Keystone povlači uređaje nakon krađe ključa za verifikaciju
Keystone će uništiti 18.835 neprodatih hardverskih novčanika nakon što je napadač pristupio ključu kojim uređaji potvrđuju autentičnost. Kompanija je neovlašćeni pristup svom sajtu otkrila 20. oktobra, a 26. oktobra je saopštila da incident nije zahvatio fraze za oporavak ni privatne ključeve korisnika.
Ključ služi isključivo za proveru uređaja, ali njegov gubitak menja pouzdanost te provere. Osoba koja poseduje kopiju mogla bi da napravi falsifikovani uređaj koji prolazi onlajn proveru, a kupac koji mu poveruje mogao bi ostati bez kriptoimovine. Keystone nije prijavio otkrivene falsifikate niti krađe povezane sa ovim slučajem.
Zašto postojeći uređaji ne mogu dobiti novi ključ
Vlasnik Keystone uređaja proveru pokreće skeniranjem QR koda na stranici za verifikaciju, zatim na stranici unosi kod koji uređaj prikaže. U otvorenom firmveru QR kod nosi šifrovani podatak, a uređaj ga dešifruje ključem upisanim tokom proizvodnje. Ispravan rezultat pokazuje da uređaj poseduje taj ključ.
Ključ je upisan u memoriju koja se može upisati samo jednom, a firmver ne prihvata drugi ključ. Zbog toga već proizvedeni uređaji ne mogu preći na novi ključ. Keystone će nove uređaje proizvoditi sa novim ključem, dok je isporuka porudžbina sa sajta pauzirana dok takvi uređaji ne budu spremni.
Uputstva za vlasnike i obim izloženih podataka
Uređaj isporučen pre 20. oktobra, koji prođe proveru, Keystone smatra autentičnim i navodi da može normalno da se koristi. Za uređaj primljen posle tog datuma sa starim ključem kompanija ne može u potpunosti isključiti mogućnost falsifikata. Takav uređaj ne treba koristiti pre nego što Keystone podrška potvrdi njegovu autentičnost. Isto pravilo važi bez obzira na to da li je uređaj kupljen kod Keystonea, preko Amazona ili ovlašćenog prodavca.
Napadač je, iskorišćavanjem ranjivosti u alatu treće strane za nadzor podataka koji je koristio sajt, podigao privilegije i pribavio i podatke kupaca. Zahvaćeno je 25.964 zapisa o kupovinama na Keystone sajtu iz perioda 2024–2026, sa imenima, kontakt podacima, adresama za isporuku i detaljima narudžbine. U odgovor je uključeno i 12.873 zapisa o nezavršenim kupovinama.
Shopify je čuvao i upravljao podacima prodavnice. Podaci o platnim karticama, bankovni podaci i brojevi državnih identifikacionih dokumenata nisu bili obuhvaćeni, dok kupovine preko Amazona i drugih prodajnih kanala nisu pogođene. Keystone je priznao i da automatizovani alat za brisanje podataka nije pouzdano uklanjao podatke nakon ranije najavljenih 180 dana.
Operativna pouka za organizacije
Keystone je period čuvanja ličnih podataka odmah skratio sa 180 na 90 dana i od Shopifyja zatražio brisanje starijih podataka. Vlasnici treba da ignorišu poruke o povraćaju novca, zameni uređaja, opozivu ili pomoći pri prebacivanju kriptoimovine, jer ih kompanija tretira kao prevaru. Za poslovanje, slučaj pokazuje da kontrola dobavljača, provera automatizovanog brisanja podataka i zaštita proizvodnih ključeva moraju biti deo istog bezbednosnog procesa.