Hardware wallet-fabrikant Keystone gaat 18.835 onverkochte apparaten vernietigen nadat een aanvaller de sleutel heeft gestolen waarmee de wallets hun echtheid bewijzen. Het bedrijf ontdekte op 20 oktober ongeautoriseerde toegang tot zijn website en blokkeerde die direct, maar bevestigde pas op 26 oktober dat de verificatiesleutel was buitgemaakt. Vier dagen eerder, op 24 oktober, had Keystone al bekendgemaakt dat klantgegevens zoals verzendadressen waren gelekt.
Volgens Keystone kreeg de aanvaller toegang via een kwetsbaarheid in een externe tool voor datamonitoring, waarmee hogere rechten werden verkregen. Waar de sleutel precies was opgeslagen en wanneer de aanvaller voor het eerst binnenkwam, heeft het bedrijf niet gezegd.
Het risico van de gestolen sleutel is dat iemand namaakapparaten kan maken die de officiële online echtheidscontrole van Keystone doorstaan. Kopers die op die controle vertrouwen, zouden zo een vals apparaat als origineel kunnen beschouwen en hun crypto kunnen verliezen. Herstelzinnen en privésleutels van bestaande gebruikers zijn bij dit incident niet gelekt, en Keystone meldt vooralsnog geen gevallen van namaakapparaten of diefstal.
Het bedrijf geeft eigenaren en kopers duidelijke instructies. Een apparaat dat vóór 20 oktober is geleverd en de echtheidscontrole doorstaat, kan normaal gebruikt worden. Is een apparaat na 20 oktober ontvangen met de oude sleutel, dan moet het ongebruikt blijven totdat de Keystone-support via support@keyst.one de echtheid heeft bevestigd. Bestellingen via de website liggen stil tot er apparaten met een nieuwe sleutel beschikbaar zijn; de Keystone 3 Pro geldt inmiddels als pre-order met vier tot zes weken levertijd. Voor aankopen via Amazon of een wederverkoper gelden dezelfde regels, gebaseerd op de leverdatum. Crypto die al op een Keystone staat, hoeft niet verplaatst te worden vanwege dit incident, behalve bij een apparaat dat na 20 oktober met de oude sleutel is binnengekomen.
Keystone waarschuwt ook voor misbruik van het incident zelf: het bedrijf vraagt nooit om een apparaat terug te sturen, en gebruikers moeten nooit een herstelzin invoeren op een apparaat dat ze niet zelf hebben besteld. Wie de website wil bezoeken, typt keyst.one het beste zelf in de browser in plaats van op een link in een e-mail te klikken.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.