Produsen dompet perangkat keras Keystone mengatakan bahwa penyerang yang membobol situs webnya pekan lalu juga mencuri kunci yang digunakan untuk memverifikasi keaslian perangkatnya, sehingga memperluas cakupan insiden yang awalnya diungkapkan sebagai kebocoran data pelanggan.
Dalam pernyataan pada Senin, Keystone mengatakan bahwa kunci autentikasi yang dicuri dapat memungkinkan penyerang membuat dompet palsu yang lolos pemeriksaan keaslian.
“Perangkat tersebut kemudian dapat dijual atau dikirim kepada pelanggan, yang mungkin tanpa sadar menggunakannya sebagai produk asli, sehingga berpotensi mengakibatkan pencurian aset,” kata Keystone.
Insiden ini menambah rangkaian serangan yang menargetkan produsen dompet perangkat keras tahun ini.
Awal bulan ini, Ledger meminta para penjual kembali di seluruh Asia Tenggara dan Hong Kong untuk menghentikan penjualan setelah muncul laporan bahwa perangkat yang dijual di kawasan tersebut berisi implan tanpa izin yang mampu menangkap frasa pemulihan.
Pada akhir Juli, Coinkite, produsen Coldcard, mengeluarkan peringatan kepada pengguna setelah para penyerang mengeksploitasi bug yang menyebabkan perangkatnya membuat seed dompet dengan entropi lebih rendah dari yang seharusnya, sehingga mengakibatkan pencurian kripto senilai jutaan dolar.
Keystone akan memusnahkan lebih dari 18.000 perangkat dengan kunci lama
Dalam pembaruan terbarunya, Keystone mengatakan bahwa penyerang mengeksploitasi kerentanan pada alat pemantauan pihak ketiga yang digunakan situs webnya untuk meningkatkan hak akses.
“Hal ini memungkinkan penyerang memperoleh sebagian informasi pelanggan dan sebuah kunci yang digunakan untuk memverifikasi keaslian perangkat kami.”
Keystone mengatakan berencana memusnahkan 18.835 perangkat dalam inventarisnya yang berisi kunci yang telah disusupi dan telah menghentikan pengiriman produksi semua perangkat yang menggunakan kunci tersebut.
Perusahaan mengatakan pengiriman akan dilanjutkan setelah mulai memproduksi perangkat dengan kunci autentikasi baru.
Keystone mengatakan perangkat yang diproduksi dan dikirim sebelum insiden 20 Oktober seharusnya dianggap aman dan pemeriksaan keasliannya tetap dapat dipercaya.
Namun, perusahaan tidak dapat menjamin keaslian perangkat yang dikirim setelah tanggal tersebut dan mendesak pelanggan yang terdampak untuk menghubungi tim dukungannya guna melakukan verifikasi tambahan.
Keystone mengonfirmasi kebocoran 25.964 data pembeli
Keystone juga mengungkapkan skala kebocoran data pelanggan tersebut. Perusahaan mengatakan toko Shopify di situs webnya telah menghasilkan 51.083 data pembeli.
Dari jumlah tersebut, 25.119 data telah dihapus sesuai kebijakan penyimpanan data selama 180 hari.
Namun, 25.964 data lainnya dari tahun 2024 hingga 2026 dicuri oleh penyerang. Keystone mengatakan data lama tersebut tidak dihapus karena kegagalan alat otomatis yang digunakan untuk menghapus data dalam jumlah besar.
“Alat tersebut tidak beroperasi secara andal. Beberapa tugas penghapusan gagal, dan kami tidak mendeteksi serta menangani kegagalan ini tepat waktu, sehingga informasi pribadi tertentu tersimpan melampaui jangka waktu yang diizinkan,” kata Keystone.
Selain itu, penyerang berhasil mencuri 12.873 data pembayaran pelanggan lainnya yang disimpan oleh Shopify—informasi dari pembelian yang belum diselesaikan.
Keystone mengatakan telah menghubungi Shopify untuk meminta penghapusan informasi pribadi dalam data pembayaran yang telah disimpan lebih dari 30 hari.
Insiden ini mengingatkan pada kebocoran data di Ledger pada Juni 2020 yang mengekspos lebih dari 1 juta alamat email, serta nama, nomor telepon, dan alamat fisik pelanggan. Informasi yang bocor tersebut memicu upaya phishing selama bertahun-tahun yang menargetkan pengguna terdampak.
Produsen dompet perangkat keras lainnya juga mengalami kebocoran yang melibatkan informasi pelanggan dan layanan pihak ketiga tahun ini.
Pada Agustus, Trezor mengungkapkan kebocoran di mitra pengirimannya yang mengekspos informasi pelanggan. Jumlah pengguna terdampak meningkat menjadi lebih dari 80.000 pada September.
SafePal juga melaporkan kerentanan pelacakan pesanan pada Agustus yang mengekspos data milik hampir 40.000 pelanggan, sementara BitBox menjadi sasaran kampanye phishing pada September yang melibatkan penyedia email pihak ketiga yang telah disusupi.
Majalah: 5 alternatif Ledger untuk menyimpan Bitcoin Anda