Производитель аппаратных кошельков для биткоина Keystone приостановил отгрузку и распорядился уничтожить 18 835 непроданных устройств после того, как злоумышленники получили доступ к постоянному заводскому ключу аутентификации. Утечка, обнаруженная 20 октября, также привела к утечке персональных данных 25 964 покупателей из магазина на Shopify за период с 2024 по 2026 год из‑за сбоев в процессе автоматического удаления данных.
Компания подтвердила, что фразы восстановления и закрытые ключи не были скомпрометированы, то есть устройства, доставленные до 20 октября, остаются в безопасности. Однако украденный ключ позволяет преступникам выпускать поддельные устройства, успешно проходящие проверку подлинности, из‑за чего Keystone перевела продажи на сайте в режим предзаказов, пока изготавливает устройства с новым защитным ключом.
Ключевые факты
- Злоумышленники получили постоянный заводской ключ аутентификации, используемый для проверки подлинности устройств.
- Keystone уничтожит 18 835 непроданных аппаратных кошельков, находящихся на складе.
- В результате утечки затронуты персональные данные 25 964 покупателей за период с 2024 по 2026 год.
- Отгрузка всех неразосланных заказов с сайта компании приостановлена.
- Keystone заявила, что фразы восстановления и закрытые ключи не были задействованы в инциденте.
- Компания сократила срок хранения клиентских данных со 180 до 90 дней.
Почему это важно
Кража заводского ключа создаёт риск появления поддельных кошельков, которые выглядят как подлинные и проходят официальную проверку, что может привести к краже активов, если пользователи загрузят свои средства на такие мошеннические устройства.