coindesk.com
Der Hardware-Wallet-Hersteller Keystone teilte mit, dass er fast 19.000 unverkäufliche Geräte vernichten und den Versand aussetzen werde, nachdem ein Website-Verstoß Kundendaten sowie einen Schlüssel offenlegte, der es gefälschten Wallets ermöglichen könnte, die Echtheitsprüfung zu bestehen.
Ein Angreifer verschaffte sich am 20. Oktober über eine Schwachstelle in einem Drittanbieterdatenüberwachungstool Zugang zur Website des Unternehmens, teilte Keystone am Montag mit Beitrag auf X. Der Angriff legte 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 offen, einschließlich Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Weitere 12.873 unbezahlte Checkout-Datensätze könnten ebenfalls betroffen sein.
Der Verstoß reiht sich ein in eine Reihe von Angriffen auf Nutzer von Hardware-Wallets in diesem Jahr. Bei Ledger, Kriminelle installierten Geräte wurde über Wiederverkäufer in Südostasien verkauft, wobei versteckte Komponenten während der Einrichtung Wiederherstellungsphrasen erfassen. Ebenso führt ein Fehler in Coldcards Seed-Generierung Software ermöglichte Angreifern die Rekonstruktion privater Schlüssel und das Fernabgreifen von Wallets.
Der gestohlene Keystone-Schlüssel ist während der Produktion in die Geräte eingebaut und kann nicht geändert werden. Er ermöglicht es Wallets, Online-Authentizitätsprüfungen zu bestehen, was laut dem Unternehmen das Risiko erhöht, dass gefälschte Geräte als echt erscheinen und die Gelder der Nutzer gefährden könnten. Das Unternehmen gab bekannt, dass es 18.835 nicht verkaufte Einheiten vernichten wird.
Keystone erklärte, dass die Sicherheitsverletzung keine Wiederherstellungsphrasen, privaten Schlüssel oder Wallet-Zugangsdaten offengelegt habe.
Einige Kundendatensätze hätten gemäß Keystones 180-Tage-Aufbewahrungsrichtlinie gelöscht werden müssen, jedoch schlug ein automatisiertes Löschtool fehl, ohne dass das Unternehmen das Problem bemerkte, so die Aussage.
„Wir sind unserer Verpflichtung, Kundendaten rechtzeitig zu löschen, nicht nachgekommen und übernehmen die Verantwortung für dieses Versäumnis“, schrieb Keystone.
Das Update von Keystone erfolgte einen Tag nachdem der Hersteller von Hardware-Wallets Foundation ein bekannt gegeben hatteseparater Verstoß bei denen Angreifer Phishing-E-Mails versendeten, die scheinbar von den offiziellen Domains des Unternehmens stammten.
Die Stiftung erklärte, sie habe mehr als 23.000 Phishing-E-Mail-Versuche identifiziert. Es wurden keine Hinweise darauf gefunden, dass Passport-Geräte oder private Schlüssel kompromittiert wurden.
Die Stiftung entdeckte zudem ältere Datenbankkopien, die ihrem 60-tägigen Datenlöschungsverfahren entgangen waren. In ein Update, es wurde angegeben, dass Angreifer auf Aufzeichnungen mit etwa 5.600 Postadressen und 5.200 Telefonnummern zugreifen konnten, auch wenn nicht bestätigt werden konnte, wie viele tatsächlich abgerufen wurden.
Keystone erklärte, dass Geräte, die vor dem 20. Oktober geliefert wurden, weiterhin sicher zu verwenden sind, sofern sie die Authentifizierung bestehen, während Kunden, die nach diesem Datum Geräte mit dem alten Schlüssel erhalten haben, vor der Nutzung weitere Prüfungen durchführen lassen sollten.
Das Unternehmen erklärte, dass Nutzer ihre Gelder aufgrund der alleinigen Sicherheitslücke nicht verschieben müssen, und warnte vor gefälschten Rückruf- oder Vermögensübertragungsnachrichten.
