Este comunicado de incidente da Keystone merece ser lido com atenção por todos os usuários de carteiras de hardware: o verdadeiro perigo não é apenas saber se a frase de recuperação foi exposta à internet, mas também que a chave de verificação usada para “provar que o dispositivo é genuíno” pode ter sido copiada.
Os invasores exploraram uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros no site oficial da Keystone para elevar seus privilégios e obter informações de alguns clientes, além de chaves WebAuth usadas para verificar a autenticidade dos dispositivos. Em tese, os invasores poderiam fabricar dispositivos falsificados capazes de passar pela verificação oficial.
A Keystone interrompeu a produção com as chaves antigas, destruirá o estoque de 18,835 dispositivos com essas chaves e suspendeu os pedidos do site oficial que ainda não haviam sido enviados, passando a operar em regime de pré-venda. Os dispositivos recebidos até 20 de outubro e aprovados na verificação podem ser usados normalmente; os dispositivos com chaves antigas recebidos após 20 de outubro, mesmo que sejam aprovados na verificação, precisam passar por uma análise adicional com o atendimento ao cliente. A empresa não pedirá que os usuários devolvam os dispositivos, nem solicitará suas frases de recuperação.
A boa notícia é que as frases de recuperação, as chaves privadas e as informações de pagamento não foram expostas. No entanto, foram obtidos nomes, dados de contato, endereços de entrega e detalhes dos pedidos, incluindo 25,964 registros de compras da Shopify que ainda continham informações pessoais e 12,873 registros de finalização de compra não concluída. Daqui em diante, os usuários devem ficar especialmente atentos a tentativas direcionadas de phishing por pessoas que se passam pelo atendimento ao cliente, pelo suporte pós-venda ou por empresas de logística.
Uma carteira de hardware pode ficar offline, mas os sites oficiais das marcas, os scripts de terceiros e a cadeia de suprimentos permanecem sempre conectados. A segurança nunca começa apenas no momento em que o dispositivo é ligado.
#Keystone #硬件钱包 #SegurançaCibernética
Os invasores exploraram uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros no site oficial da Keystone para elevar seus privilégios e obter informações de alguns clientes, além de chaves WebAuth usadas para verificar a autenticidade dos dispositivos. Em tese, os invasores poderiam fabricar dispositivos falsificados capazes de passar pela verificação oficial.
A Keystone interrompeu a produção com as chaves antigas, destruirá o estoque de 18,835 dispositivos com essas chaves e suspendeu os pedidos do site oficial que ainda não haviam sido enviados, passando a operar em regime de pré-venda. Os dispositivos recebidos até 20 de outubro e aprovados na verificação podem ser usados normalmente; os dispositivos com chaves antigas recebidos após 20 de outubro, mesmo que sejam aprovados na verificação, precisam passar por uma análise adicional com o atendimento ao cliente. A empresa não pedirá que os usuários devolvam os dispositivos, nem solicitará suas frases de recuperação.
A boa notícia é que as frases de recuperação, as chaves privadas e as informações de pagamento não foram expostas. No entanto, foram obtidos nomes, dados de contato, endereços de entrega e detalhes dos pedidos, incluindo 25,964 registros de compras da Shopify que ainda continham informações pessoais e 12,873 registros de finalização de compra não concluída. Daqui em diante, os usuários devem ficar especialmente atentos a tentativas direcionadas de phishing por pessoas que se passam pelo atendimento ao cliente, pelo suporte pós-venda ou por empresas de logística.
Uma carteira de hardware pode ficar offline, mas os sites oficiais das marcas, os scripts de terceiros e a cadeia de suprimentos permanecem sempre conectados. A segurança nunca começa apenas no momento em que o dispositivo é ligado.
#Keystone #硬件钱包 #SegurançaCibernética