Keystone, fabricante de billeteras de hardware, afirmó que un atacante que vulneró su sitio web la semana pasada también robó una clave utilizada para verificar la autenticidad de sus dispositivos, ampliando el alcance de un incidente que inicialmente se había dado a conocer como una filtración de datos de clientes.
En un comunicado publicado el lunes, Keystone afirmó que la clave de autenticación robada podría permitir a los atacantes fabricar billeteras falsificadas que superen sus controles de autenticidad.
«Estos dispositivos podrían venderse o enviarse a clientes, quienes quizá los usarían sin saberlo como si fueran productos genuinos, lo que podría provocar el robo de activos», afirmó Keystone.
El incidente se suma a una serie de ataques dirigidos este año contra fabricantes de billeteras físicas.
A principios de este mes, Ledger pidió a los distribuidores del sudeste asiático y Hong Kong que suspendieran las ventas tras recibir informes de que algunos dispositivos vendidos en la región contenían implantes no autorizados capaces de capturar frases de recuperación.
A finales de julio, Coinkite, fabricante de Coldcard, advirtió a sus usuarios después de que unos atacantes aprovecharan un error que hacía que sus dispositivos generaran semillas de billetera con menos entropía de la prevista, lo que provocó el robo de millones de dólares en criptomonedas.
Keystone destruirá más de 18.000 dispositivos con una clave antigua
En su última actualización, Keystone afirmó que el atacante aprovechó una vulnerabilidad en una herramienta de supervisión de terceros utilizada por su sitio web para elevar sus privilegios.
«Esto permitió al atacante obtener algunos datos de clientes y una clave utilizada para verificar la autenticidad de nuestros dispositivos».
Keystone afirmó que planea destruir los 18.835 dispositivos de su inventario que contienen la clave comprometida y que ha suspendido los envíos de producción de todos los dispositivos que la utilizan.
La empresa afirmó que reanudaría los envíos cuando empezara a producir dispositivos con una nueva clave de autenticación.
Keystone afirmó que los dispositivos fabricados y entregados antes del incidente del 20 de octubre deben considerarse seguros y que sus comprobaciones de autenticidad siguen siendo fiables.
Sin embargo, no pudo garantizar la autenticidad de los dispositivos entregados después de esa fecha e instó a los clientes afectados a ponerse en contacto con su equipo de asistencia para obtener una verificación adicional.
Keystone confirma la filtración de los registros de 25.964 compradores
Keystone también reveló el alcance de la filtración de datos de clientes y afirmó que la tienda Shopify de su sitio web había generado 51.083 registros de compradores.
De ellos, 25.119 se habían eliminado conforme a su política de conservación de datos de 180 días.
Sin embargo, el atacante robó los 25.964 registros restantes, correspondientes al período de 2024 a 2026. Keystone afirmó que las entradas más antiguas no se eliminaron debido a un fallo en la herramienta automatizada que utiliza para gestionar el borrado masivo de datos.
«La herramienta no funcionaba de forma fiable. Algunas tareas de borrado fallaron y no detectamos ni solucionamos estos fallos a tiempo, lo que provocó que cierta información personal se conservara más allá del período permitido», afirmó Keystone.
Además, el atacante logró robar otros 12.873 registros de pagos de clientes que Shopify había conservado: información de compras que no se habían completado.
Keystone afirmó que se había puesto en contacto con Shopify para solicitar la eliminación de la información personal de los registros de pago conservados durante más de 30 días.
El incidente recuerda a la filtración de datos de Ledger de junio de 2020, que expuso más de un millón de direcciones de correo electrónico, así como nombres, números de teléfono y domicilios de clientes. La información filtrada alimentó durante años los intentos de phishing dirigidos contra los usuarios afectados.
Este año, otros fabricantes de billeteras físicas también han sufrido filtraciones que involucraron información de clientes y servicios de terceros.
En agosto, Trezor reveló una filtración en su socio de envíos que expuso información de clientes; en septiembre, la cifra de usuarios afectados superó los 80.000.
SafePal también informó en agosto de una vulnerabilidad en el seguimiento de pedidos que expuso datos de casi 40.000 clientes, mientras que BitBox fue objeto en septiembre de una campaña de phishing relacionada con la vulneración de un proveedor externo de correo electrónico.
Revista: 5 alternativas a Ledger para guardar tus bitcoins