A fabricante de carteiras de hardware Keystone afirmou que um invasor que violou seu site na semana passada também roubou uma chave usada para verificar a autenticidade de seus dispositivos, ampliando o alcance de um incidente inicialmente divulgado como um vazamento de dados de clientes.
Em comunicado divulgado na segunda-feira, a Keystone afirmou que a chave de autenticação roubada poderia permitir que invasores produzissem carteiras falsificadas capazes de passar por suas verificações de autenticidade.
“Esses dispositivos poderiam então ser vendidos ou enviados a clientes, que talvez os usassem sem saber que não são produtos genuínos, o que poderia resultar no roubo de ativos”, afirmou a Keystone.
O incidente se soma a uma série de ataques direcionados a fabricantes de carteiras físicas neste ano.
No início deste mês, a Ledger pediu a revendedores do Sudeste Asiático e de Hong Kong que suspendessem as vendas após relatos de que dispositivos vendidos na região continham implantes não autorizados capazes de capturar frases de recuperação.
No fim de julho, a Coinkite, fabricante da Coldcard, emitiu um alerta aos usuários depois que invasores exploraram um bug que fazia seus dispositivos gerar sementes de carteira com menos entropia do que o pretendido, resultando no roubo de milhões de dólares em criptomoedas.
Keystone destruirá mais de 18.000 dispositivos com chave antiga
Em sua atualização mais recente, a Keystone disse que o invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de terceiros usada pelo site da empresa para elevar privilégios.
“Isso permitiu que o invasor obtivesse algumas informações de clientes e uma chave usada para verificar a autenticidade de nossos dispositivos.”
A Keystone disse que planeja destruir 18.835 dispositivos de seu estoque que contêm a chave comprometida e suspendeu os envios de produção de todos os dispositivos que a utilizam.
A empresa disse que os envios serão retomados quando começar a produzir dispositivos com uma nova chave de autenticação.
A Keystone afirmou que os dispositivos fabricados e entregues antes do incidente de 20 de outubro devem ser considerados seguros e que as verificações de autenticidade continuam confiáveis.
No entanto, a empresa não pôde garantir a autenticidade dos dispositivos entregues após essa data e pediu aos clientes afetados que contatassem a equipe de suporte para obter verificação adicional.
Keystone confirma vazamento de 25.964 registros de compradores
A Keystone também revelou a dimensão da violação de dados de clientes, afirmando que a loja Shopify de seu site havia gerado 51.083 registros de compradores.
Desse total, 25.119 haviam sido excluídos de acordo com sua política de retenção de dados de 180 dias.
No entanto, os 25.964 registros restantes, que datavam de 2024 a 2026, foram roubados pelo invasor. A Keystone disse que os registros mais antigos não foram excluídos devido a uma falha em sua ferramenta automatizada usada para lidar com a exclusão em massa de dados.
“A ferramenta não funcionava de maneira confiável. Algumas tarefas de exclusão falharam, e não detectamos nem corrigimos essas falhas a tempo, o que resultou na retenção de certas informações pessoais além do período permitido”, disse a Keystone.
Além disso, o invasor conseguiu roubar outros 12.873 registros de checkout de clientes retidos pela Shopify — informações sobre compras que não foram concluídas.
A Keystone disse que entrou em contato com a Shopify para solicitar a exclusão das informações pessoais presentes nos registros de checkout retidos por mais de 30 dias.
O incidente lembra a violação de dados sofrida pela Ledger em junho de 2020, que expôs mais de 1 milhão de endereços de e-mail, além de nomes, números de telefone e endereços físicos de clientes. As informações vazadas alimentaram anos de tentativas de phishing direcionadas aos usuários afetados.
Outros fabricantes de carteiras físicas também sofreram violações envolvendo informações de clientes e serviços de terceiros neste ano.
Em agosto, a Trezor revelou uma violação na empresa parceira de entregas que expôs informações de clientes; o número de usuários afetados ultrapassou 80.000 em setembro.
A SafePal também relatou em agosto uma vulnerabilidade no rastreamento de pedidos que expôs dados de quase 40.000 clientes, enquanto a BitBox foi alvo de uma campanha de phishing em setembro envolvendo um provedor de e-mail terceirizado comprometido.
Revista: 5 alternativas à Ledger para guardar seus bitcoins