Keystone meminta pengguna memperbarui aplikasi Nexus ke versi 1.3.7 setelah serangan siber mengganggu beberapa layanan aplikasi tersebut.
Ini adalah pengungkapan keamanan ketiga yang disampaikan oleh pembuat dompet perangkat keras tersebut dalam kurun waktu sekitar dua minggu.
Serangan terhadap Nexus App dan perbaikan v1.3.7
Keystone mengumumkan di X pada Jumat, 6 November, bahwa beberapa layanan Nexus App diretas dalam serangan siber dan sejumlah pengguna tidak dapat menggunakan aplikasi tersebut selama beberapa waktu.
Perusahaan mengatakan bahwa timnya telah merespons dan memperkuat keamanan server. Setelah melakukan penyelidikan, perusahaan menulis bahwa mereka “tidak menemukan bukti bahwa aset atau informasi pribadi pengguna terdampak.”
Keystone meminta maaf atas gangguan tersebut dan mengarahkan pengguna untuk memperbarui aplikasi mereka ke v1.3.7. Keystone juga menambahkan bahwa pengguna harus memastikan aplikasi yang mereka unduh mencantumkan “Yanssie HK Limited” sebagai pengembang. Aplikasi lain yang tidak mencantumkan pengembang tersebut bukan berasal dari mereka.
Kebocoran di toko yang mengekspos 25.964 catatan pembeli
Pengungkapan pertama muncul saat Keystone mengakui bahwa penyusup telah mengakses toko online mereka yang didukung Shopify.
Akses tanpa izin terdeteksi pada 20 Oktober. Perusahaan mengonfirmasi pada 23 Oktober bahwa pihak ketiga telah mengambil data pengiriman pelanggan, dan mengumumkan informasi tersebut kepada publik pada hari berikutnya.
Catatan yang dicuri mencakup nama, detail kontak, alamat pengiriman, dan informasi pesanan, seperti perangkat yang dibeli pelanggan.
Perusahaan menyatakan bahwa kartu pembayaran, detail rekening bank, frasa pemulihan, dan kunci privat tidak terekspos.
Dilaporkan bahwa 25.964 catatan pembeli dari transaksi antara 2024 hingga 2026 termasuk di antara catatan yang dicuri. Sebagai langkah pencegahan, perusahaan juga menghitung 12.873 catatan pembayaran yang belum diselesaikan.
Alamat rumah termasuk dalam data yang bocor. Hal ini mendorong peneliti keamanan Taylor Monahan untuk mengingatkan bahwa kebocoran itu dapat membuat pemilik aset berisiko mengalami “serangan wrench”, yaitu ancaman fisik yang digunakan untuk memaksa pemilik menyerahkan kripto.
Platform keamanan kripto Certik mencatat 52 serangan semacam itu pada paruh pertama 2026. Pada tahun sebelumnya, hanya 39 insiden serupa yang tercatat.
18.835 dompet akan dimusnahkan
Beberapa hari setelah mengungkap pencurian catatan pengguna, Keystone kembali menjadi berita. Perusahaan menyatakan bahwa penyerang yang sama dengan pelaku serangan pertama juga telah mengambil kunci WebAuth yang digunakan perangkatnya untuk membuktikan keasliannya.
Penyerang dilaporkan mengeksploitasi celah pada alat pemantauan pihak ketiga di situs web untuk meningkatkan hak akses, lalu mengambil data pelanggan dan kunci tersebut.
Masalah utamanya adalah kunci tersebut ditanamkan secara permanen pada setiap perangkat selama proses produksi dan tidak dapat ditulis ulang.
Siapa pun yang memiliki kunci itu dapat membuat perangkat palsu yang lolos pemeriksaan keaslian Keystone. Keystone memutuskan untuk memusnahkan seluruh 18.835 unit tak terjual yang menggunakan kunci yang telah disusupi.
Perusahaan menyatakan bahwa dompet yang dikirim sebelum 20 Oktober dan lolos pemeriksaan adalah asli. Untuk unit berkunci lama yang diterima setelah tanggal tersebut, perusahaan “tidak dapat sepenuhnya mengesampingkan kemungkinan bahwa perangkat itu palsu” dan meminta pemiliknya menghubungi dukungan sebelum menggunakannya.
Sejauh ini, perusahaan belum melaporkan adanya perangkat palsu atau pencurian.
Masa penyimpanan dipangkas menjadi 90 hari setelah alat penghapusan gagal
Keystone sebelumnya menyatakan bahwa data pengiriman akan dihapus 180 hari setelah pemesanan. Namun, pelanggan melaporkan menerima pemberitahuan kebocoran untuk pembelian yang dilakukan lebih dari dua tahun lalu.
Alat penghapusan otomatis perusahaan gagal berfungsi sehingga catatan lama tetap tersimpan.
Akibatnya, Keystone kemudian memangkas masa penyimpanan datanya menjadi 90 hari. Perusahaan juga meminta Shopify menghapus data pribadi yang lebih lama dari itu. Catatan yang seharusnya sudah dihapus diperkirakan akan lenyap paling lambat 3 November.
Pesaingnya, OneKey, juga membatasi masa penyimpanan datanya sendiri hingga 30 hari setelah insiden Keystone.
Banyak proyek kripto menghadapi tahun yang berat pada 2026 dalam hal serangan siber. Penyedia dompet perangkat keras pun tak luput dari serangan.
Pada Agustus, kebocoran data yang berdampak pada ShipMonk, salah satu mitra logistik Trezor, memengaruhi sekitar 81.000 pelanggan.
SafePal mengekspos data sekitar 39.798 orang akibat celah pada fitur pelacakan pesanan, sementara Ledger menemukan chip tersembunyi di perangkat yang dijual kembali. Para peneliti on-chain mengaitkan chip tersebut dengan kerugian lebih dari $86 juta.
Jangan hanya membaca berita kripto. Pahami isinya. Berlanggananlah buletin kami. Gratis.