El fabricante de billeteras de hardware Keystone ha confirmado que los hackers robaron una clave de autenticación de dispositivos y expusieron información personal perteneciente a 25.964 clientes, lo que obligó a la empresa a destruir 18.835 dispositivos y suspender los envíos.
Resumen
- Keystone confirmó que los hackers accedieron a información personal vinculada a 25.964 registros de clientes y robaron una clave de autenticación de dispositivos.
- La empresa destruirá 18.835 billeteras de hardware del inventario existente porque la clave robada podría permitir que dispositivos falsificados superen las verificaciones de autenticación.
- Keystone ha suspendido los envíos y ha pasado a un modelo de preventa hasta que estén listos los nuevos dispositivos que utilizan una clave de autenticación de reemplazo.
- La empresa afirmó que las frases de recuperación y las claves privadas no se vieron comprometidas, mientras que los clientes que reciban dispositivos después del 20 de octubre podrían necesitar una verificación adicional.
Según el anuncio de seguridad de la empresa del 26 de octubre, los atacantes obtuvieron acceso no autorizado a su sitio web oficial el 20 de octubre explotando una vulnerabilidad en una herramienta de monitoreo de datos de terceros, lo que les permitió obtener registros de clientes y la clave utilizada para verificar si los dispositivos Keystone son genuinos.
La empresa afirmó que las frases de recuperación, las claves privadas, las credenciales de la billetera, la información bancaria y los números de identificación gubernamental no se vieron comprometidos. Sin embargo, la clave de autenticación robada podría permitir a los atacantes fabricar dispositivos falsificados que superen las verificaciones oficiales de autenticidad de Keystone.
Keystone ha dejado de utilizar la clave comprometida en la fabricación y la reemplazará por una nueva. El inventario existente que contiene la clave antigua será destruido, mientras que los pedidos pendientes permanecerán en espera hasta que los dispositivos de reemplazo estén listos.
La brecha de la clave de autenticación de Keystone obliga a destruir dispositivos
La credencial robada, conocida como clave WebAuth, está integrada en las billeteras de hardware Keystone durante la fabricación y se utiliza cuando los clientes verifican sus dispositivos a través del sitio web de autenticación de la empresa.
Keystone explicó que la clave no se puede borrar ni reescribir una vez instalada. Aunque no tiene ningún papel en la generación de frases de recuperación, la derivación de claves privadas ni la firma de transacciones, su exposición crea un problema con el proceso de verificación de dispositivos de la empresa.
Los atacantes que posean la clave podrían potencialmente producir billeteras falsificadas capaces de superar las verificaciones de autenticación que los clientes normalmente utilizan para confirmar si sus dispositivos son legítimos.
Como precaución, Keystone destruirá los 18.835 dispositivos actualmente en inventario que contienen la clave comprometida. La producción ha cambiado a una clave de autenticación de reemplazo, y la empresa ha suspendido los envíos de pedidos no cumplidos realizados a través de su sitio web.
Las ventas continuarán mediante un modelo de preventa hasta que se puedan reanudar la fabricación y el envío.
La empresa ha descartado pedir a los clientes que devuelvan sus billeteras y advirtió que cualquier persona que solicite dispositivos con el pretexto de un retiro oficial debe ser tratada como un estafador.
La advertencia se produce después de que Ledger investigara dispositivos comprometidos distribuidos a través de un revendedor del sudeste asiático en octubre. Los investigadores identificaron un implante de hardware no autorizado dentro de una billetera afectada que podría capturar frases de recuperación durante la configuración.
Casi 26.000 compradores de Keystone tuvieron información personal expuesta
La investigación de Keystone identificó 51.083 registros de compra asociados con su tienda oficial de Shopify, aunque la información personal perteneciente a 25.119 de esos registros ya había sido borrada antes del ataque.
Los investigadores identificaron otros 12.873 registros de pago incompletos que contenían información personal enviada por clientes que nunca completaron el pago.
Keystone afirmó que sus procedimientos de retención de datos contribuyeron a la exposición porque una herramienta de eliminación automatizada no logró eliminar algunos registros de clientes dentro del período requerido de 180 días de la empresa.
La empresa reconoció que no había detectado a tiempo las solicitudes de eliminación fallidas, lo que provocó que la información se almacenara durante más tiempo del permitido.
Tras la investigación, Keystone redujo su período de retención de datos de clientes a 90 días y envió solicitudes de eliminación a Shopify el 24 de octubre para los registros de compras vencidos.
Shopify exige un período de espera de 10 días antes de que esas solicitudes se finalicen, y se espera que la eliminación se produzca antes del 3 de noviembre. Se enviaron solicitudes separadas para la información de pago incompleta conservada durante más de 30 días.
Las filtraciones de información de clientes han afectado a otros fabricantes de carteras de hardware este año. En septiembre, crypto.news informó que Trezor y BitBox habían advertido a los clientes sobre correos electrónicos de phishing tras problemas de seguridad relacionados con proveedores de servicios externos.
Trezor había revelado previamente que una brecha que involucró a su proveedor de envíos ShipMonk expuso información perteneciente a más de 80.000 clientes.
Notificaciones a clientes previstas junto con más controles de seguridad
Keystone dijo que bloqueó el acceso no autorizado y desactivó funciones sensibles del sitio web el 20 de octubre, antes de corregir la vulnerabilidad y comenzar una investigación forense.
Los clientes afectados recibirán notificaciones individuales por correo electrónico, mientras que una página de consulta prevista permitirá a los usuarios comprobar si su información quedó expuesta.
Un servicio separado permitirá eventualmente a los clientes confirmar si sus datos personales han sido borrados.
La empresa ha advertido a los usuarios contra los mensajes que ofrecen migración de carteras, verificación de activos o asistencia en la investigación, y ha enfatizado que el incidente no requiere que los propietarios existentes muevan su criptomoneda.
Intentos de suplantación de identidad similares han atacado anteriormente a clientes de carteras de hardware. En octubre, sitios web falsos de Ledger aparecieron en resultados de búsqueda patrocinados y dirigieron a los usuarios hacia páginas fraudulentas de verificación de frases de recuperación.
Keystone se ha comprometido a revisar sus controles de acceso a datos, la gestión de claves de autenticación y los procedimientos de eliminación como parte de una auditoría de seguridad.
La empresa dijo que ya se habían presentado informes a las autoridades reguladoras y policiales en la Unión Europea, el Reino Unido y otras jurisdicciones, y que se planean más informes dondequiera que sea necesario.
