Este aviso sobre el incidente de Keystone merece que todos los usuarios de billeteras de hardware lo lean con atención: el verdadero peligro no es solo que la frase de recuperación pueda conectarse a Internet, sino que la clave de verificación que «demuestra que el dispositivo es auténtico» podría haber sido copiada.
Los atacantes aprovecharon una vulnerabilidad en una herramienta de supervisión de datos de terceros del sitio web oficial de Keystone para elevar sus privilegios y obtener información de algunos clientes, así como claves WebAuth utilizadas para verificar la autenticidad de los dispositivos. En teoría, los atacantes podrían fabricar dispositivos falsos que superaran la verificación oficial.
Keystone ha dejado de producir dispositivos con la clave antigua, destruirá las existencias de 18,835 dispositivos con esa clave y ha pausado los pedidos del sitio web oficial que aún no se habían enviado, pasando a un modelo de preventa. Los dispositivos recibidos antes del 20 de octubre y que hayan superado la verificación pueden utilizarse con normalidad; los dispositivos con la clave antigua recibidos después del 20 de octubre, aunque superen la verificación, deberán someterse a una comprobación adicional poniéndose en contacto con el servicio de atención al cliente. La empresa no pedirá a los usuarios que devuelvan los dispositivos ni que faciliten su frase de recuperación.
La buena noticia es que no se filtraron las frases de recuperación, las claves privadas ni la información de pago. Sin embargo, sí se obtuvieron nombres, datos de contacto, direcciones de entrega y detalles de los pedidos: 25,964 registros de compras de Shopify que aún contenían información personal y 12,873 registros de procesos de pago sin completar. A partir de ahora, los usuarios deben estar especialmente alerta ante intentos de suplantación de identidad dirigidos y que se hagan pasar por el servicio de atención al cliente, el servicio posventa o empresas de mensajería.
Las billeteras de hardware pueden estar desconectadas, pero los sitios web oficiales de las marcas, los scripts de terceros y la cadena de suministro siempre están conectados. La seguridad nunca empieza únicamente en el momento en que se conecta el dispositivo a la corriente.
#Keystone #硬件钱包 #Ciberseguridad
Los atacantes aprovecharon una vulnerabilidad en una herramienta de supervisión de datos de terceros del sitio web oficial de Keystone para elevar sus privilegios y obtener información de algunos clientes, así como claves WebAuth utilizadas para verificar la autenticidad de los dispositivos. En teoría, los atacantes podrían fabricar dispositivos falsos que superaran la verificación oficial.
Keystone ha dejado de producir dispositivos con la clave antigua, destruirá las existencias de 18,835 dispositivos con esa clave y ha pausado los pedidos del sitio web oficial que aún no se habían enviado, pasando a un modelo de preventa. Los dispositivos recibidos antes del 20 de octubre y que hayan superado la verificación pueden utilizarse con normalidad; los dispositivos con la clave antigua recibidos después del 20 de octubre, aunque superen la verificación, deberán someterse a una comprobación adicional poniéndose en contacto con el servicio de atención al cliente. La empresa no pedirá a los usuarios que devuelvan los dispositivos ni que faciliten su frase de recuperación.
La buena noticia es que no se filtraron las frases de recuperación, las claves privadas ni la información de pago. Sin embargo, sí se obtuvieron nombres, datos de contacto, direcciones de entrega y detalles de los pedidos: 25,964 registros de compras de Shopify que aún contenían información personal y 12,873 registros de procesos de pago sin completar. A partir de ahora, los usuarios deben estar especialmente alerta ante intentos de suplantación de identidad dirigidos y que se hagan pasar por el servicio de atención al cliente, el servicio posventa o empresas de mensajería.
Las billeteras de hardware pueden estar desconectadas, pero los sitios web oficiales de las marcas, los scripts de terceros y la cadena de suministro siempre están conectados. La seguridad nunca empieza únicamente en el momento en que se conecta el dispositivo a la corriente.
#Keystone #硬件钱包 #Ciberseguridad