认证密钥泄露，Keystone 将销毁 18,835 台硬件钱包

硬件钱包制造商 Keystone 已确认，黑客窃取了一个设备认证密钥，并泄露了 25,964 名客户的个人信息，迫使该公司销毁 18,835 台设备并暂停发货。

根据该公司 10 月 26 日发布的安全公告，攻击者于 10 月 20 日利用第三方数据监控工具中的一个漏洞，未经授权访问了其官方网站，从而获取了客户记录以及用于验证 Keystone 设备是否为正品的密钥。

该公司表示，恢复短语、私钥、钱包凭证、银行信息和政府身份证号码均未遭泄露。然而，被盗的认证密钥可能使攻击者能够制造出可通过 Keystone 官方真伪检查的假冒设备。

Keystone 已停止在制造过程中使用该受损密钥，并将以新密钥取而代之。含有旧密钥的现有库存将被销毁，而待处理订单将保持暂停状态，直到替换设备准备就绪。

Keystone 认证密钥泄露迫使设备销毁

这一被盗凭证被称为 WebAuth 密钥，在制造过程中被嵌入 Keystone 硬件钱包，供客户通过公司认证网站检查其设备时使用。

Keystone 解释说，该密钥一旦安装便无法擦除或重写。尽管它在生成恢复短语、派生私钥或签署交易中不起任何作用，但其泄露给该公司的设备验证流程带来了问题。

拥有该密钥的攻击者有可能生产出能够通过认证检查的假冒钱包，而客户通常使用该检查来确认其设备是否为正品。

作为预防措施，Keystone 将销毁当前库存中所有 18,835 台含有受损密钥的设备。生产已改用替代认证密钥，该公司已暂停通过其网站下达的未履行订单的发货。

在制造和发货恢复之前，销售将继续通过预售模式进行。

该公司已排除要求客户退回钱包的做法，并警告称，任何以官方召回为借口索要设备的人都应被视为骗子。

这一警告发布之前，Ledger 调查了受损设备于 10 月通过一家东南亚经销商分发的事件。调查人员在一个受影响的钱包内发现了一个未经授权的硬件植入物，该植入物可在设置过程中捕获恢复短语。

近 26,000 名 Keystone 买家的个人信息遭泄露

Keystone 的调查发现了与其官方 Shopify 商店相关的 51,083 条购买记录，不过其中 25,119 条记录的个人信息在攻击发生前已被擦除。

调查人员还发现了另外 12,873 条不完整的结账记录，其中包含客户提交但从未完成付款的个人信息。

Keystone 表示，其数据保留程序导致了此次泄露，因为一个自动删除工具未能在公司规定的 180 天期限内删除部分客户记录。

该公司承认，它未能及时发现失败的删除请求，导致信息被存储的时间超过了允许期限。

调查结束后，Keystone将其客户数据保留期限缩短至90天，并于10月24日向Shopify提交了针对逾期购买记录的删除请求。

Shopify要求在这些请求最终确定前有10天的等待期，预计删除将于11月3日前完成。针对保留超过30天的不完整结账信息，另行提交了单独的请求。

今年，客户信息泄露事件也影响了其他硬件钱包制造商。9月，crypto.news 报道称，Trezor和BitBox在涉及第三方服务提供商的安全问题后，已向客户发出钓鱼邮件警告。

Trezor此前曾披露，其运输服务提供商ShipMonk发生的一起泄露事件暴露了超过80,000名客户的信息。

计划在加强安全检查的同时通知客户

Keystone表示，它已于10月20日阻止了未经授权的访问并禁用了敏感的网站功能，随后修复了漏洞并开始进行取证调查。

受影响的客户将收到单独的电子邮件通知，同时计划中的查询页面将允许用户检查其信息是否被泄露。

一项单独的服务最终将让客户确认其个人数据是否已被删除。

该公司警告用户不要相信提供钱包迁移、资产验证或调查协助的消息，并强调该事件不需要现有持有者转移其加密货币。

类似的冒充尝试此前也曾针对硬件钱包客户。10月，虚假Ledger网站出现在赞助搜索结果中，并将用户引导至欺诈性的恢复短语验证页面。

Keystone已承诺作为安全审计的一部分，审查其数据访问控制、身份验证密钥管理和删除程序。

该公司表示，已在欧盟、英国和其他司法管辖区提交了监管和执法报告，并计划在需要的地方提交更多报告。