Khóa này được ghi vào ví trong quá trình sản xuất và không thể xóa hoặc ghi đè. Công ty đảm bảo rằng khóa này không được sử dụng để tạo cụm từ mật, tạo khóa riêng hoặc ký giao dịch.
Tuy nhiên, sau khi chiếm được khóa, kẻ tấn công có thể tạo ra các thiết bị giả mạo có thể vượt qua xác thực trên trang web Keystone. Nếu những thiết bị giả mạo này đến tay khách hàng, những người này nhầm tưởng chúng là sản phẩm chính hãng của Keystone, thì các khách hàng này sẽ mất tài sản tiền điện tử của mình.
Keystone hoàn toàn ngừng sử dụng khóa cũ. Tất cả các thiết bị mới sẽ được sản xuất với khóa xác thực mới. Công ty cam kết sẽ tiêu hủy 18.835 ví phần cứng trong kho chứa khóa bị xâm phạm và không đưa chúng ra bán. Keystone đã tạm dừng gửi tất cả các thiết bị chưa thanh toán được đặt qua trang web chính thức và chuyển sang chế độ đặt trước — cho đến khi sản xuất các thiết bị với khóa mới được khôi phục.
Ngày 20 tháng 10, hệ thống giám sát Keystone đã ghi nhận hoạt động khả nghi trên trang web. Một người không xác định đã khai thác lỗ hổng trong công cụ giám sát dữ liệu. Kết quả của sự cố là thông tin cá nhân của 25.964 khách hàng đã đặt hàng trên nền tảng Shopify từ năm 2024 đến 2026 bị xâm phạm. Tên, thông tin liên hệ, địa chỉ giao hàng và thông tin đơn hàng đã bị lộ công khai. May mắn thay, kẻ tấn công không có quyền truy cập vào cụm từ seed, khóa riêng và dữ liệu thanh toán của người dùng.
Theo chính sách nội bộ của Keystone, dữ liệu của khách hàng phải được xóa sau 180 ngày, tuy nhiên, công cụ tự động xóa hàng loạt đã hoạt động không chính xác, các đại diện công ty biện minh. Họ thừa nhận rằng dữ liệu bị xâm phạm đã không được xóa đúng hạn. Hacker đã có quyền truy cập vào 12.873 bản ghi về các đơn hàng chưa hoàn tất, trong đó cũng chứa tên, thông tin liên hệ và địa chỉ giao hàng.
Các thiết bị được giao trước ngày 20 tháng 10, nhà sản xuất đề nghị coi là có thể sử dụng — nếu chúng vượt qua kiểm tra xác thực. Những người mua nhận được ví với khóa cũ sau ngày 20 tháng 10 được khuyến nghị liên hệ bộ phận hỗ trợ để kiểm tra thêm. Ngay cả khi thiết bị vượt qua xác thực, vẫn không thể loại trừ khả năng đây là hàng giả.
Công ty tuyên bố sẽ không yêu cầu chủ sở hữu ví trả lại thiết bị. Bất kỳ ai yêu cầu gửi ví để thay thế đều được xác định là kẻ lừa đảo.
Trước đó, một nhà sản xuất lớn khác về ví phần cứng mã hóa, công ty Ledger đã thừa nhận rằng một nhóm tin tặc đã đặc biệt mua sắm các thiết bị này. Những kẻ xấu đã mở ví và cài đặt các module ẩn để đánh cắp câu mật khẩu seed. Các ví chứa module gián điệp đã xuất hiện ngay cả trên nền tảng thương mại điện tử Nga Ozon.