Keystone, produttore di wallet hardware per criptovalute, ha comunicato il 26 ottobre una violazione dei propri sistemi avvenuta il 20 ottobre: gli attaccanti hanno sottratto la chiave usata per verificare l’autenticità dei dispositivi e hanno avuto accesso ai dati personali legati a 25.964 ordini. La violazione Keystone ha spinto l’azienda a distruggere 18.835 dispositivi in magazzino e a sospendere le spedizioni.
Cosa è successo nella violazione Keystone
Secondo l’annuncio di sicurezza pubblicato dall’azienda, gli attaccanti hanno ottenuto un accesso non autorizzato al sito ufficiale sfruttando una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti. Keystone afferma di aver bloccato l’accesso e disattivato le funzioni sensibili del sito lo stesso 20 ottobre, per poi correggere la falla e avviare un’indagine forense.
L’azienda ha dichiarato di aver già inviato segnalazioni alle autorità di regolamentazione e alle forze dell’ordine nell’Unione Europea, nel Regno Unito e in altre giurisdizioni, e ha annunciato una verifica di sicurezza su controlli di accesso ai dati, gestione delle chiavi di autenticazione e procedure di cancellazione.
La chiave WebAuth e il rischio di dispositivi contraffatti
La chiave sottratta, chiamata WebAuth, viene inserita nei wallet durante la produzione e serve quando l’utente controlla l’autenticità del dispositivo tramite il sito ufficiale. Una volta installata non può essere cancellata né riscritta. Non ha alcun ruolo nella generazione della frase di recupero, nella derivazione delle chiavi private o nella firma delle transazioni.
Il problema riguarda quindi la verifica di autenticità: chi possiede la chiave potrebbe in teoria produrre dispositivi contraffatti in grado di superare il controllo ufficiale. Per questo Keystone ha smesso di usare la vecchia chiave in produzione, distruggerà i 18.835 dispositivi in magazzino che la contengono e ha sospeso la spedizione degli ordini non ancora evasi effettuati sul sito. Le vendite proseguiranno in preordine finché non saranno pronti i nuovi dispositivi.
Quali dati personali sono stati esposti
L’indagine ha individuato 51.083 record di acquisto legati al negozio ufficiale su Shopify, ma i dati personali di 25.119 di questi erano già stati cancellati prima dell’attacco. I restanti 25.964 record contengono nomi, contatti, indirizzi di spedizione e dettagli degli ordini effettuati tra il 2024 e il 2026. A questi si aggiungono 12.873 record di checkout incompleti, con dati inseriti da clienti che non hanno concluso il pagamento.
Secondo Keystone non sono stati compromessi frasi di recupero, chiavi private, credenziali dei wallet, dati bancari o numeri di documenti d’identità. L’azienda ha ammesso che uno strumento automatico di cancellazione non aveva rimosso alcuni dati entro il limite previsto di 180 giorni: il periodo di conservazione è stato ridotto a 90 giorni e le richieste di cancellazione inviate a Shopify il 24 ottobre dovrebbero completarsi entro il 3 novembre. I clienti coinvolti riceveranno una email individuale ed è prevista una pagina per verificare se i propri dati sono stati esposti.
Cosa fare se si possiede un wallet Keystone
- Secondo l’azienda non è necessario spostare i fondi: la chiave sottratta non dà accesso a frasi di recupero o chiavi private.
- I dispositivi ricevuti prima del 20 ottobre restano utilizzabili se superano la verifica di autenticità sulla pagina ufficiale.
- Chi ha ricevuto un dispositivo dopo il 20 ottobre con la vecchia chiave dovrebbe contattare l’assistenza per una verifica aggiuntiva prima di usarlo.
- Keystone non chiederà la restituzione dei dispositivi: qualsiasi richiesta di richiamo va considerata una truffa.
- Diffidare di email, messaggi o telefonate che propongono migrazione del wallet, verifica degli asset o assistenza nelle indagini, e non condividere mai la frase di recupero.
- Acquistare wallet hardware solo dai canali ufficiali del produttore o da rivenditori autorizzati.
I dati di contatto e gli indirizzi sottratti possono alimentare campagne mirate, come accaduto con le email di phishing ai clienti di Foundation Passport. Per altri casi recenti che coinvolgono il mondo crypto si veda anche la perdita di 16 milioni di USDT di CoinDCX e l’approfondimento sulle truffe sui rimborsi delle gas fee.
Fonti: crypto.news, The Crypto Times, The Defiant, KuCoin News.
