Цей ключ записується у гаманці на етапі виробництва, його неможливо видалити або перезаписати. Компанія підтвердила, що ключ не використовується для генерації сід-фраз, створення приватних ключів чи підпису транзакцій.
Однак, отримавши ключ, атакуючий може створити підроблені пристрої, які успішно пройдуть перевірку справжності на сайті Keystone. Якщо такі підроблені пристрої потраплять до клієнтів, які сприймуть їх як оригінальну продукцію Keystone, ці клієнти втратять свої криптоактиви.
Keystone повністю припиняє використання старого ключа. Всі нові пристрої будуть випускатися з новим ключем автентифікації. Компанія пообіцяла, що 18 835 апаратних гаманців на складі, що містять скомпрометований ключ, будуть знищені і не потраплять у продаж. Keystone призупинила відправлення всіх незаплачених пристроїв, замовлених через офіційний сайт, і перевела продажі у режим передзамовлень — до тих пір, поки не буде налагоджено виробництво пристроїв з новим ключем.
20 жовтня системи моніторингу Keystone зафіксували підозрілу активність на сайті. Невідомий використав вразливість у інструменті моніторингу даних. В результаті інциденту були скомпрометовані персональні дані 25 964 покупців, які зробили замовлення на платформі Shopify з 2024 по 2026 рік. У відкритому доступі опинилися імена, контактні дані, адреси доставки та інформація про замовлення. На щастя, зловмисник не отримав доступ до сід-фраз, приватних ключів та платіжних даних користувачів.
Згідно з внутрішньою політикою Keystone, дані покупців повинні видалятися через 180 днів, однак автоматизований інструмент для масового видалення працював неправильно, пояснюють представники компанії. Вони визнали, що скомпрометовані дані не були видалені вчасно. Хакер отримав доступ до 12 873 записів про незавершені замовлення, де також містилися імена, контактні дані та адреси доставки.
Пристрої, доставлені до 20 жовтня, виробник пропонує вважати придатними до використання — якщо вони пройдуть перевірку на автентичність. Покупцям, які отримали гаманець із старим ключем після 20 жовтня, рекомендується звернутися до служби підтримки для додаткової перевірки. Навіть якщо пристрій проходить аутентифікацію, не можна виключати ймовірність того, що це підробка.
Компанія оголосила, що не буде вимагати від власників гаманців повертати пристрої. Будь-хто, хто вимагатиме надіслати гаманець для заміни, визнаний шахраєм.
Раніше ще один великий виробник апаратних криптокошельків, компанія Ledger признала, що група хакерів спеціально закуповувала пристрої. Зловмисники розбирали кошельки та встановлювали приховані модулі для перехоплення сід-фраз. Кошельки з шпигунськими модулями з’явилися навіть на російському маркетплейсі Ozon.