La violazione del wallet Keystone ha spinto il produttore di wallet hardware per criptovalute a pianificare la distruzione di 18.835 dispositivi invenduti, dopo che gli aggressori hanno ottenuto una chiave utilizzata per verificare l’autenticità dei suoi prodotti. Keystone ha sospeso le spedizioni degli ordini effettuati sul sito web e non ancora evasi, mentre prepara dispositivi sostitutivi.

Punti chiave

  • La chiave di autenticazione rubata potrebbe consentire ai wallet contraffatti di superare la procedura di verifica di Keystone.
  • L’azienda ha individuato 38.837 record di acquisto e di checkout potenzialmente esposti, che non corrispondono necessariamente a persone uniche.
  • Keystone ha dichiarato che le frasi di recupero, le chiavi private, le password e le informazioni di pagamento non sono state compromesse.

Perché la violazione del wallet Keystone riguarda i dispositivi invenduti

In un aggiornamento dell’indagine del 26 ottobre 2026, Keystone ha dichiarato che gli aggressori avevano avuto accesso alla chiave di autenticazione dei dispositivi WebAuth durante una violazione del suo negozio online avvenuta il 20 ottobre. L’azienda ha affermato che gli aggressori hanno sfruttato una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti collegato al sito web.

La chiave viene integrata nei wallet durante la produzione e non può essere cancellata o riscritta in seguito. Keystone intende distruggere le scorte interessate anziché distribuire dispositivi la cui autenticità potrebbe risultare difficile da accertare. La produzione futura utilizzerà una chiave generata ex novo.

Keystone ha dichiarato che la credenziale non può generare frasi di recupero, derivare chiavi private o autorizzare transazioni. Tuttavia, un aggressore in possesso della chiave potrebbe potenzialmente far apparire legittimo un dispositivo contraffatto durante la verifica.

Indicazioni per gli attuali proprietari dei wallet

Keystone ha dichiarato che i wallet ricevuti e autenticati prima del 20 ottobre possono continuare a essere utilizzati in sicurezza. Ha consigliato ai clienti che hanno ricevuto dopo tale data dispositivi contenenti la chiave precedente di contattare l’assistenza ufficiale per ulteriori verifiche.

L’azienda ha dichiarato che non sta effettuando un richiamo fisico e non chiederà ai clienti di restituire i wallet già in loro possesso. È passata a un modello di preordine mentre prepara i dispositivi sostitutivi.

Esposizione dei dati dei clienti

Keystone ha individuato 25.964 record di acquisto che contenevano ancora informazioni identificative dei clienti, oltre a 12.873 record di checkout incompleto contenenti nomi, recapiti e informazioni di spedizione. I 38.837 record complessivi non corrispondono necessariamente allo stesso numero di persone.

L’azienda ha dichiarato che il suo sistema automatico di cancellazione non applicava in modo coerente la politica di conservazione pubblicizzata di 180 giorni. Ha ridotto il periodo di conservazione a 90 giorni e ha presentato richieste di cancellazione per i record scaduti, la cui elaborazione avrebbe dovuto concludersi entro il 3 novembre secondo i tempi previsti da Shopify.

Keystone intende informare singolarmente i clienti interessati e introdurre un servizio per verificare se le loro informazioni sono state esposte. Ha dichiarato di aver informato le autorità di regolamentazione e le forze dell’ordine nelle giurisdizioni pertinenti, tra cui l’Unione europea e il Regno Unito.

Prossima tappa

La prossima tappa indicata è il completamento previsto entro il 3 novembre delle richieste di cancellazione dei dati scaduti.

Leggi altre notizie

Altre notizie di FinanceVelix

Avvertenza

Questo articolo di FinanceVelix fornisce informazioni generali e non costituisce una consulenza finanziaria, d’investimento, legale o fiscale personalizzata. I prezzi di mercato, i tassi d’interesse e le condizioni economiche possono cambiare; gli investimenti comportano il rischio di perdita. I fatti riflettono le informazioni disponibili al momento della pubblicazione e possono cambiare. Verifica autonomamente le informazioni importanti e, se necessario, consulta un professionista qualificato. La menzione di un’attività, di un’azienda o di un servizio non costituisce un’approvazione.