A situação da Keystone se agravou após a revelação de que hackers não apenas vazaram informações de clientes, mas também roubaram uma chave que pode permitir a criação de carteiras falsas que passam pelos testes de autenticidade. A fabricante de carteiras de hardware Keystone confirmou que um atacante que invadiu seu site na semana passada conseguiu obter essa chave crucial.
Em um comunicado na segunda-feira, a Keystone alertou que essa chave de autenticação roubada poderia ser usada para produzir carteiras falsas, que poderiam ser vendidas ou enviadas a clientes desavisados, resultando em possíveis roubos de ativos. Este incidente se soma a uma série de ataques direcionados a fabricantes de carteiras de hardware neste ano.
No início deste mês, a Ledger pediu aos revendedores da região do Sudeste Asiático e Hong Kong que suspendessem as vendas após relatos de que dispositivos vendidos na região continham implantes não autorizados capazes de capturar frases de recuperação. Em julho, a Coinkite, fabricante da Coldcard, emitiu um alerta após atacantes explorarem um bug que fez com que seus dispositivos gerassem seeds de carteira com menos entropia do que o esperado, resultando no roubo de milhões de dólares em cripto.
A Keystone anunciou que planeja destruir 18.835 dispositivos em seu estoque que contêm a chave comprometida e suspendeu os envios de todos os dispositivos que a utilizam. A empresa afirmou que os envios serão retomados assim que começar a produzir dispositivos com uma nova chave de autenticação.
Além disso, a Keystone revelou que 25.964 registros de compradores foram vazados, de um total de 51.083 gerados por sua loja Shopify. Destes, 25.119 foram excluídos conforme sua política de retenção de dados de 180 dias. No entanto, os registros restantes, datados de 2024 a 2026, podem ter sido roubados pelo atacante. A Keystone explicou que as entradas mais antigas não foram excluídas devido a uma falha em sua ferramenta automatizada de exclusão em massa.
O incidente ecoa um vazamento de dados da Ledger em junho de 2020, que expôs mais de 1 milhão de endereços de e-mail, além de nomes de clientes, números de telefone e endereços físicos. As informações vazadas alimentaram anos de tentativas de phishing direcionadas a usuários afetados. Outros fabricantes de carteiras de hardware também sofreram vazamentos envolvendo informações de clientes e serviços de terceiros este ano.
