Keystone Wallet distrugge 18.835 dispositivi dopo una violazione che ha esposto una chiave di autenticazione

Incidente di Sicurezza e Distruzione dei Dispositivi

Un produttore di portafogli hardware per criptovalute ha deciso di distruggere quasi 19.000 dispositivi invenduti a seguito di una violazione del proprio sito web, che ha esposto una chiave di autenticazione del dispositivo. L'azienda ha comunicato che l'incidente è stato rilevato il 20 ottobre 2026, dopo che gli aggressori hanno sfruttato una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti.

"La nostra indagine ha rivelato che l'aggressore ha sfruttato una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti utilizzato dal nostro sito web per ottenere privilegi elevati. Questo ha permesso all'aggressore di accedere a informazioni sui clienti e a una chiave utilizzata per verificare l'autenticità dei nostri dispositivi."

Dettagli della Violazione

La violazione ha esposto 25.964 registrazioni di acquirenti contenenti informazioni personali, come nomi, dettagli di contatto, indirizzi di spedizione e dati sugli ordini dal 2024 al 2026, insieme a 12.873 registrazioni di checkout non pagate e alla chiave WebAuth utilizzata per verificare i dispositivi genuini. Fortunatamente, nessuna frase di recupero, chiavi private o informazioni di pagamento sono state compromesse.

Rischi e Misure di Sicurezza

L'azienda ha dichiarato che la chiave esposta, scritta nei dispositivi durante la produzione e impossibile da cancellare o riscrivere, potrebbe consentire la creazione di portafogli contraffatti che superano i controlli di autenticità, mettendo a rischio il furto di beni per gli utenti.

"La chiave forma la base della fiducia per il nostro meccanismo di autenticazione del dispositivo. Se viene esposta, un aggressore potrebbe usarla per produrre dispositivi contraffatti che superano i controlli di autenticità. Questi dispositivi potrebbero poi essere venduti o spediti ai clienti, che potrebbero usarli inconsapevolmente come prodotti genuini, con il potenziale risultato di furto di beni... Ci scusiamo sinceramente per questo incidente."

Azioni Intrapprese dall'Azienda

In risposta, l'azienda ha deciso di:

• Interrompere l'uso della vecchia chiave in produzione, distruggendo i 18.835 dispositivi nell'inventario esistente che la contengono.
• Sospendere le spedizioni degli ordini non ancora spediti.
• Passare a un modello di preordine fino a quando nuovi dispositivi con una chiave aggiornata non saranno pronti.
• Accorciare il periodo di conservazione dei dati da 180 giorni a 90 giorni.
• Presentare richieste di cancellazione a Shopify e segnalare l'incidente alle autorità di regolamentazione nell'UE, nel Regno Unito e altrove.

I dispositivi spediti prima del 20 ottobre 2026 rimangono validi se superano l'autenticazione. L'azienda esorta gli utenti a diffidare di truffe che affermano di offrire migrazione di beni, verifica dei portafogli o assistenza nelle indagini.

Rimanere Aggiornati

Seguici su X, Facebook e Telegram per rimanere aggiornato. Non perdere un colpo: iscriviti per ricevere avvisi via email direttamente nella tua casella di posta, coprendo il futuro della finanza, inclusi macroeconomia, bitcoin, ethereum, criptovalute e web 3.