نعم، أصبح بالإمكان تمرير محفظة مزيفة على أنها أصلية، وهذا بالضبط سبب إتلاف Keystone عدد 18,835 جهازًا بدلًا من بيعها. لم يسرق الهجوم أموال المستخدمين مباشرةً، بل سرق مفتاح WebAuth الذي تدمجه Keystone في كل جهاز داخل المصنع لإثبات أصالته. ولا يمكن محو هذا المفتاح أو استبداله بعد تثبيته. وكان بإمكان أي شخص يملك نسخة منه تصنيع محافظ Keystone مزيفة تجتاز بنجاح فحص التحقق عبر الإنترنت الخاص بـ Keystone. كان المشتري سيصل جهازًا مزيفًا، ويُجري الفحص، ويراه يجتاز التحقق، فيفترض أنه آمن. والجزء الأهم هو إرشادات Keystone. فالأجهزة التي سُلّمت قبل 20 أكتوبر سليمة إذا اجتازت المصادقة. أما الأجهزة التي استُلمت بعد 20 أكتوبر وما زالت تحمل المفتاح القديم، فتقول Keystone إنها لا تستطيع استبعاد احتمال كونها مزيفة تمامًا، حتى لو اجتازت الفحص. ويتعين على مالكي هذه الأجهزة التواصل مع دعم Keystone لإجراء تحقق إضافي قبل استخدامها. وقع الاختراق بسبب ثغرة أمنية في أداة مراقبة تابعة لجهة خارجية في متجر Keystone على Shopify. وكشفت الثغرة سجلات 25,964 مشتريًا في الفترة من 2024 إلى 2026، بما في ذلك الأسماء وبيانات الاتصال وعناوين الشحن. وأقرت Keystone أيضًا بأن أداة حذف البيانات الآلية لديها كانت تتعطل بصمت، ما أدى إلى الاحتفاظ ببعض السجلات بعد انقضاء المهلة الموعودة، وهي 180 يومًا. وتخفض الشركة مدة الاحتفاظ إلى 90 يومًا، وتتوقع إتمام عمليات الحذف المتأخرة بحلول 3 نوفمبر.