Paglabag sa Data ng Keystone
Inihayag ng tagagawa ng hardware wallet na Keystone ang isang paglabag sa data ng customer noong Sabado, matapos ang hindi awtorisadong pag-access sa kanilang website na naglantad ng mga pangalan, shipping address, impormasyon sa pakikipag-ugnayan, at mga detalye ng pagbili. Sinabi ng kumpanya na ang mga recovery phrase at private key ay nananatiling ligtas. Ang insidente ay nagdagdag sa lumalaking listahan ng mga tagagawa ng hardware wallet na nahaharap sa mga problema sa seguridad sa 2026, kabilang ang Ledger, Trezor, Safepal, at Coldcard.
Detalye ng Insidente
Isang hardware wallet na dinisenyo upang panatilihing offline ang mga lihim ng cryptocurrency ay nakatagpo ng isang problema sa seguridad sa isang ganap na ibang lugar: ang kanilang online storefront. Noong Sabado, inihayag ng Keystone sa 1:59 p.m. ET na isang hindi awtorisadong partido ang nakakuha ng impormasyon sa shipping ng customer sa pamamagitan ng kanilang website, na posibleng nagbigay sa mga scammer ng mga personal na detalye na kinakailangan upang magpanggap bilang kumpanya.
Ipinahayag ng Keystone na ang mga recovery phrase, private key, at impormasyon sa pagbabayad ay hindi naapektuhan, ngunit ang insidente ay nagtaas ng isang hindi komportableng tanong tungkol sa kung gaano kalaki ang proteksyon na ibinibigay ng isang offline wallet kapag ang pagkakakilanlan at address ng may-ari ay nalantad. Inihayag ng Keystone sa X na natukoy nito ang kahina-hinalang pag-access noong Oktubre 20 at kasunod na sinuri ang aktibidad ng application programming interface (API) kasama ang Shopify, ang kanilang e-commerce provider. Pagsapit ng Oktubre 23, nakumpirma ng kumpanya na isang hindi awtorisadong ikatlong partido ang nakakuha ng mga pangalan ng customer, impormasyon sa pakikipag-ugnayan, shipping address, at mga detalye ng pagbili.
Mga Hakbang na Isinagawa
Sinabi ng kumpanya na naharang nito ang paglusob, na-patch ang kahinaan, at nagsimulang mag-notify sa mga apektadong customer. Gayunpaman, hindi inihayag ng Keystone kung gaano karaming mga mamimili ang nalantad o kung paano eksaktong nangyari ang hindi awtorisadong pag-access. Ang agarang panganib ay hindi kinakailangang isang tao na malayuang nililimas ang isang hardware wallet. Ito ay isang tao na gumagamit ng lehitimong impormasyon ng customer upang gumawa ng isang nakakumbinsing panlilinlang.
Babala sa mga Customer
“Nagbabala ang Keystone sa mga customer tungkol sa mga mapanlinlang na alok ng refund, mga kapalit na aparato, at mga hindi hinihinging mensahe na humihiling ng sensitibong impormasyon. Binibigyang-diin ng kumpanya na hindi ito kailanman humihingi ng mga recovery phrase o private key.”
Isang gumagamit ng X ang sumulat tungkol sa isyu isang araw bago kinumpirma ng Keystone ang pag-atake. “Just raising awareness here because I’m 99% convinced your customer database may have been leaked. I received a call from a spoofed Montreal SPVM number, and the guy tried to social-engineer me,” ang isinulat ng X account na OG Degen.
Pagkakataon para sa Phishing
Dapat na independiyenteng beripikahin ng mga customer ang mga komunikasyon sa pamamagitan ng opisyal na website ng Keystone sa halip na sundan ang mga hindi inaasahang link. Ang paghayag ng Keystone ay sumusunod sa isang mahirap na taon para sa mga tagagawa ng hardware wallet. Ang Coldcard ay naharap sa isang malaking bug na may mahihinang randomness sa seed-generation at malaking tinatayang pagkalugi, habang ang Ledger ay humarap sa mga ulat ng mga na-manipulang aparato na ipinamigay sa pamamagitan ng isang reseller. Ang Trezor at Safepal ay naghayag din ng mga paglabag sa impormasyon ng customer na kinasasangkutan ang mga third-party fulfillment o ordering systems.
Hindi tulad ng mga insidente na kinasasangkutan ng mga compromised recovery phrase, ang mga exposure na iyon ay pangunahing lumikha ng mga pagkakataon para sa phishing at impersonation. Para sa Keystone, ang mga cryptographic defenses ay iniulat na humawak. Ang nakababahalang tanong ay kung ang personal na impormasyon ng mga customer ay nakatanggap ng katulad na proteksyon.
Noong Oktubre 13, inihayag ng tagagawa ng hardware wallet na Ledger ang mga bagong detalye tungkol sa kung paano na-manipula ng mga kriminal ang kanilang mga hardware wallet at…
