Der Hardware-Wallet-Hersteller Keystone teilte mit, dass ein Angreifer, der vergangene Woche in seine Website eingedrungen war, auch einen Schlüssel gestohlen habe, mit dem die Echtheit seiner Geräte überprüft wird. Dadurch weite sich der Umfang eines Vorfalls aus, der zunächst als Datenleck mit Kundendaten offengelegt worden war.
In einer Erklärung am Montag teilte Keystone mit, dass der gestohlene Authentifizierungsschlüssel Angreifern ermöglichen könnte, gefälschte Wallets herzustellen, die die Echtheitsprüfungen des Unternehmens bestehen.
„Diese Geräte könnten dann an Kunden verkauft oder verschickt werden, die sie unwissentlich als echte Produkte verwenden könnten, was möglicherweise zum Diebstahl von Vermögenswerten führen könnte“, teilte Keystone mit.
Der Vorfall reiht sich in eine Serie von Angriffen in diesem Jahr auf Hersteller von Hardware-Wallets ein.
Anfang dieses Monats bat Ledger Wiederverkäufer in Südostasien und Hongkong, den Verkauf auszusetzen, nachdem Berichte auftauchten, wonach in der Region verkaufte Geräte nicht autorisierte Implantate enthielten, die in der Lage waren, Wiederherstellungsphrasen zu erfassen.
Ende Juli gab der Coldcard-Hersteller Coinkite eine Warnung an Nutzer heraus, nachdem Angreifer einen Fehler ausnutzten, der dazu führte, dass seine Geräte Wallet-Seeds mit weniger Entropie als beabsichtigt erzeugten, was zum Diebstahl von Kryptowährungen im Wert von Millionen Dollar führte.
Keystone will mehr als 18.000 Geräte mit altem Schlüssel vernichten
In seinem neuesten Update erklärte Keystone, dass der Angreifer eine Schwachstelle in einem Drittanbieter-Überwachungstool ausnutzte, das von seiner Website verwendet wird, um seine Rechte zu erweitern.
„Dadurch konnte der Angreifer einige Kundeninformationen und einen Schlüssel erhalten, der zur Überprüfung der Echtheit unserer Geräte verwendet wird.“
Keystone sagte, es plane, 18.835 Geräte in seinem Bestand zu vernichten, die den kompromittierten Schlüssel enthalten, und habe die Auslieferung aller Geräte, die diesen verwenden, ausgesetzt.
Das Unternehmen sagte, die Auslieferungen würden wieder aufgenommen, sobald es mit der Produktion von Geräten mit einem neuen Authentifizierungsschlüssel beginne.
Keystone sagte, dass vor dem Vorfall vom 20. Okt. hergestellte und ausgelieferte Geräte als sicher betrachtet werden sollten und dass ihre Echtheitsprüfungen weiterhin vertrauenswürdig seien.
Es konnte jedoch die Echtheit von Geräten, die nach diesem Datum ausgeliefert wurden, nicht garantieren, und forderte betroffene Kunden auf, sich für eine zusätzliche Überprüfung an das Support-Team zu wenden.
Keystone bestätigt 25.964 geleakte Käuferdatensätze
Keystone legte außerdem das Ausmaß des Kunden-Datenlecks offen und sagte, dass sein Shopify-Store auf der Website 51.083 Käuferdatensätze erzeugt habe.
Davon wurden 25.119 gemäß seiner 180-Tage-Datenspeicherungsrichtlinie gelöscht.
Die verbleibenden 25.964 Datensätze aus den Jahren 2024 bis 2026 wurden jedoch vom Angreifer gestohlen. Keystone sagte, die älteren Einträge seien nicht gelöscht worden, weil sein automatisiertes Tool zur Bearbeitung der Massenlöschung von Daten versagt habe.
„Das Tool arbeitete nicht zuverlässig. Einige Löschaufträge schlugen fehl, und wir haben diese Fehler nicht rechtzeitig erkannt und behoben, sodass bestimmte personenbezogene Informationen über den zulässigen Zeitraum hinaus aufbewahrt wurden“, sagte Keystone.
Außerdem gelang es dem Angreifer, weitere 12.873 Checkout-Datensätze von Kunden zu stehlen, die bei Shopify gespeichert waren — Informationen aus Käufen, die nicht abgeschlossen worden waren.
Keystone sagte, es habe Shopify kontaktiert und um die Löschung personenbezogener Informationen in Checkout-Datensätzen gebeten, die länger als 30 Tage gespeichert worden seien.
Der Vorfall erinnert an einen Datenverstoß bei Ledger im Juni 2020, durch den mehr als 1 Million E-Mail-Adressen sowie Kundennamen, Telefonnummern und physische Adressen offengelegt wurden. Die geleakten Informationen befeuerten jahrelange Phishing-Versuche gegen betroffene Nutzer.
Auch andere Hersteller von Hardware-Wallets haben in diesem Jahr Verstöße erlitten, bei denen Kundeninformationen und Drittanbieterdienste betroffen waren.
Im August gab Trezor einen Vorfall bei seinem Versandpartner bekannt, durch den Kundeninformationen offengelegt wurden; die Zahl der betroffenen Nutzer stieg im September auf mehr als 80.000.
SafePal meldete im August ebenfalls eine Schwachstelle bei der Sendungsverfolgung, durch die Daten von nahezu 40.000 Kunden offengelegt wurden, während BitBox im September Ziel einer Phishing-Kampagne war, an der ein kompromittierter E-Mail-Dienstanbieter eines Drittanbieters beteiligt war.
Magazin: 5 Alternativen zu Ledger, um Ihr Bitcoin aufzubewahren