Naruszenie bezpieczeństwa portfela Keystone skłoniło producenta sprzętowych portfeli kryptowalutowych do zaplanowania zniszczenia 18 835 niesprzedanych urządzeń po tym, jak atakujący uzyskali klucz służący do sprawdzania autentyczności jego produktów. Keystone wstrzymało wysyłkę niezrealizowanych zamówień złożonych na stronie internetowej, przygotowując urządzenia zastępcze.

Najważniejsze informacje

  • Skradziony klucz uwierzytelniający mógłby umożliwić podrobionym portfelom przejście procesu weryfikacji Keystone.
  • Firma zidentyfikowała 38 837 potencjalnie ujawnionych rekordów zakupów i realizacji transakcji, które nie muszą odpowiadać takiej samej liczbie różnych osób.
  • Keystone poinformowało, że frazy odzyskiwania, klucze prywatne, hasła i dane płatnicze nie zostały naruszone.

Dlaczego naruszenie bezpieczeństwa portfela Keystone dotyczy niesprzedanych urządzeń

W aktualizacji śledztwa z 26 października 2026 r. Keystone poinformowało, że atakujący uzyskali dostęp do klucza uwierzytelniającego urządzenia WebAuth podczas naruszenia bezpieczeństwa sklepu internetowego 20 października. Firma przekazała, że atakujący wykorzystali lukę w zabezpieczeniach zewnętrznego narzędzia do monitorowania danych, połączonego ze stroną internetową.

Klucz jest umieszczany w portfelach podczas produkcji i nie można go później usunąć ani zmienić. Keystone planuje zniszczyć objęte problemem zapasy zamiast dystrybuować urządzenia, których autentyczność mogłaby być trudna do potwierdzenia. W przyszłej produkcji będzie używany nowo wygenerowany klucz.

Keystone poinformowało, że dane uwierzytelniające nie mogą generować fraz odzyskiwania, wyprowadzać kluczy prywatnych ani autoryzować transakcji. Atakujący posiadający ten klucz mógłby jednak potencjalnie sprawić, że podrabiane urządzenie wyglądałoby na autentyczne podczas weryfikacji.

Wskazówki dla obecnych właścicieli portfeli

Keystone poinformowało, że portfele otrzymane i uwierzytelnione przed 20 października pozostają bezpieczne w użyciu. Firma zaleciła klientom, którzy otrzymali po tej dacie urządzenia zawierające starszy klucz, skontaktowanie się z oficjalnym działem pomocy w celu przeprowadzenia dodatkowej weryfikacji.

Firma poinformowała, że nie przeprowadza fizycznego wycofania produktów i nie poprosi klientów o zwrot posiadanych portfeli. Przygotowując urządzenia zastępcze, przeszła na model przedsprzedaży.

Ujawnione dane klientów

Keystone zidentyfikowało 25 964 rekordy zakupów, które nadal zawierały dane umożliwiające identyfikację klientów, oraz 12 873 niekompletne rekordy realizacji transakcji zawierające imiona i nazwiska, dane kontaktowe i informacje o wysyłce. Łączna liczba 38 837 rekordów nie musi odpowiadać takiej samej liczbie osób.

Firma poinformowała, że jej zautomatyzowany system usuwania danych nie egzekwował konsekwentnie deklarowanej polityki przechowywania danych przez 180 dni. Skróciła okres przechowywania do 90 dni i złożyła wnioski o usunięcie przeterminowanych rekordów. Zgodnie z harmonogramem przetwarzania Shopify miały one zostać usunięte do 3 listopada.

Keystone planuje indywidualnie powiadomić klientów, których dotyczy sprawa, oraz uruchomić usługę umożliwiającą sprawdzenie, czy ich dane zostały ujawnione. Firma poinformowała, że powiadomiła organy regulacyjne i organy ścigania w odpowiednich jurysdykcjach, w tym w Unii Europejskiej i Wielkiej Brytanii.

Kolejny kamień milowy

Kolejnym wskazanym kamieniem milowym jest planowane zakończenie realizacji wniosków o usunięcie przeterminowanych danych do 3 listopada.

Czytaj więcej wiadomości

Więcej wiadomości FinanceVelix

Zastrzeżenie

Niniejszy artykuł FinanceVelix zawiera ogólne informacje, a nie spersonalizowane porady finansowe, inwestycyjne, prawne ani podatkowe. Ceny rynkowe, stopy procentowe i warunki gospodarcze mogą się zmieniać; inwestycje wiążą się z ryzykiem straty. Fakty odzwierciedlają informacje dostępne w chwili publikacji i mogą ulec zmianie. Ważne informacje należy niezależnie zweryfikować, a w razie potrzeby skonsultować się z wykwalifikowanym specjalistą. Wzmianka o aktywie, firmie lub usłudze nie stanowi jej rekomendacji.