Bu anahtar, üretim aşamasında cüzdanlara kaydedilir ve silinemez veya üzerine yazılabilir. Şirket, anahtarın seed ifadeleri oluşturmak, özel anahtarlar üretmek veya işlemler imzalamak için kullanılmadığını garanti etti.
Ancak, anahtarı ele geçiren saldırgan, Keystone sitesinde kimlik doğrulamasını başarıyla geçebilecek sahte cihazlar oluşturabilir. Eğer bu sahte cihazlar, onları orijinal Keystone ürünü olarak kabul eden müşterilere ulaşır, bu müşteriler kripto varlıklarını kaybeder.
Keystone, eski anahtarın kullanımını tamamen durdurur. Tüm yeni cihazlar yeni bir kimlik doğrulama anahtarıyla üretilecektir. Şirket, kompromize edilmiş anahtara sahip stoktaki 18.835 donanımsal cüzdanın imha edileceğini ve satışa sunulmayacağını söz verdi. Keystone, resmi web sitesi üzerinden sipariş edilen ödenmemiş tüm cihazların gönderimini durdurdu ve yeni anahtarla üretilen cihazların üretimi yeniden başlatılana kadar satışları ön sipariş moduna geçirdi.
20 Ekim'de Keystone izleme sistemleri şüpheli aktiviteyi sitede tespit etti. Bilinmeyen biri veri izleme aracında bir zafiyeti kullandı. Olayın sonucunda, 2024 ile 2026 yılları arasında Shopify platformunda sipariş veren 25.964 müşteriye ait kişisel veriler ihlal edildi. Adlar, iletişim bilgileri, teslimat adresleri ve sipariş bilgileri açık erişime açıldı. Ne var ki, saldırgan kullanıcıların seed ifadelerine, özel anahtarlarına ve ödeme verilerine erişemedi.
Keystone'in iç politikasına göre, müşteri verileri 180 gün içinde silinmelidir, ancak şirket temsilcileri, büyük ölçekli silme aracı hatalı çalışmıştır diye savunuyor. Şirket, ihlal edilen verilerin zamanında silinmediğini kabul etti. Hacker, adlar, iletişim bilgileri ve teslimat adreslerini de içeren 12.873 tamamlanmamış sipariş kaydına erişti.
20 Ekim'e kadar teslim edilen cihazlar, kimlik doğrulama testini geçerse, kullanıma uygun olarak kabul edilecektir. 20 Ekim'den sonra eski anahtara sahip cüzdan alan müşterilere, ek doğrulama için destek ekibine başvurmaları önerilir. Cihaz kimlik doğrulamasını geçse bile, bunun sahte olma olasılığı tamamen dışlanamaz.
Şirket, cüzdan sahiplerinden cihazları geri göndermelerini istemeyeceğini duyurdu. Cüzdanı değiştirmek için gönderim talep eden herkes dolandırıcı olarak ilan edilmiştir.
Daha önce diğer büyük bir donanımsal kripto cüzdan üreticisi Ledger tanıdı ki bir hacker grubu özel olarak cihazları satın almıştı. Suçlular cüzdanları açıp seed ifadelerini yakalamak için gizli modüller kurdu. Espiyaj modüllü cüzdanlar ortaya çıktı hatta Rus pazar yerinde Ozon.