Cosa è successo esattamente?
Il produttore di portafogli hardware Keystone ha annunciato che un aggressore ha ottenuto l'accesso ai dati attraverso una vulnerabilità sul suo sito. Secondo l'azienda sono stati trafugati gli indirizzi di spedizione e i dettagli degli ordini dei clienti, riferiscono The Defiant e Cointelegraph.
Un portafoglio hardware è un dispositivo fisico che conserva le chiavi private delle criptovalute offline, fuori dalla portata di internet. Proprio per questo i clienti di questi dispositivi sono spesso persone che detengono volumi consistenti di criptoasset, il che rende gli indirizzi di spedizione trafugati un elenco sensibile.
Cosa, secondo Keystone, NON è trapelato?
L'azienda afferma che l'intrusione non ha toccato i dati più sensibili. Secondo The Defiant non sono stati esposti:
- i dati di pagamento,
- le frasi di recupero (seed phrase),
- le chiavi private.
La frase di recupero è una sequenza di parole con cui è possibile ripristinare l'accesso al portafoglio. Se trapelasse, un aggressore potrebbe sottrarre direttamente i fondi. Keystone sostiene al contempo di aver bloccato l'accesso e corretto la vulnerabilità, scrive The Defiant.
Perché il trafugamento degli indirizzi di spedizione è rischioso anche senza le chiavi?
Un ricercatore di sicurezza, secondo Cointelegraph, ha avvertito che anche i soli dati di spedizione possono essere sfruttati. La combinazione di nome, indirizzo e informazione che quella persona possiede un portafoglio hardware apre due rischi principali:
- Truffe mirate (phishing). Gli aggressori possono contattare le vittime per nome e con dettagli credibili dell'ordine, cercando di indurle a rivelare dati sensibili.
- Attacchi fisici. Un elenco di persone che probabilmente detengono criptoasset, insieme al loro indirizzo di residenza, aumenta il rischio di rapine ed estorsioni nel mondo reale.
Questi sono rischi descritti dalla fonte, non casi di abuso confermati. Se sia già avvenuto qualche uso improprio dei dati non è noto dalle fonti disponibili.
Questi dati avrebbero dovuto essere cancellati da tempo?
Qui la storia si complica. Secondo The Block, Keystone afferma di cancellare i dati dei clienti nella maggior parte dei casi 180 giorni dopo l'ordine. I clienti sulla piattaforma X, secondo la stessa fonte, sostengono però che nella violazione figuravano anche dati più vecchi, e mettono in dubbio che l'azienda eseguisse davvero la cancellazione.
La contraddizione non è per ora verificata in modo indipendente. Non sappiamo quanti clienti siano coinvolti né quanto vecchi siano esattamente i dati trafugati. Questa è la domanda aperta chiave dell'intero caso: se l'azienda prometteva la cancellazione e i dati esistevano comunque, si tratta di un mancato rispetto delle proprie politiche, non solo dell'intrusione in sé.
Contesto più ampio: i dati come punto debole anche nelle soluzioni "a freddo"
I portafogli hardware proteggono le chiavi. Non proteggono però i metadati che si generano all'acquisto del dispositivo: nome, indirizzo, cronologia degli ordini. Questo caso mostra che la superficie di attacco delle aziende crypto non si ferma alla blockchain, ma inizia già dalla normale infrastruttura web e dalla gestione dei dati personali.
A cosa prestare attenzione in questo tipo di incidente
Questo non è un consiglio su cosa fare con il proprio patrimonio, ma una panoramica di ciò che di solito è rilevante monitorare in violazioni simili:
- la comunicazione ufficiale del produttore sull'entità del trafugamento e su chi è stato colpito,
- l'aumento dei tentativi di phishing che si spacciano per comunicazioni del produttore o del corriere,
- richieste di "verifica" inattese che invitano a inserire la frase di recupero (un produttore legittimo non la richiede mai),
- eventuali chiarimenti successivi su se e per quanto tempo i dati siano stati effettivamente conservati.
Cosa è finora confermato e cosa no
È confermato che Keystone ha ammesso la violazione e ha descritto quali dati siano stati e non siano stati colpiti. Restano non confermati l'entità reale, il numero di clienti coinvolti, l'età dei dati trafugati e se i dati siano già stati sfruttati. charliedesk seguirà se Keystone pubblicherà cifre più precise.