ช่องโหว่ Keystone รุนแรงขึ้น กระเป๋าเงินฮาร์ดแวร์คริปโต 18,835 ใบเสี่ยงถูกทำลาย

กุญแจการยืนยันที่ถูกขโมยทำให้ Keystone ต้องทำลายกระเป๋าเงินฮาร์ดแวร์ 18,835 เครื่อง

สิ่งที่ดูเหมือนจะเป็นการรั่วไหลข้อมูลลูกค้าในขั้นต้น ได้พัฒนาเป็นปัญหาความปลอดภัยที่ร้ายแรงขึ้นอย่างมาก เมื่อวันที่ 26 ตุลาคม 2026 Keystone เปิดเผยว่าผู้โจมตีได้เข้าถึงกุญแจการยืนยันตัวตนที่ใช้ตรวจสอบว่ากระเป๋าเงินฮาร์ดแวร์ของบริษัทเป็นของแท้หรือไม่

บริษัทได้ติดตามการบุกรุกจนถึงจุดอ่อนในเครื่องมือตรวจสอบข้อมูลของฝ่ายที่สาม ซึ่งทำให้ผู้โจมตีสามารถเพิ่มระดับสิทธิ์การเข้าถึงได้ Keystone ได้ตรวจพบกิจกรรมที่น่าสงสัยเมื่อวันที่ 20 ตุลาคม ปิดฟังก์ชันเว็บไซต์ที่มีจุดอ่อน และเริ่มการสอบสวนทางนิติวิทยาศาสตร์

กุญแจ WebAuth ที่ถูกขโมยก่อให้เกิดปัญหาที่ร้ายแรงเป็นพิเศษ ผู้โจมตีที่ครอบครองกุญแจนี้สามารถผลิตอุปกรณ์ปลอมที่สามารถผ่านการตรวจสอบความแท้จริงของ Keystone ได้ ซึ่งอาจทำให้ผู้ซื้อที่ไม่สงสัยตกเป็นเหยื่อการขโมยสินทรัพย์ได้

Keystone อธิบายว่ากุญแจนี้ถูกฝังไว้อย่างถาวรในระหว่างการผลิต และไม่สามารถเขียนทับหรือลบได้ ด้วยเหตุนี้ ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์จึงมีแผนที่จะทำลายอุปกรณ์ทั้งหมด 18,835 เครื่องในสต็อกที่มีคีย์ที่ถูกบุกรุก กระเป๋าเงินที่ผลิตใหม่จะได้รับคีย์การตรวจสอบความถูกต้องใหม่ ในขณะเดียวกัน Keystone ได้ระงับการจัดส่งคำสั่งซื้อที่ค้างอยู่บนเว็บไซต์ และเปลี่ยนเป็นระบบสั่งซื้อล่วงหน้าจนกว่าการผลิตคีย์ทดแทนจะพร้อม

ข้อมูลผู้ซื้อเกือบ 26,000 รายถูกเปิดเผย เนื่องจากระบบลบข้อมูลล้มเหลว

การสอบสวนยังเปิดเผยถึงข้อผิดพลาดที่ร้ายแรงในการจัดการข้อมูลลูกค้าของ Keystone จากข้อมูลผู้ซื้อ Shopify จำนวน 51,083 รายที่ถูกตรวจสอบ พบว่า 25,964 รายยังคงมีข้อมูลส่วนตัวเก็บไว้ รวมถึงชื่อ ที่อยู่จัดส่ง รายละเอียดการติดต่อ และประวัติการซื้อสินค้าตั้งแต่ปี 2024 ถึง 2026 Keystone ยอมรับว่าระบบการลบข้อมูลอัตโนมัติของบริษัทเกิดข้อผิดพลาด ทำให้ข้อมูลลูกค้ายังคงถูกเก็บไว้เกินกว่านโยบายการเก็บรักษาข้อมูล 180 วันของบริษัท

"เราไม่สามารถปฏิบัติตามคำมั่นสัญญาในการลบข้อมูลลูกค้าตามกำหนดเวลาได้ และเรายอมรับความรับผิดชอบต่อความล้มเหลวนี้" บริษัทระบุ

ผู้ตรวจสอบยังพบข้อมูลการชำระเงินที่ยังไม่ชำระจำนวน 12,873 รายการ ซึ่งอาจมีข้อมูลลูกค้าที่ละเอียดอ่อน Keystone ได้รวมข้อมูลเหล่านั้นไว้ในรายงานตอบกลับและได้ดำเนินการส่งคำขอลบข้อมูลเพิ่มเติมแล้ว ผู้ผลิตได้ลดระยะเวลาการเก็บรักษาข้อมูลลงเหลือ 90 วัน และคาดว่าจะเสร็จสิ้นการลบข้อมูลผู้ซื้อที่เกินกำหนด ซึ่งส่งคำขอเมื่อวันที่ 24 ตุลาคม ภายในวันที่ 3 พฤศจิกายน รายงานวิเคราะห์หลังเหตุการณ์ล่าสุดของ Keystone นี้ออกมาหลังจากที่ Foundation ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์จากบอสตัน ซึ่งก็ประสบปัญหาการรั่วไหลข้อมูลลูกค้าเช่นกัน ได้เปิดเผยข้อมูลดังกล่าว

เจ้าของกระเป๋าเงินที่มีอยู่ได้รับคำแนะนำด้านความปลอดภัยใหม่

Keystone ยืนยันว่าวลีการกู้คืน (recovery phrases), กุญแจส่วนตัว (private keys), ข้อมูลการเข้าสู่ระบบกระเป๋าเงิน (wallet credentials) และข้อมูลการชำระเงิน (payment information) ไม่ถูกละเมิด ลูกค้าไม่ได้รับคำแนะนำให้ย้ายสกุลเงินดิจิทัลของตนเพียงเพราะเหตุการณ์นี้เท่านั้น บริษัทระบุว่า อุปกรณ์ที่ส่งมอบก่อนวันที่ 20 ตุลาคม ยังคงปลอดภัยในการใช้งานหากผ่านการตรวจสอบความถูกต้อง อุปกรณ์ที่รับมาหลังจากนั้นโดยใช้กุญแจที่ถูกบุกรุกจำเป็นต้องผ่านการตรวจสอบเพิ่มเติมผ่านฝ่ายสนับสนุนลูกค้า แม้การยืนยันตัวตนจะสำเร็จก็ตาม

Keystone ยังเตือนลูกค้าให้ระวังข้อความเรียกคืนอุปกรณ์ที่เป็นการหลอกลวง ซึ่งขอให้ส่งอุปกรณ์คืน บริษัทได้ส่งรายงานตามข้อกำหนดของหน่วยงานกำกับดูแลในสหภาพยุโรป (EU) สหราชอาณาจักร (UK) และเขตอำนาจศาลอื่น ๆ พร้อมทั้งมีแผนที่จะเปิดตัวเครื่องมือค้นหาข้อมูลการรั่วไหลของข้อมูล และดำเนินการตรวจสอบความปลอดภัยเพิ่มเติม สำหรับผู้ผลิตที่ขายอุปกรณ์ที่ออกแบบมาเพื่อขจัดความไว้วางใจในฝ่ายที่สาม การสูญเสียกุญแจที่สร้างความไว้วางใจในฮาร์ดแวร์ของตนเอง จึงก่อให้เกิดความขัดแย้งที่ยากลำบากเป็นพิเศษ