Des hackers ont récupéré les adresses des acheteurs de Keystone sur sa boutique Shopify

Le fabricant de portefeuilles matériels Keystone a déclaré qu'un intrus s'était introduit dans sa boutique en ligne propulsée par Shopify et avait emporté avec lui les noms des clients, leurs coordonnées, leurs adresses de livraison et les dossiers de commande, mais pas les données de paiement, les phrases de récupération ou les clés privées.

Fuite détectée le 20, confirmée le 23

L'entreprise basée à Hong Kong s'est excusée sur X samedi 24 octobre, indiquant avoir détecté un accès non autorisé à son site web officiel le 20 octobre et, après avoir vérifié l'activité de l'API avec Shopify, avoir confirmé le 23 octobre qu'un tiers avait obtenu les données d'expédition des clients.

« Vous nous avez fait confiance avec ces détails, et nous sommes désolés de ne pas les avoir protégés », a écrit Keystone.

Les enregistrements volés couvrent les noms, les coordonnées, les adresses et les informations de commande telles que les articles achetés et leur prix, tandis que les phrases de récupération, les clés privées, les mots de passe des portefeuilles et les détails des cartes et des comptes bancaires sont restés hors de portée, selon Keystone.

L'entreprise a indiqué avoir coupé l'accès, corrigé la vulnérabilité, lancé une enquête et commencé à envoyer des e-mails aux clients concernés. Aucun chiffre de victimes n'a été communiqué, ni le point d'entrée, ni aucune information sur l'attaquant, bien qu'un rapport détaillé soit attendu prochainement.

Keystone a mis en garde les acheteurs contre des imposteurs susceptibles de les contacter par téléphone, SMS, e-mail ou courrier avec des offres de remboursement, de nouveaux appareils ou de « corrections » pour une commande ou une adresse. Elle a également conseillé aux acheteurs de ne pas saisir une phrase de récupération sur un appareil qu'ils n'ont pas commandé et de taper eux-mêmes l'adresse keyst.one.

Avant que Keystone ne rende public l'incident, l'utilisateur X @PEPE_Whale69 a signalé un possible fuites vendredi soir. Il a déclaré avoir reçu un appel d'une personne usurpant un numéro de police de Montréal, qui lui demandait si Amazon, eBay ou Keystone voulaient dire quelque chose.

Le post indiquait que les détails fournis par l'appelant correspondaient à la commande Keystone de 2024 de l'utilisateur. Keystone a répondu à 1 h 08 (HE) samedi, affirmant avoir « initié une enquête urgente sur cette affaire ».

Les clients affirment que les commandes de plus de 180 jours ont été divulguées

Keystone met en avant la suppression des données comme un argument de vente. Le 5 janvier, jour où les clients de Ledger ont été informés d’une fuite chez leur partenaire e-commerce Global-e, Keystone a publié que « 180 jours après votre commande, vos données d’expédition sont définitivement supprimées ».

« D'autres portefeuilles matériels conservent vos données à jamais. Nous supprimons vos informations d'expédition au maximum après 180 jours », a écrit Keystone en mars.

Samedi, @trintaetres_33 a indiqué que l'e-mail concernant la violation de données les avait contactés bien qu'ils aient acheté un appareil il y a plus de deux ans. @BlockchainBarmy a déclaré que 214 jours s'étaient écoulés entre leur dernière commande et la violation.

La commande de 2024 liée à l'appel usurpé est également vieille de plus de 180 jours, mais Keystone n'a pas précisé publiquement si elle a respecté sa propre politique, et aucune des allégations des clients n'a été vérifiée.

Sur sa page Promesse de confidentialité , Keystone indique que toutes les informations d’expédition sont automatiquement supprimées 180 jours après une commande. Cependant, dans sa politique de confidentialité, dernière mise à jour en mai 2021, il est indiqué que les données de commande ne sont supprimées que pour les clients n’ayant pas passé de commande au cours des 180 derniers jours.

Un article du centre d'aide indique que les enregistrements de la ville et du pays sont conservés même lorsque les acheteurs demandent leur suppression, et que Shopify effectue la suppression finale.

En août, Trezor a annoncé qu'une violation chez son partenaire logistique ShipMonk avait exposé près de 14 000 clients, puis a ajouté environ 67 000 clients américains supplémentaires au total.

Quelques jours après la première divulgation de Trezor, SafePal a annoncé qu'un bug dans son système de suivi des commandes avait exposé près de 40 000 clients.

Cryptopolitan a rapporté plus tôt ce mois-ci que Ledger a confirmé que des puces cachées à l’intérieur des portefeuilles vendus par CryptoBilis lisent les phrases de récupération de 24 mots lors de la configuration et les envoient via LTE. Les chercheurs sur la chaîne ont évalué les pertes à plus de 86 millions de dollars.

En raison de cela, Trezor cessera de vendre à certains revendeurs à partir du 1er janvier 2027.

Les portefeuilles Keystone utilisent des codes QR pour signer les transactions, ils n'ont donc pas besoin d'une connexion USB, Bluetooth ou Wi-Fi. Le piratage a affecté la boutique Shopify de l'entreprise.