Gli hacker hanno sottratto gli indirizzi degli acquirenti di Keystone dal suo store Shopify

Il produttore di hardware wallet Keystone ha dichiarato che un intruso si è infiltrato nel suo negozio online basato su Shopify e ha sottratto nomi dei clienti, dettagli di contatto, indirizzi di spedizione e registri degli ordini, senza però accedere ai dati di pagamento, alle frasi di recupero o alle chiavi private.

Violazione rilevata il 20, confermata il 23

L'azienda con sede a Hong Kong ha chiesto scuse su X sabato 24 ottobre, dichiarando di aver rilevato l'accesso non autorizzato al suo sito web ufficiale il 20 ottobre e, dopo aver verificato l'attività API con Shopify, di aver confermato il 23 ottobre che una terza parte aveva ottenuto i dati di spedizione dei clienti.

«Ci avete affidato questi dettagli e ci dispiace non averli tenuti al sicuro», ha scritto Keystone.

I record rubati comprendono nomi, dettagli di contatto, indirizzi e informazioni sugli ordini, come gli articoli acquistati e i relativi costi, mentre le frasi di recupero, le chiavi private, le password dei portafogli e i dettagli delle carte e bancarie sono rimasti fuori portata, secondo quanto dichiarato da Keystone.

L'azienda ha dichiarato di aver revocato l'accesso, di aver risolto la vulnerabilità, di aver avviato un'indagine e di aver iniziato a inviare email ai clienti interessati. Non sono stati forniti né il numero delle vittime, né il punto di ingresso, né informazioni sull'attaccante, sebbene sia stato annunciato che un rapporto dettagliato sarà disponibile a breve.

Keystone ha avvertito gli acquirenti che degli impostori potrebbero contattarli tramite telefono, SMS, email o posta con offerte di rimborsi, nuovi dispositivi o "soluzioni" per un ordine o un indirizzo. Ha inoltre consigliato agli acquirenti di non inserire una frase di recupero su un dispositivo non ordinato da loro e di digitare manualmente l'indirizzo keyst.one.

Prima che Keystone rendesse pubblica la notizia, l'utente X @PEPE_Whale69 ha segnalato una possibile fuoriuscita di dati venerdì sera. Ha riferito di aver ricevuto una chiamata da qualcuno che spoofava un numero della polizia di Montreal, il quale chiedeva se Amazon, eBay o Keystone significassero qualcosa.

Il post indicava che i dettagli della telefonata corrispondevano all'ordine Keystone del 2024 dell'utente. Keystone ha risposto alle 1:08 ET del sabato, affermando di aver "avviato un'indagine urgente sulla questione".

I clienti dicono che gli ordini superiori a 180 giorni sono stati compromessi

Keystone ha sempre presentato la cancellazione dei dati come un punto di forza. Il 5 gennaio, giorno in cui i clienti di Ledger sono stati avvisati di una violazione presso il partner e-commerce Global-e, Keystone ha pubblicato che "180 giorni dopo il tuo ordine, i tuoi dati di spedizione vengono eliminati definitivamente."

“Altri hardware wallet conservano i tuoi dati per sempre. Noi cancelliamo le tue informazioni di spedizione entro un massimo di 180 giorni”, ha scritto Keystone a marzo.

Sabato, @trintaetres_33 ha dichiarato di aver ricevuto l'e-mail sulla violazione dei dati nonostante avesse acquistato un dispositivo più di due anni fa. @BlockchainBarmy ha affermato che sono trascorsi 214 giorni tra il loro ultimo ordine e la violazione.

L'ordine del 2024 collegato alla chiamata truffaldina è datato oltre 180 giorni, ma Keystone non ha reso pubblico se abbia seguito la propria politica e nessuna delle affermazioni dei clienti è stata verificata.

Nella sua pagina Privacy Promise, Keystone afferma che tutte le informazioni di spedizione vengono eliminate automaticamente 180 giorni dopo un ordine. Tuttavia, nella sua informativa sulla privacy, modificata per l'ultima volta nel maggio 2021, si legge che i dati degli ordini vengono eliminati solo per i clienti che non hanno effettuato ordini negli ultimi 180 giorni.

Un articolo del centro assistenza afferma che i record relativi a città e paese vengono conservati anche quando gli acquirenti richiedono la cancellazione, e che Shopify effettua la cancellazione definitiva.

Ad agosto, Trezor ha annunciato che una violazione presso il partner di spedizione ShipMonk aveva esposto quasi 14.000 clienti, aggiungendo in seguito circa 67.000 altri clienti statunitensi al totale.

Pochi giorni dopo la prima comunicazione di Trezor, SafePal ha dichiarato che un bug nel suo sistema di tracciamento degli ordini aveva esposto quasi 40.000 clienti.

Cryptopolitan ha segnalato all'inizio di questo mese che Ledger ha confermato che chip nascosti all'interno dei portafogli venduti da CryptoBilis stavano leggendo le frasi di recupero di 24 parole durante la configurazione e le inviavano tramite LTE. Gli analisti on-chain hanno stimato le perdite in oltre 86 milioni di dollari.

Per questo motivo, Trezor smetterà di vendere ad alcuni rivenditori a partire dal 1° gennaio 2027.

I wallet Keystone utilizzano codici QR per firmare le transazioni, quindi non necessitano di una connessione USB, Bluetooth o Wi-Fi. L'hack ha interessato lo store Shopify dell'azienda.