Violazione Keystone: a rischio distruzione 18.835 portafogli hardware cripto

La chiave di autenticazione rubata costringe Keystone a rottamare 18.835 portafogli

Quella che inizialmente sembrava essere una violazione dei dati dei clienti si è trasformata in un problema di sicurezza ben più grave. Il 26 ottobre 2026, Keystone ha reso noto che gli hacker sono riusciti a ottenere anche la chiave di autenticazione utilizzata per verificare l’autenticità dei propri portafogli hardware.

L’azienda ha ricondotto l’intrusione a una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti che ha permesso agli hacker di elevare i propri privilegi di accesso. Keystone ha rilevato attività sospette il 20 ottobre, ha disabilitato le funzioni vulnerabili del sito web e ha avviato un’indagine forense.

La chiave WebAuth rubata rappresenta un problema particolarmente preoccupante. Un hacker in possesso di tale chiave potrebbe produrre dispositivi contraffatti in grado di superare i controlli di autenticità di Keystone, esponendo potenzialmente gli acquirenti ignari al furto di asset. Keystone ha spiegato che la chiave viene incorporata in modo permanente durante la produzione e non può essere riscritta né cancellata. Di conseguenza, il produttore di portafogli hardware intende distruggere tutti i 18.835 dispositivi presenti nell’inventario che contengono la chiave compromessa. I portafogli di nuova produzione riceveranno una chiave di autenticazione sostitutiva. Nel frattempo, Keystone ha sospeso le spedizioni degli ordini in sospeso effettuati sul sito web ed è passata ai preordini fino a quando la produzione dei dispositivi sostitutivi non sarà pronta.

Quasi 26.000 record di acquirenti esposti a causa di un malfunzionamento del sistema di cancellazione dei dati

L’indagine ha inoltre messo in luce una grave falla nella gestione dei dati dei clienti da parte di Keystone. Dei 51.083 record relativi agli acquirenti su Shopify esaminati, 25.964 contenevano informazioni personali, tra cui nomi, indirizzi di spedizione, recapiti e cronologie degli acquisti risalenti al periodo compreso tra il 2024 e il 2026. Keystone ha ammesso che il proprio sistema di cancellazione automatica ha funzionato male, consentendo che le informazioni dei clienti rimanessero archiviate oltre i 180 giorni previsti dalla politica di conservazione. «Non siamo riusciti a rispettare il nostro impegno di cancellare i dati dei clienti in tempo e ci assumiamo la responsabilità di questo fallimento», ha dichiarato l’azienda.

Gli investigatori hanno inoltre individuato 12.873 registrazioni di carrelli non pagati contenenti informazioni potenzialmente sensibili sui clienti. Keystone ha incluso tali registrazioni nella propria risposta e ha avviato ulteriori richieste di cancellazione. Il produttore ha ridotto il proprio periodo di conservazione a 90 giorni e prevede che le richieste di cancellazione dei dati degli acquirenti in arretrato, presentate il 24 ottobre, vengano completate il 3 novembre. L’ultimo rapporto post mortem di Keystone fa seguito alla divulgazione da parte di Foundation, un produttore di portafogli hardware di Boston che ha subito anch’esso una violazione dei dati dei clienti.

I possessori di portafogli esistenti ricevono nuove linee guida sulla sicurezza

Keystone sostiene che le frasi di recupero, le chiavi private, le credenziali dei portafogli e le informazioni di pagamento non siano state compromesse. Ai clienti non viene richiesto di trasferire le proprie criptovalute esclusivamente a causa dell’incidente. I dispositivi consegnati prima del 20 ottobre rimangono sicuri da utilizzare se superano l’autenticazione, afferma l’azienda. I dispositivi ricevuti successivamente utilizzando la chiave compromessa richiedono un’ulteriore verifica tramite l’assistenza clienti, anche se l’autenticazione va a buon fine. Keystone ha inoltre messo in guardia i clienti da messaggi fraudolenti di richiamo che richiedono la restituzione dei dispositivi. L’azienda ha presentato rapporti alle autorità di regolamentazione nell’UE, nel Regno Unito e in altre giurisdizioni, con l’intenzione di introdurre strumenti di ricerca delle violazioni e condurre ulteriori audit di sicurezza. Per un produttore che commercializza dispositivi progettati per eliminare la necessità di affidarsi a terze parti, la perdita della chiave che garantisce la fiducia nel proprio hardware rappresenta una contraddizione particolarmente difficile da gestire.