В аппаратный кошелёк Keystone пробрались через официальный сайт. Похищены не только данные покупателей, но и ключ, с помощью которого проверяют подлинность устройств.
　
Вчера в 22:00 по пекинскому времени Keystone опубликовала на X дополнительное объявление. 20 октября злоумышленники воспользовались уязвимостью в стороннем инструменте мониторинга данных и проникли на официальный сайт. Они похитили 25 964 записи о покупателях: имена, контактные данные, адреса доставки и сведения о заказах. В первом сообщении, опубликованном в субботу, упоминалось только это. Теперь добавилось ещё одно: похищен также ключ WebAuth, жёстко заданный на устройстве ещё на заводе.
　
Этот ключ никак не связан с сид-фразой, приватными ключами или подписями — он нужен только для проверки на официальном сайте, подлинное ли устройство. Но теперь, имея его, можно пройти проверку и на поддельном устройстве.
　
Keystone заявила, что уничтожит все 18 835 устройств со старым ключом на складе. Заказы, которые ещё не отправили с официального сайта, приостановлены — вместо них будет предзаказ. Решение жёсткое, но ключ нельзя ни стереть, ни заменить, так что, на мой взгляд, эту партию иначе как уничтожить и не продать.
　
Официальная позиция такая: устройства, полученные до 20 октября и прошедшие проверку, можно использовать как обычно. Если вы получили устройство после 20 октября, даже если оно прошло проверку, обратитесь в службу поддержки, чтобы перепроверить его. Компания не проводит отзыв устройств; все, кто просит отправить им устройство обратно, — мошенники.
　
На данный момент Keystone не сообщала об обнаружении поддельных устройств.
　
#Keystone #ХакерскаяАтака