18,835 台裝置並暫停出貨。
摘要
- Keystone 確認駭客存取了與 25,964 筆客戶紀錄相關的個人資訊，並竊取了一組裝置驗證金鑰。
- 該公司將銷毀現有庫存中的 18,835 台硬體錢包，因為被竊的金鑰可能讓偽造裝置通過驗證檢查。
- Keystone 已暫停出貨，並改為預購模式，直到使用替代驗證金鑰的新裝置準備就緒。
- 該公司表示，助記詞與私鑰並未遭到洩露，而在 10 月 20 日之後收到裝置的客戶可能需要額外驗證。
根據該公司 10 月 26 日的安全公告，攻擊者於 10 月 20 日利用第三方資料監控工具中的一個漏洞，未經授權存取了其官方網站，從而取得客戶紀錄以及用於驗證 Keystone 裝置是否為正品的金鑰。
該公司表示，助記詞、私鑰、錢包憑證、銀行資訊及政府身分證號碼並未遭到洩露。然而，被竊的驗證金鑰可能讓攻擊者製造出能通過 Keystone 官方真偽檢查的偽造裝置。
Keystone 已停止在製造過程中使用這組遭洩露的金鑰，並將以新的金鑰取代。含有舊金鑰的現有庫存將被銷毀，而待處理的訂單將持續擱置，直到替代裝置準備就緒。
Keystone 驗證金鑰外洩迫使裝置銷毀
這組被竊的憑證稱為 WebAuth 金鑰，在製造過程中嵌入 Keystone 硬體錢包，並在客戶透過該公司驗證網站檢查其裝置時使用。
Keystone 解釋，該金鑰一旦安裝後便無法抹除或改寫。儘管它在產生助記詞、衍生私鑰或簽署交易方面沒有任何作用，但其外洩對該公司的裝置驗證流程造成了問題。
持有該金鑰的攻擊者可能製造出能夠通過驗證檢查的偽造錢包，而客戶通常使用這項檢查來確認其裝置是否為正品。
作為預防措施，Keystone 將銷毀目前庫存中所有 18,835 台含有遭洩露金鑰的裝置。生產已改用替代驗證金鑰，該公司也已暫停出貨透過其網站下單但尚未履行的訂單。
銷售將持續以預購模式進行，直到製造與出貨能夠恢復。
該公司已排除要求客戶寄回錢包的做法，並警告任何以官方召回為由索取裝置的人應被視為詐騙者。
這項警告發布之前，Ledger 於 10 月調查了透過一家東南亞經銷商流通的遭入侵裝置。調查人員在其中一個受影響的錢包內發現了一個未經授權的硬體植入物，可在設定過程中擷取助記詞。
近 26,000 名 Keystone 買家的個人資訊遭到洩露
Keystone 的調查識別出與其官方 Shopify 商店相關的 51,083 筆購買紀錄，不過其中 25,119 筆紀錄所屬的個人資訊在攻擊發生前便已被抹除。
調查人員還發現另外 12,873 筆未完成的結帳紀錄，其中包含客戶提交但從未完成付款的個人資訊。
Keystone 表示，其資料保留程序導致了此次外洩，因為一套自動刪除工具未能在該公司規定的 180 天期限內移除部分客戶紀錄。
該公司承認，它未能及時偵測到失敗的刪除請求，導致資訊被儲存的時間超過了允許的期限。
在調查之後，Keystone 將其客戶資料保留期限縮短至 90 天，並於 10 月 24 日向 Shopify 提交了針對逾期購買記錄的刪除請求。
Shopify 要求這些請求在最終確定前需經過 10 天的等待期，預計將於 11 月 3 日前完成刪除。針對保留超過 30 天的不完整結帳資訊，則另行提交了單獨的請求。
今年，客戶資訊外洩事件也影響了其他硬體錢包製造商。9 月，crypto.news 報導指出，Trezor 和 BitBox 在涉及第三方服務供應商的安全問題後，已警告客戶注意釣魚電子郵件。
Trezor 此前曾披露，涉及其一間貨運供應商 ShipMonk 的資料外洩事件，暴露了超過 80,000 名客戶的資訊。
計劃在進行更多安全檢查的同時通知客戶
Keystone 表示，它於 10 月 20 日封鎖了未經授權的存取並停用了敏感的網站功能，隨後修復了該漏洞並開始進行取證調查。
受影響的客戶將收到個別的電子郵件通知，同時一個計劃中的查詢頁面將讓使用者檢查其資訊是否遭到外洩。
一項獨立的服務最終將讓客戶確認其個人資料是否已被刪除。
該公司已警告使用者提防提供錢包遷移、資產驗證或調查協助的訊息，並強調該事件不需要現有持有者轉移其加密貨幣。
類似的冒充企圖此前也曾針對硬體錢包客戶。10 月，假冒的 Ledger 網站出現在贊助搜尋結果中，並將使用者引導至欺詐性的助記詞驗證頁面。
Keystone 已承諾作為安全稽核的一部分，審查其資料存取控制、驗證金鑰管理及刪除程序。
該公司表示，已在歐盟、英國及其他司法管轄區提交了監管及執法報告，並計劃在需要的地方提交更多報告。
