OneKey limita la conservazione dei dati a 30 giorni, mentre Keystone non mantiene la promessa di cancellazione
- OneKey ha dichiarato che conserverà i dati dei clienti per non più di 30 giorni dopo che Keystone ha ammesso il malfunzionamento del proprio sistema di cancellazione a 180 giorni, lasciando esposti in una violazione 25.964 record degli acquirenti.
- Questa mossa è importante per gli acquirenti di wallet hardware perché i dati degli ordini rubati alimentano minacce di phishing e alla sicurezza fisica, e poiché le promesse di cancellazione dipendono dagli store Shopify e dai partner di spedizione che detengono effettivamente i record.
- Keystone sta inoltre distruggendo 18.835 dispositivi dopo che gli attaccanti hanno rubato la chiave che ne verifica l'hardware.
Il fondatore di OneKey, Yishi Wang, si è impegnato a cancellare i dati dei clienti entro 30 giorni, a seguito dell'ammissione di un fallimento da parte del concorrente nel settore dei wallet hardware, Keystone, riguardo al proprio sistema di cancellazione a 180 giorni, dopo una violazione che ha esposto quasi 26.000 record degli acquirenti.
Il centro assistenza di Keystone ha notato che la cancellazione finale dei record utente è gestita da Shopify. Questa rivelazione espone una falla di sicurezza a livello degli store Shopify e delle aziende di logistica, oltre il controllo dei produttori di wallet come OneKey e Keystone, nonostante l'impegno della prima a una cancellazione entro 30 giorni.
Perché OneKey riduce la finestra di conservazione dei dati
Yishi Wang di OneKey ha confermato martedì che il produttore di hardware wallet sta auditando il proprio sistema di sicurezza dopo recenti violazioni e attacchi alla catena di fornitura che hanno esposto vulnerabilità di sicurezza nel settore in cui opera.
Wang ha sottolineato che la mossa è precauzionale, scrivendo che "OneKey NON ha subito un incidente di sicurezza". Piuttosto, la decisione di limitare la conservazione dei dati a 30 giorni è una risposta diretta a ciò che è accaduto altrove.
La ragione dietro la finestra di conservazione dei dati più breve è che più a lungo un fornitore conserva i dati dei clienti, maggiore sarà il pool di dati dei clienti che può essere esposto in caso di violazioni.
Cosa ha causato la violazione di Keystone?
Keystone ha rivelato che il sistema che elimina automaticamente i dati dei clienti alla fine del periodo di conservazione di 180 giorni aveva smesso di funzionare senza attivare alcun segnale di allarme. "Non abbiamo rispettato il nostro impegno di cancellare i dati dei clienti in tempo e accettiamo la responsabilità di questo fallimento", ha dichiarato l'azienda.
Keystone ha trovato 25.964 record che contenevano ancora dati personali, nomi, indirizzi di spedizione, dettagli di contatto e cronologie degli acquisti durante un revisione di 51,083 record acquirenti Shopify. A quanto pare, i dati risalenti al 2024 erano ancora conservati, ben oltre il limite di 180 giorni l'azienda ha evidenziato dopo che i clienti di Ledger hanno appreso della violazione presso il partner e-commerce Global-e nel gennaio 2026.
Gli investigatori hanno trovato dettagli sensibili in altri 12.873 record di checkout non pagati.
In risposta, Keystone ha ora ridotto la finestra di conservazione a 90 giorni.
Keystone ha anche rivelato il 26 ottobre che gli aggressori hanno sottratto anche la chiave WebAuth utilizzata dai suoi dispositivi per dimostrare la loro autenticità, risalendo all'intrusione a una vulnerabilità in uno strumento di monitoraggio di terze parti che consentiva agli intrusi di elevare i propri privilegi. Keystone ha rilevato per la prima volta l'attività il 20 ottobre.
Poiché la chiave è bruciata in ogni dispositivo durante la produzione e non può essere sovrascritta, Keystone prevede di distruggere tutte le 18.835 unità in inventario che la contengono. I nuovi portafogli ricevono una chiave sostitutiva.
L'azienda ha interrotto le spedizioni degli ordini del sito web ancora in sospeso e ha adottato il sistema di preordini.
Le promesse di cancellazione valgono solo quanto i partner che detengono i dati
In particolare, i produttori di hardware wallet non sono gli unici a conservare i dati dei clienti. Anche le piattaforme e-commerce e i partner di spedizione gestiscono nomi, indirizzi e cronologie degli ordini dei clienti, ed è proprio a questo livello che si sono verificati la maggior parte delle recenti violazioni.
La fuga di dati di Trezor ha raggiunto 81.000 clienti dopo che il suo partner di spedizione, ShipMonk, non ha eliminato i record nonostante ripetute assicurazioni scritte. SafePal ha esposto 39,798 clienti attraverso una falla nel tracciamento degli ordini e da allora ha ridotto la conservazione dei dati a 90 giorni. Ledger ha confermato che i dispositivi risellati da CryptoBilis nascondevano chip in grado di catturare le frasi di recupero. Cryptopolitan, citando ricercatori on-chain, ha stimato le perdite a oltre $86 milioni.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Perché OneKey sta riducendo la conservazione dei dati a 30 giorni?
Yishi di OneKey ha dichiarato su X che l'azienda sta rafforzando la propria sicurezza dopo una serie di violazioni dei dati e attacchi alla catena di approvvigionamento nell'industria dei wallet hardware, e ha precisato che OneKey stessa non è stata violata.
Cosa ha ammesso Keystone riguardo alla sua politica di cancellazione di 180 giorni?
Keystone ha affermato che il suo sistema di cancellazione automatizzato ha avuto un malfunzionamento, lasciando 25.964 dei 51.083 record Shopify con dati personali oltre il limite di 180 giorni, e ha riconosciuto di non aver adempiuto al proprio impegno di cancellare i dati entro i tempi previsti.
Perché Keystone sta distruggendo 18,835 wallet hardware?
Gli attaccatori hanno rubato la chiave di autenticazione che Keystone utilizza per verificare i dispositivi genuini e, poiché la chiave è integrata durante la produzione e non può essere riscritta, l'azienda sta scartando tutte le 18.835 unità interessate e sospendendo le spedizioni.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
