Le fabricant de portefeuilles matériels Keystone a confirmé que des pirates ont volé une clé d'authentification d'appareil et exposé les informations personnelles de 25 964 clients, contraignant l'entreprise à détruire 18 835 appareils et à suspendre les expéditions.
Résumé
- Keystone a confirmé que des pirates ont accédé à des informations personnelles liées à 25 964 dossiers clients et ont volé une clé d'authentification d'appareil.
- L'entreprise détruira 18 835 portefeuilles matériels de son stock existant, car la clé volée pourrait permettre à des appareils contrefaits de passer les contrôles d'authentification.
- Keystone a suspendu les expéditions et est passé à un modèle de précommande jusqu'à ce que de nouveaux appareils utilisant une clé d'authentification de remplacement soient prêts.
- L'entreprise a déclaré que les phrases de récupération et les clés privées n'ont pas été compromises, tandis que les clients recevant des appareils après le 20 octobre pourraient avoir besoin d'une vérification supplémentaire.
Selon l'annonce de sécurité de l'entreprise du 26 octobre, les attaquants ont obtenu un accès non autorisé à son site officiel le 20 octobre en exploitant une vulnérabilité dans un outil tiers de surveillance des données, ce qui leur a permis d'obtenir les dossiers clients et la clé utilisée pour vérifier si les appareils Keystone sont authentiques.
L'entreprise a déclaré que les phrases de récupération, les clés privées, les identifiants de portefeuille, les informations bancaires et les numéros d'identification gouvernementaux n'ont pas été compromis. Cependant, la clé d'authentification volée pourrait permettre aux attaquants de fabriquer des appareils contrefaits capables de passer les contrôles d'authenticité officiels de Keystone.
Keystone a cessé d'utiliser la clé compromise dans la fabrication et la remplacera par une nouvelle. Le stock existant contenant l'ancienne clé sera détruit, tandis que les commandes en attente resteront suspendues jusqu'à ce que les appareils de remplacement soient prêts.
La violation de la clé d'authentification de Keystone force la destruction d'appareils
Le justificatif volé, connu sous le nom de clé WebAuth, est intégré aux portefeuilles matériels Keystone lors de la fabrication et est utilisé lorsque les clients vérifient leurs appareils via le site d'authentification de l'entreprise.
Keystone a expliqué que la clé ne peut pas être effacée ni réécrite une fois installée. Bien qu'elle ne joue aucun rôle dans la génération de phrases de récupération, la dérivation de clés privées ou la signature de transactions, son exposition crée un problème avec le processus de vérification des appareils de l'entreprise.
Les attaquants possédant la clé pourraient potentiellement produire des portefeuilles contrefaits capables de passer les contrôles d'authentification que les clients utilisent normalement pour confirmer si leurs appareils sont légitimes.
Par précaution, Keystone détruira les 18 835 appareils actuellement en stock qui contiennent la clé compromise. La production est passée à une clé d'authentification de remplacement, et l'entreprise a suspendu les expéditions des commandes non honorées passées via son site web.
Les ventes se poursuivront selon un modèle de précommande jusqu'à ce que la fabrication et les expéditions puissent reprendre.
L'entreprise a exclu de demander aux clients de retourner leurs portefeuilles et a averti que toute personne demandant des appareils sous prétexte d'un rappel officiel doit être considérée comme un escroc.
Cet avertissement intervient après que Ledger a enquêté sur des appareils compromis distribués par un revendeur d'Asie du Sud-Est en octobre. Les enquêteurs ont identifié un implant matériel non autorisé à l'intérieur d'un portefeuille affecté qui pouvait capturer les phrases de récupération lors de la configuration.
Près de 26 000 acheteurs de Keystone ont vu leurs informations personnelles exposées
L'enquête de Keystone a identifié 51 083 dossiers d'achat associés à sa boutique Shopify officielle, bien que les informations personnelles de 25 119 de ces dossiers aient déjà été effacées avant l'attaque.
Les enquêteurs ont identifié 12 873 autres dossiers de paiement incomplets contenant des informations personnelles soumises par des clients qui n'ont jamais finalisé le paiement.
Keystone a déclaré que ses procédures de conservation des données ont contribué à l'exposition, car un outil de suppression automatisée n'avait pas réussi à supprimer certains dossiers clients dans le délai requis de 180 jours de l'entreprise.
L'entreprise a reconnu qu'elle n'avait pas détecté à temps les demandes de suppression échouées, laissant les informations stockées plus longtemps que permis.
À la suite de l'enquête, Keystone a réduit sa période de conservation des données clients à 90 jours et a soumis des demandes de suppression à Shopify le 24 octobre pour les enregistrements d'achats en retard.
Shopify exige une période d'attente de 10 jours avant que ces demandes ne soient finalisées, la suppression étant prévue pour le 3 novembre. Des demandes distinctes ont été soumises pour les informations de paiement incomplètes conservées plus de 30 jours.
Des fuites d'informations clients ont touché d'autres fabricants de portefeuilles matériels cette année. En septembre, crypto.news a rapporté que Trezor et BitBox avaient averti leurs clients au sujet d'e-mails de phishing à la suite de problèmes de sécurité impliquant des fournisseurs de services tiers.
Trezor avait précédemment divulgué qu'une violation impliquant son fournisseur d'expédition ShipMonk avait exposé des informations appartenant à plus de 80 000 clients.
Notifications aux clients prévues parallèlement à davantage de contrôles de sécurité
Keystone a déclaré avoir bloqué l'accès non autorisé et désactivé les fonctions sensibles du site web le 20 octobre, avant de corriger la vulnérabilité et d'entamer une enquête médico-légale.
Les clients concernés recevront des notifications individuelles par e-mail, tandis qu'une page de consultation prévue permettra aux utilisateurs de vérifier si leurs informations ont été exposées.
Un service distinct permettra finalement aux clients de confirmer si leurs données personnelles ont été effacées.
L'entreprise a mis en garde les utilisateurs contre les messages proposant une migration de portefeuille, une vérification d'actifs ou une assistance à l'enquête, en soulignant que l'incident ne nécessite pas que les propriétaires existants déplacent leur cryptomonnaie.
Des tentatives d'usurpation d'identité similaires ont déjà ciblé des clients de portefeuilles matériels. En octobre, de faux sites web Ledger sont apparus dans les résultats de recherche sponsorisés et ont dirigé les utilisateurs vers des pages frauduleuses de vérification de phrase de récupération.
Keystone s'est engagé à examiner ses contrôles d'accès aux données, la gestion de ses clés d'authentification et ses procédures de suppression dans le cadre d'un audit de sécurité.
L'entreprise a indiqué que des rapports aux autorités réglementaires et aux forces de l'ordre avaient déjà été soumis dans l'Union européenne, au Royaume-Uni et dans d'autres juridictions, avec d'autres signalements prévus partout où cela est requis.
