Insiden Keystone Memburuk, 18.835 Dompet Kripto Terancam Hancur

Kunci Otentikasi yang Dicuri Memaksa Keystone untuk Memusnahkan 18.835 Dompet

Apa yang awalnya tampak sebagai pelanggaran informasi pelanggan telah berkembang menjadi masalah keamanan yang jauh lebih serius. Pada 26 Oktober 2026, Keystone mengungkapkan bahwa penyerang juga memperoleh kunci otentikasi yang digunakan untuk memastikan keaslian dompet perangkat kerasnya.

Perusahaan tersebut melacak sumber intrusi ke kerentanan dalam alat pemantauan data pihak ketiga yang memungkinkan penyerang meningkatkan hak akses mereka. Keystone mendeteksi aktivitas mencurigakan pada 20 Oktober, menonaktifkan fungsi situs web yang rentan, dan meluncurkan penyelidikan forensik.

Kunci WebAuth yang dicuri menimbulkan masalah yang sangat mengkhawatirkan. Penyerang yang memilikinya dapat memproduksi perangkat palsu yang mampu lolos dari pemeriksaan keaslian Keystone, sehingga berpotensi membuat pembeli yang tidak curiga menjadi korban pencurian aset.

Keystone menjelaskan bahwa kunci tersebut tertanam secara permanen selama proses produksi dan tidak dapat ditulis ulang atau dihapus. Akibatnya, produsen dompet perangkat keras ini berencana untuk memusnahkan seluruh 18.835 perangkat dalam persediaan yang ada yang mengandung kunci yang telah disusupi. Dompet yang diproduksi baru akan dilengkapi dengan kunci otentikasi pengganti. Sementara itu, Keystone telah menangguhkan pengiriman pesanan yang masih tertunda melalui situs web dan beralih ke sistem pemesanan di muka hingga produksi pengganti siap.

Hampir 26.000 Catatan Pembeli Terungkap Akibat Kegagalan Sistem Penghapusan Data

Penyelidikan tersebut juga mengungkap kegagalan serius dalam pengelolaan data pelanggan Keystone. Dari 51.083 catatan pembeli Shopify yang diperiksa, 25.964 di antaranya masih menyimpan informasi pribadi, termasuk nama, alamat pengiriman, detail kontak, dan riwayat pembelian dari tahun 2024 hingga 2026. Keystone mengakui bahwa sistem penghapusan otomatisnya mengalami gangguan, sehingga informasi pelanggan tetap tersimpan melebihi kebijakan penyimpanan selama 180 hari.

"Kami gagal memenuhi komitmen untuk menghapus data pelanggan tepat waktu, dan kami bertanggung jawab atas kegagalan ini," kata perusahaan tersebut.

Penyelidik juga mengidentifikasi 12.873 catatan pembayaran yang belum dibayar yang berisi informasi pelanggan yang berpotensi sensitif. Keystone telah memasukkan catatan tersebut ke dalam tanggapannya dan mengajukan permintaan penghapusan tambahan. Pabrikan tersebut telah memperpendek masa penyimpanan menjadi 90 hari, dan memperkirakan permintaan penghapusan data pembeli yang terlambat yang diajukan pada 24 Oktober akan diselesaikan pada 3 November. Laporan evaluasi pasca-insiden terbaru Keystone ini menyusul pengungkapan dari Foundation, produsen dompet perangkat keras asal Boston yang juga mengalami kebocoran data pelanggan.

Pemilik Dompet yang Sudah Ada Menerima Panduan Keamanan Baru

Keystone menegaskan bahwa frasa pemulihan, kunci pribadi, kredensial dompet, dan informasi pembayaran tidak terkompromi. Pelanggan tidak diinstruksikan untuk memindahkan mata uang kripto mereka semata-mata karena insiden ini. Perangkat yang dikirimkan sebelum 20 Oktober tetap aman digunakan jika lolos otentikasi, kata perusahaan tersebut. Perangkat yang diterima setelah tanggal tersebut dan menggunakan kunci yang terkompromi memerlukan verifikasi tambahan melalui layanan dukungan pelanggan, meskipun proses otentikasi berhasil.

Keystone juga memperingatkan pelanggan agar waspada terhadap pesan penarikan produk palsu yang meminta pengembalian perangkat. Perusahaan telah mengajukan laporan regulasi di Uni Eropa, Inggris, dan yurisdiksi lain, dengan rencana untuk memperkenalkan alat pencarian insiden kebocoran data serta melakukan audit keamanan lebih lanjut. Bagi produsen yang menjual perangkat yang dirancang untuk menghilangkan ketergantungan pada pihak ketiga, kehilangan kunci yang membangun kepercayaan pada perangkat kerasnya sendiri merupakan kontradiksi yang sangat sulit.