Der Hardware-Wallet-Hersteller Keystone hat bestätigt, dass Hacker einen Geräteauthentifizierungsschlüssel gestohlen und persönliche Informationen von 25.964 Kunden offengelegt haben, was das Unternehmen dazu zwang, 18.835 Geräte zu zerstören und den Versand auszusetzen.
Zusammenfassung
- Keystone bestätigte, dass Hacker auf persönliche Informationen zu 25.964 Kundendatensätzen zugegriffen und einen Geräteauthentifizierungsschlüssel gestohlen haben.
- Das Unternehmen wird 18.835 Hardware-Wallets aus dem bestehenden Bestand zerstören, da der gestohlene Schlüssel es Fälschungen ermöglichen könnte, Authentifizierungsprüfungen zu bestehen.
- Keystone hat den Versand ausgesetzt und auf Vorbestellungen umgestellt, bis neue Geräte mit einem Ersatz-Authentifizierungsschlüssel bereit sind.
- Das Unternehmen erklärte, dass Wiederherstellungsphrasen und private Schlüssel nicht kompromittiert wurden, während Kunden, die Geräte nach dem 20. Oktober erhalten, möglicherweise eine zusätzliche Verifizierung benötigen.
Laut der Sicherheitsankündigung des Unternehmens vom 26. Oktober erlangten Angreifer am 20. Oktober unbefugten Zugriff auf die offizielle Website, indem sie eine Schwachstelle in einem Datenüberwachungstool eines Drittanbieters ausnutzten, wodurch sie Kundendatensätze und den Schlüssel zur Überprüfung der Echtheit von Keystone-Geräten erlangten.
Das Unternehmen erklärte, dass Wiederherstellungsphrasen, private Schlüssel, Wallet-Anmeldedaten, Bankinformationen und staatliche Identifikationsnummern nicht kompromittiert wurden. Der gestohlene Authentifizierungsschlüssel könnte es Angreifern jedoch ermöglichen, gefälschte Geräte herzustellen, die die offiziellen Echtheitsprüfungen von Keystone bestehen.
Keystone hat die Verwendung des kompromittierten Schlüssels in der Fertigung eingestellt und wird ihn durch einen neuen ersetzen. Der bestehende Bestand mit dem alten Schlüssel wird zerstört, während ausstehende Bestellungen auf Eis gelegt bleiben, bis Ersatzgeräte bereit sind.
Verletzung des Keystone-Authentifizierungsschlüssels erzwingt Gerätezerstörung
Der gestohlene Berechtigungsnachweis, bekannt als WebAuth-Schlüssel, wird während der Fertigung in Keystone-Hardware-Wallets eingebettet und verwendet, wenn Kunden ihre Geräte über die Authentifizierungswebsite des Unternehmens überprüfen.
Keystone erklärte, dass der Schlüssel nach der Installation nicht gelöscht oder überschrieben werden kann. Obwohl er keine Rolle bei der Erzeugung von Wiederherstellungsphrasen, der Ableitung privater Schlüssel oder der Signierung von Transaktionen spielt, schafft seine Offenlegung ein Problem mit dem Geräteverifizierungsprozess des Unternehmens.
Angreifer, die im Besitz des Schlüssels sind, könnten potenziell gefälschte Wallets herstellen, die die Authentifizierungsprüfungen bestehen können, mit denen Kunden normalerweise bestätigen, ob ihre Geräte legitim sind.
Als Vorsichtsmaßnahme wird Keystone alle 18.835 Geräte im aktuellen Bestand zerstören, die den kompromittierten Schlüssel enthalten. Die Produktion wurde auf einen Ersatz-Authentifizierungsschlüssel umgestellt, und das Unternehmen hat den Versand nicht erfüllter Bestellungen, die über seine Website aufgegeben wurden, ausgesetzt.
Der Verkauf wird über ein Vorbestellmodell fortgesetzt, bis die Fertigung und der Versand wieder aufgenommen werden können.
Das Unternehmen hat ausgeschlossen, Kunden aufzufordern, ihre Wallets zurückzusenden, und warnt davor, dass jeder, der Geräte unter dem Vorwand eines offiziellen Rückrufs anfordert, als Betrüger behandelt werden sollte.
Die Warnung erfolgt, nachdem Ledger kompromittierte Geräte untersucht hat, die im Oktober über einen südostasiatischen Wiederverkäufer vertrieben wurden. Ermittler identifizierten ein unbefugtes Hardware-Implantat in einer betroffenen Wallet, das während der Einrichtung Wiederherstellungsphrasen erfassen konnte.
Persönliche Informationen von fast 26.000 Keystone-Käufern offengelegt
Die Untersuchung von Keystone identifizierte 51.083 Kaufsätze, die mit seinem offiziellen Shopify-Shop verbunden sind, obwohl persönliche Informationen zu 25.119 dieser Datensätze bereits vor dem Angriff gelöscht worden waren.
Die Ermittler identifizierten weitere 12.873 unvollständige Checkout-Datensätze mit persönlichen Informationen, die von Kunden übermittelt wurden, die die Zahlung nie abgeschlossen haben.
Keystone erklärte, dass seine Datenaufbewahrungsverfahren zur Offenlegung beigetragen haben, da ein automatisiertes Löschtool einige Kundendatensätze nicht innerhalb der vorgeschriebenen 180-Tage-Frist des Unternehmens entfernt hatte.
Das Unternehmen räumte ein, die fehlgeschlagenen Löschanträge nicht rechtzeitig erkannt zu haben, wodurch Informationen länger als erlaubt gespeichert blieben.
Nach der Untersuchung verkürzte Keystone seine Aufbewahrungsfrist für Kundendaten auf 90 Tage und reichte am 24. Oktober Löschanträge bei Shopify für überfällige Kaufdatensätze ein.
Shopify verlangt eine Wartezeit von 10 Tagen, bevor diese Anträge abgeschlossen werden, wobei die Löschung bis zum 3. November erwartet wird. Separate Anträge wurden für unvollständige Checkout-Informationen eingereicht, die länger als 30 Tage aufbewahrt wurden.
Datenlecks bei Kundendaten haben in diesem Jahr auch andere Hersteller von Hardware-Wallets betroffen. Im September berichtete crypto.news, dass Trezor und BitBox ihre Kunden vor Phishing-E-Mails gewarnt hatten, nachdem es Sicherheitsprobleme bei Drittanbietern gegeben hatte.
Trezor hatte zuvor offengelegt, dass eine Sicherheitsverletzung bei seinem Versanddienstleister ShipMonk Informationen von mehr als 80.000 Kunden offengelegt hatte.
Kundenbenachrichtigungen zusammen mit weiteren Sicherheitsprüfungen geplant
Keystone gab an, den unbefugten Zugriff am 20. Oktober blockiert und sensible Website-Funktionen deaktiviert zu haben, bevor die Schwachstelle behoben und eine forensische Untersuchung eingeleitet wurde.
Betroffene Kunden erhalten individuelle E-Mail-Benachrichtigungen, während eine geplante Abfrageseite es Nutzern ermöglichen soll zu prüfen, ob ihre Informationen offengelegt wurden.
Ein separater Dienst soll Kunden schließlich die Bestätigung ermöglichen, ob ihre personenbezogenen Daten gelöscht wurden.
Das Unternehmen hat Nutzer vor Nachrichten gewarnt, die Wallet-Migration, Vermögensverifizierung oder Untersuchungshilfe anbieten, und betont, dass der Vorfall bestehende Inhaber nicht dazu verpflichtet, ihre Kryptowährung zu verschieben.
Ähnliche Identitätstäuschungsversuche haben zuvor auf Kunden von Hardware-Wallets abgezielt. Im Oktober erschienen gefälschte Ledger-Websites in gesponserten Suchergebnissen und leiteten Nutzer auf betrügerische Seiten zur Verifizierung von Wiederherstellungsphrasen weiter.
Keystone hat sich verpflichtet, im Rahmen eines Sicherheitsaudits seine Datenzugriffskontrollen, die Verwaltung von Authentifizierungsschlüsseln und seine Löschverfahren zu überprüfen.
Das Unternehmen gab an, dass bereits Meldungen an Aufsichtsbehörden und Strafverfolgungsbehörden in der Europäischen Union, dem Vereinigten Königreich und anderen Jurisdiktionen eingereicht wurden, wobei weitere Meldungen geplant sind, wo immer dies erforderlich ist.
