Dieser Vorfallbericht von Keystone sollte von allen Nutzern von Hardware-Wallets aufmerksam gelesen werden: Wirklich gefährlich ist nicht nur, ob die Seed-Phrase online gelangt, sondern auch, dass der Validierungsschlüssel, der die Echtheit eines Geräts „beweist“, möglicherweise kopiert wurde.
Angreifer nutzten eine Sicherheitslücke in einem Drittanbieter-Tool zur Datenüberwachung auf der offiziellen Keystone-Website aus, um ihre Zugriffsrechte zu erweitern. Sie erlangten Zugriff auf Informationen einiger Kunden sowie auf den WebAuth-Schlüssel, mit dem die Echtheit der Geräte überprüft wird. Theoretisch könnten Angreifer gefälschte Geräte herstellen, die die offizielle Prüfung bestehen.
Keystone hat die Produktion mit dem alten Schlüssel eingestellt und wird die 18.835 Geräte mit altem Schlüssel, die sich noch auf Lager befinden, vernichten. Außerdem wurden noch nicht versandte Bestellungen auf der offiziellen Website ausgesetzt und auf Vorbestellungen umgestellt. Geräte, die vor dem 20. Oktober eingegangen sind und die Prüfung bestanden haben, können normal verwendet werden. Bei Geräten mit altem Schlüssel, die nach dem 20. Oktober eingegangen sind, muss auch nach bestandener Prüfung der Kundendienst für eine zusätzliche Überprüfung kontaktiert werden. Der Hersteller wird Nutzer weder auffordern, ihre Geräte zurückzusenden, noch nach ihrer Seed-Phrase fragen.
Die gute Nachricht: Seed-Phrasen, private Schlüssel und Zahlungsinformationen wurden nicht offengelegt. Erfasst wurden jedoch Namen, Kontaktdaten, Lieferadressen und Bestelldetails. Betroffen sind 25.964 Shopify-Käufe, die noch personenbezogene Daten enthielten, sowie 12.873 nicht abgeschlossene Zahlungsvorgänge. Nutzer sollten sich als Nächstes besonders vor gezielten Phishing-Angriffen durch Betrüger in Acht nehmen, die sich als Kundendienst, Kundendienst nach dem Kauf oder Lieferdienst ausgeben.
Hardware-Wallets können offline sein, doch die Websites der Marken, Skripte von Drittanbietern und Lieferketten sind es nicht. Sicherheit beginnt nicht erst in dem Moment, in dem ein Gerät mit Strom versorgt wird.
#Keystone #硬件钱包 #Cybersicherheit
Angreifer nutzten eine Sicherheitslücke in einem Drittanbieter-Tool zur Datenüberwachung auf der offiziellen Keystone-Website aus, um ihre Zugriffsrechte zu erweitern. Sie erlangten Zugriff auf Informationen einiger Kunden sowie auf den WebAuth-Schlüssel, mit dem die Echtheit der Geräte überprüft wird. Theoretisch könnten Angreifer gefälschte Geräte herstellen, die die offizielle Prüfung bestehen.
Keystone hat die Produktion mit dem alten Schlüssel eingestellt und wird die 18.835 Geräte mit altem Schlüssel, die sich noch auf Lager befinden, vernichten. Außerdem wurden noch nicht versandte Bestellungen auf der offiziellen Website ausgesetzt und auf Vorbestellungen umgestellt. Geräte, die vor dem 20. Oktober eingegangen sind und die Prüfung bestanden haben, können normal verwendet werden. Bei Geräten mit altem Schlüssel, die nach dem 20. Oktober eingegangen sind, muss auch nach bestandener Prüfung der Kundendienst für eine zusätzliche Überprüfung kontaktiert werden. Der Hersteller wird Nutzer weder auffordern, ihre Geräte zurückzusenden, noch nach ihrer Seed-Phrase fragen.
Die gute Nachricht: Seed-Phrasen, private Schlüssel und Zahlungsinformationen wurden nicht offengelegt. Erfasst wurden jedoch Namen, Kontaktdaten, Lieferadressen und Bestelldetails. Betroffen sind 25.964 Shopify-Käufe, die noch personenbezogene Daten enthielten, sowie 12.873 nicht abgeschlossene Zahlungsvorgänge. Nutzer sollten sich als Nächstes besonders vor gezielten Phishing-Angriffen durch Betrüger in Acht nehmen, die sich als Kundendienst, Kundendienst nach dem Kauf oder Lieferdienst ausgeben.
Hardware-Wallets können offline sein, doch die Websites der Marken, Skripte von Drittanbietern und Lieferketten sind es nicht. Sicherheit beginnt nicht erst in dem Moment, in dem ein Gerät mit Strom versorgt wird.
#Keystone #硬件钱包 #Cybersicherheit