This key is written into wallets during manufacturing and cannot be erased or overwritten. The company assured that the key is not used to generate seed phrases, create private keys, or sign transactions.
Cependant, une fois en possession de la clé, l'attaquant peut créer des appareils contrefaits qui passeront avec succès l'authentification sur le site Keystone. Si ces appareils contrefaits atteignent des clients qui les prennent pour des produits originaux Keystone, ces clients perdent leurs actifs cryptographiques.
Keystone cesse complètement l'utilisation de l'ancienne clé. Tous les nouveaux appareils seront livrés avec une nouvelle clé d'authentification. L'entreprise a promis que les 18 835 portefeuilles matériels en stock contenant la clé compromise seront détruits et ne seront pas mis en vente. Keystone a suspendu l'expédition de tous les appareils non payés commandés sur le site officiel et a basculé les ventes en mode pré-commande — jusqu'à ce que la production d'appareils avec la nouvelle clé soit rétablie.
Le 20 octobre, les systèmes de surveillance Keystone ont détecté une activité suspecte sur le site. Un inconnu a exploité une vulnérabilité dans l'outil de surveillance des données. À la suite de cet incident, les données personnelles de 25 964 clients ayant passé des commandes sur la plateforme Shopify entre 2024 et 2026 ont été compromises. Les noms, coordonnées, adresses de livraison et informations sur les commandes étaient accessibles publiquement. Heureusement, l'attaquant n'a pas obtenu accès aux phrases de démarrage, aux clés privées ni aux données de paiement des utilisateurs.
Selon la politique interne de Keystone, les données des clients doivent être supprimées après 180 jours, mais l'outil automatisé de suppression en masse a fonctionné incorrectement, expliquent les représentants de l'entreprise. Ils ont reconnu que les données compromises n'ont pas été supprimées à temps. Le pirate a obtenu accès à 12 873 enregistrements de commandes incomplètes, contenant également des noms, des coordonnées et des adresses de livraison.
Les appareils livrés avant le 20 octobre sont considérés comme utilisables par le fabricant, à condition qu'ils passent la vérification d'authenticité. Les acheteurs ayant reçu un portefeuille avec une ancienne clé après le 20 octobre sont invités à contacter le service client pour une vérification supplémentaire. Même si l'appareil passe l'authentification, il ne peut être exclu qu'il s'agisse d'une contrefaçon.
The company announced that it will not ask wallet owners to return devices. Anyone requesting that a wallet be sent for replacement is declared a scammer.
Auparavant, un autre grand fabricant de portefeuilles matériels, Ledger, a reconnu qu’un groupe de pirates avait spécifiquement acheté des appareils. Les cybercriminels ont ouvert les portefeuilles et installé des modules cachés pour intercepter les phrases de démarrage. Les portefeuilles équipés de modules espions ont été trouvés même sur le marché russe Ozon.