Një key i vjedhur dobëson kontrollin e autenticitetit të hardware wallet Keystone
Kontrolli i autenticitetit të një hardware wallet Keystone u komprometua pasi një sulmues siguroi sekretin që përdorin pajisjet për të provuar se janë origjinale. Dikush që zotëron një kopje të këtij sekreti mund të prodhojë një hardware wallet të falsifikuar që kalon procesin online device verification të Keystone, duke e bindur potencialisht një blerës t’i besojë një pajisjeje të krijuar për të vjedhur kriptomonedha. Keystone tha se incidenti nuk ekspozoi asnjë recovery phrase, e cila rikthen qasjen në një wallet, dhe as private keys, vlerat sekrete që autorizojnë transaksionet.
Keystone zbuloi qasje të paautorizuar në faqen e saj më 20 tetor. Sipas kompanisë, sulmuesi shfrytëzoi një dobësi në një mjet të një pale të tretë për monitorimin e të dhënave dhe përdori privilege escalation, që do të thotë se fitoi më shumë qasje sesa duhej të lejonte komponenti i komprometuar. Kjo qasje ekspozoi informacionin e klientëve dhe sekretin për device verification. Keystone e bllokoi sulmuesin më 20 tetor dhe thotë se dobësia është rregulluar, por nuk ka bërë të ditur se kur filloi ndërhyrja ose ku ruhej sekreti.
Procesi device verification i kërkon pronarit të skanojë me hardware wallet një QR code nga faqja e Keystone dhe më pas të fusë në faqe kodin e shfaqur nga pajisja. Open-source firmware i Keystone, software-i i integruar në wallet, tregon se QR code përmban një vlerë encrypted. Pajisja përdor sekretin e ruajtur për ta dekoduar atë vlerë dhe për të prodhuar përgjigjen e pritur. Prandaj, një përgjigje e saktë tregon vetëm se pajisja zotëron sekretin e verifikimit.
Ky dallim tani është kritik. Për shkak se sulmuesi siguroi të njëjtin sekret, ai mund të vendoset në një pajisje të falsifikuar që gjeneron përgjigje të vlefshme. Keystone tha se pajisje të tilla më pas mund t’u shiten ose t’u dërgohen klientëve dhe të përdoren për t’u vjedhur kriptomonedhat. Kompania nuk ka raportuar se ka gjetur pajisje të falsifikuara ose ndonjë vjedhje që ka ardhur si pasojë e incidentit. Sekreti i komprometuar nuk përdoret për të gjeneruar recovery phrase, për të nxjerrë private keys ose për të miratuar transaksione.
Keystone e shkruan sekretin e verifikimit në memorie gjatë prodhimit. Kjo memorie mund të programohet vetëm një herë dhe firmware refuzon çdo përpjekje për të instaluar një sekret tjetër. Për pasojë, pajisjet e përfunduara nuk mund të kalojnë në sistemin zëvendësues. Keystone planifikon të shkatërrojë 18,835 pajisje të pashitura që përmbajnë sekretin e komprometuar, ndërsa njësitë e prodhuara rishtazi do të pajisen me një sekret tjetër.
Udhëzimet e kompanisë varen kryesisht nga koha e dorëzimit. Një hardware wallet i dorëzuar para 20 tetorit mund të përdoret normalisht nëse kalon kontrollin online device verification, tha Keystone. Për një pajisje të marrë pas 20 tetorit që përmban sekretin e vjetër, një kontroll i suksesshëm nuk mjafton më për të përjashtuar mundësinë që pajisja të jetë e falsifikuar. Pronari nuk duhet ta përdorë derisa ekipi i mbështetjes së Keystone të konfirmojë se është origjinale.
Për këtë grup të dytë mbeten të pazgjidhura hollësi të rëndësishme. Keystone nuk ka shpjeguar se si mund të përcaktojë një pronar nëse një pajisje përmban sekretin e vjetër apo të ri të verifikimit. Kompania i drejtoi klientët e prekur te faqja e saj device verification, por deri më 27 tetor ajo faqe nuk shfaqte udhëzimet e premtuara. Kompania gjithashtu nuk ka thënë se çfarë duhet të bëjë dikush nëse kriptomonedhat janë transferuar tashmë në një pajisje të marrë pas 20 tetorit që përmban sekretin e vjetër.
Dërgesat për porositë e bëra përmes faqes së Keystone janë pezulluar derisa të jenë të disponueshme pajisjet me sekretin zëvendësues. Deri më 27 tetor, dyqani online e përshkruante Keystone 3 Pro si një porosi paraprake që pritej të dërgohej brenda katër deri në gjashtë javë. Të njëjtat udhëzime lidhur me datën e dorëzimit vlejnë për blerjet nga dyqanet zyrtare në Amazon dhe nga rishitësit e autorizuar. Keystone nuk ka thënë nëse pajisjet me sekretin e vjetër vazhdojnë të jenë të disponueshme përmes këtyre kanaleve. Pronarët nuk kanë nevojë t’i lëvizin kriptomonedhat vetëm për shkak të komprometimit, megjithëse kushdo që ka marrë një pajisje përkatëse pas 20 tetorit duhet të ndjekë udhëzimet shtesë të verifikimit.
Ndërhyrja ekspozoi gjithashtu të dhënat e klientëve. Keystone bëri të ditur fillimisht më 24 tetor se një palë e tretë kishte siguruar informacionet e dërgesave. Më 26 tetor, kompania tha se ishin prekur 25,964 të dhëna blerësish nga blerjet e bëra në faqen e saj ndërmjet viteve 2024 dhe 2026. Këto të dhëna përmbanin emra, informacione kontakti, adresa dërgese dhe hollësi porosish. Shopify administronte dyqanin dhe ruante e menaxhonte të dhënat. Keystone tha se nuk u përfshinë informacionet e kartave të pagesave, të dhënat bankare ose numrat e dokumenteve shtetërore të identifikimit, ndërsa blerjet përmes Amazon dhe kanaleve të tjera të shitjes nuk u prekën.
Si masë paraprake, Keystone përfshiu në reagimin e saj edhe 12,873 regjistrime të papaguara të checkout. Këto vinin nga transaksione që ishin nisur, por nuk ishin përfunduar kurrë, dhe përmbanin emra, të dhëna kontakti dhe informacione dërgese. Disa të dhëna duhej të ishin hequr tashmë sipas premtimit të Keystone për t’i fshirë hollësitë e dërgesave 180 ditë pas një porosie. Megjithatë, mjeti i saj automatik për fshirje masive nuk funksiononte në mënyrë të besueshme, disa përpjekje për heqje dështuan dhe kompania nuk i identifikoi në kohë këto dështime.
Keystone tani e ka shkurtuar periudhën e ruajtjes së të dhënave personale nga 180 ditë në 90 ditë. Ajo i kërkoi Shopify të hiqte informacionet e blerësve më të vjetra se 90 ditë dhe priste që kjo punë të përfundonte më 3 nëntor, megjithëse deri më 27 tetor politika e privatësisë vazhdonte të përcaktonte një afat prej 180 ditësh. Kompania po u dërgon email klientëve të prekur dhe planifikon të ofrojë një faqe ku njerëzit mund të kontrollojnë nëse informacionet e tyre ishin përfshirë. Për organizatat që i zbatojnë këto mësime në operacionet e tyre web, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë.
Klientët duhet gjithashtu të presin që kriminelët të shfrytëzojnë paqartësinë rreth incidentit. Keystone thotë se mesazhet që ofrojnë rimbursime, pajisje zëvendësuese, tërheqje produktesh, kontrolle të wallet ose ndihmë për lëvizjen e kriptomonedhave duhet të trajtohen si mashtrime. Kompania nuk do t’u kërkojë pronarëve të kthejnë një hardware wallet. Përdoruesit duhet të shkruajnë keyst.one drejtpërdrejt në browser në vend që të ndjekin lidhje dhe nuk duhet të fusin kurrë një recovery phrase në një pajisje që nuk e kanë porositur vetë.