Databrud hos Keystone
Hardware wallet-producenten Keystone har bekræftet et databrud, der fandt sted lørdag, hvor uautoriseret adgang til deres hjemmeside afslørede kundernes navne, leveringsadresser, kontaktinformation og købsdetaljer. Virksomheden forsikrer, at gendannelsesfraser og private nøgler forbliver sikre. Denne hændelse tilføjer Keystone til en voksende liste af hardware wallet-producenter, der har oplevet sikkerhedsproblemer i 2026, herunder Ledger, Trezor, Safepal og Coldcard.
Sikkerhedsproblem i onlinebutikken
En hardware wallet, der er designet til at holde kryptovalutahemmeligheder offline, har nu stødt på et sikkerhedsproblem et helt andet sted: i dens online butik. På lørdag, kl. 13:59 ET, meddelte Keystone, at en uautoriseret part havde fået adgang til kundernes leveringsinformation gennem deres hjemmeside, hvilket potentielt giver svindlere de personlige oplysninger, der er nødvendige for at udgive sig for at være virksomheden. Keystone insisterer på, at gendannelsesfraser, private nøgler og betalingsinformation ikke blev kompromitteret, men hændelsen rejser et ubehageligt spørgsmål om, hvor meget beskyttelse en offline wallet virkelig giver, når ejerens identitet og adresse er eksponeret.
Opdagelse og reaktion
Keystone afslørede på X, at de opdagede mistænkelig adgang den 20. oktober og efterfølgende undersøgte aktivitetsdata fra applikationsprogrammeringsgrænsefladen (API) med Shopify, deres e-handelsudbyder. Den 23. oktober bekræftede virksomheden, at en uautoriseret tredjepart havde fået adgang til kundernes navne, kontaktinformation, leveringsadresser og købsdetaljer. Virksomheden oplyser, at de har blokeret indtrængen, rettet sårbarheden og begyndt at underrette berørte kunder. Dog har Keystone ikke offentliggjort, hvor mange købere der blev eksponeret, eller præcist hvordan den uautoriserede adgang fandt sted.
Risiko for svindel
Den umiddelbare fare er ikke nødvendigvis, at nogen fjerner penge fra en hardware wallet på afstand, men snarere at nogen bruger legitime kundeoplysninger til at fremstille en overbevisende bedrag. Keystone har advaret kunderne om svigagtige refusionstilbud, erstatningsenheder og uopfordrede beskeder, der anmoder om følsomme oplysninger. Virksomheden understregede, at de aldrig vil anmode om gendannelsesfraser eller private nøgler.
“Jeg hæver bare opmærksomheden her, fordi jeg er 99% overbevist om, at jeres kundedatabase muligvis er blevet lækket. Jeg modtog et opkald fra et spoofed Montreal SPVM-nummer, og fyren forsøgte at social-engineere mig,” skrev X-kontoen OG Degen.
Kunder bør uafhængigt verificere kommunikation gennem Keystones officielle hjemmeside i stedet for at følge uventede links.
En udfordrende tid for hardware wallet-producenter
Keystones afsløring følger et vanskeligt år for hardware wallet-producenter. Coldcard stod over for en massiv fejl med svag tilfældighed i frøgenerering og betydelige estimerede tab, mens Ledger konfronterede rapporter om manipulerede enheder distribueret gennem en forhandler. Trezor og Safepal har også afsløret brud på kundernes oplysninger, der involverede tredjeparts opfyldelse eller bestillingssystemer. I modsætning til hændelser, der involverede kompromitterede gendannelsesfraser, skabte disse eksponeringer primært muligheder for phishing og efterligning. For Keystone rapporteres det, at de kryptografiske forsvar har holdt. Det bekymrende spørgsmål er, om kundernes personlige oplysninger har modtaget sammenlignelig beskyttelse. Den 13. oktober afslørede hardware wallet-producenten Ledger nye detaljer om, hvordan kriminelle manipulerede med deres hardware wallets.
