O fabricante de carteiras de hardware Keystone confirmou que hackers roubaram uma chave de autenticação de dispositivo e expuseram informações pessoais pertencentes a 25.964 clientes, forçando a empresa a destruir 18.835 dispositivos e suspender os envios.
Resumo
- A Keystone confirmou que hackers acessaram informações pessoais vinculadas a 25.964 registros de clientes e roubaram uma chave de autenticação de dispositivo.
- A empresa destruirá 18.835 carteiras de hardware do estoque existente porque a chave roubada poderia permitir que dispositivos falsificados passassem nas verificações de autenticação.
- A Keystone suspendeu os envios e passou a trabalhar com pré-encomendas até que novos dispositivos usando uma chave de autenticação substituta estejam prontos.
- A empresa afirmou que as frases de recuperação e as chaves privadas não foram comprometidas, enquanto os clientes que receberem dispositivos após 20 de outubro poderão precisar de verificação adicional.
De acordo com o anúncio de segurança da empresa de 26 de outubro, os atacantes obtiveram acesso não autorizado ao seu site oficial em 20 de outubro explorando uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros, o que lhes permitiu obter registros de clientes e a chave usada para verificar se os dispositivos Keystone são genuínos.
A empresa afirmou que frases de recuperação, chaves privadas, credenciais de carteira, informações bancárias e números de identificação governamentais não foram comprometidos. No entanto, a chave de autenticação roubada poderia permitir que os atacantes fabricassem dispositivos falsificados que passassem nas verificações oficiais de autenticidade da Keystone.
A Keystone parou de usar a chave comprometida na fabricação e a substituirá por uma nova. O estoque existente que contém a chave antiga será destruído, enquanto os pedidos pendentes permanecerão em espera até que os dispositivos de substituição estejam prontos.
Violação da chave de autenticação da Keystone força destruição de dispositivos
A credencial roubada, conhecida como chave WebAuth, é incorporada às carteiras de hardware Keystone durante a fabricação e é usada quando os clientes verificam seus dispositivos por meio do site de autenticação da empresa.
A Keystone explicou que a chave não pode ser apagada ou regravada depois de instalada. Embora ela não tenha papel na geração de frases de recuperação, na derivação de chaves privadas ou na assinatura de transações, sua exposição cria um problema com o processo de verificação de dispositivos da empresa.
Os atacantes que possuem a chave poderiam potencialmente produzir carteiras falsificadas capazes de passar nas verificações de autenticação que os clientes normalmente usam para confirmar se seus dispositivos são legítimos.
Como precaução, a Keystone destruirá todos os 18.835 dispositivos atualmente em estoque que contêm a chave comprometida. A produção passou a usar uma chave de autenticação substituta, e a empresa suspendeu os envios de pedidos não atendidos feitos por meio de seu site.
As vendas continuarão por meio de um modelo de pré-encomenda até que a fabricação e o envio possam ser retomados.
A empresa descartou pedir aos clientes que devolvam suas carteiras e alertou que qualquer pessoa que solicite dispositivos sob o pretexto de um recall oficial deve ser tratada como golpista.
O alerta surge depois que a Ledger investigou dispositivos comprometidos distribuídos por meio de um revendedor do Sudeste Asiático em outubro. Os investigadores identificaram um implante de hardware não autorizado dentro de uma carteira afetada que poderia capturar frases de recuperação durante a configuração.
Quase 26.000 compradores da Keystone tiveram informações pessoais expostas
A investigação da Keystone identificou 51.083 registros de compra associados à sua loja oficial no Shopify, embora as informações pessoais pertencentes a 25.119 desses registros já tivessem sido apagadas antes do ataque.
Os investigadores identificaram outros 12.873 registros de checkout incompletos contendo informações pessoais enviadas por clientes que nunca concluíram o pagamento.
A Keystone afirmou que seus procedimentos de retenção de dados contribuíram para a exposição porque uma ferramenta de exclusão automatizada falhou em remover alguns registros de clientes dentro do período obrigatório de 180 dias da empresa.
A empresa reconheceu que não havia detectado as solicitações de exclusão malsucedidas a tempo, deixando informações armazenadas por mais tempo do que o permitido.
Após a investigação, a Keystone reduziu seu período de retenção de dados de clientes para 90 dias e enviou solicitações de exclusão à Shopify em 24 de outubro para registros de compras em atraso.
A Shopify exige um período de espera de 10 dias antes que essas solicitações sejam finalizadas, com a exclusão prevista para 3 de novembro. Solicitações separadas foram enviadas para informações de checkout incompletas retidas por mais de 30 dias.
Vazamentos de informações de clientes afetaram outros fabricantes de carteiras de hardware este ano. Em setembro, o crypto.news informou que a Trezor e a BitBox haviam alertado os clientes sobre e-mails de phishing após problemas de segurança envolvendo prestadores de serviços terceirizados.
A Trezor havia divulgado anteriormente que uma violação envolvendo sua transportadora ShipMonk expôs informações pertencentes a mais de 80.000 clientes.
Notificações aos clientes planejadas juntamente com mais verificações de segurança
A Keystone disse que bloqueou o acesso não autorizado e desativou funções sensíveis do site em 20 de outubro, antes de corrigir a vulnerabilidade e iniciar uma investigação forense.
Os clientes afetados receberão notificações individuais por e-mail, enquanto uma página de consulta planejada permitirá aos usuários verificar se suas informações foram expostas.
Um serviço separado eventualmente permitirá que os clientes confirmem se seus dados pessoais foram apagados.
A empresa alertou os usuários contra mensagens que oferecem migração de carteira, verificação de ativos ou assistência em investigação, enfatizando que o incidente não exige que os proprietários existentes movam sua criptomoeda.
Tentativas semelhantes de personificação já visaram clientes de carteiras de hardware anteriormente. Em outubro, sites falsos da Ledger apareceram em resultados de busca patrocinados e direcionaram os usuários para páginas fraudulentas de verificação de frases de recuperação.
A Keystone se comprometeu a revisar seus controles de acesso a dados, gerenciamento de chaves de autenticação e procedimentos de exclusão como parte de uma auditoria de segurança.
A empresa disse que relatórios regulatórios e às autoridades policiais já foram enviados na União Europeia, Reino Unido e outras jurisdições, com mais relatórios planejados onde for necessário.
