Co dokładnie się stało?
Producent portfeli sprzętowych Keystone ogłosił, że atakujący uzyskał dostęp do danych poprzez lukę w jego witrynie. Według firmy wyciekły adresy dostawy i szczegóły zamówień klientów, podają The Defiant i Cointelegraph.
Portfel sprzętowy to fizyczne urządzenie, które przechowuje klucze prywatne do kryptowalut offline, poza zasięgiem internetu. Właśnie dlatego klientami tych urządzeń są często osoby trzymające znaczące ilości kryptoaktywów, co sprawia, że wyciekłe adresy dostawy stanowią wrażliwą listę.
Co według Keystone NIE wyciekło?
Firma podaje, że włamanie nie dotknęło najbardziej wrażliwych danych. Według The Defiant nie zostały ujawnione:
- dane płatnicze,
- frazy odzyskiwania (seed phrase),
- klucze prywatne.
Fraza odzyskiwania to sekwencja słów, za pomocą której można odzyskać dostęp do portfela. Gdyby wyciekła, atakujący mógłby bezpośrednio ukraść środki. Keystone twierdzi jednocześnie, że zablokował dostęp i naprawił lukę, pisze The Defiant.
Dlaczego wyciek adresów dostawy jest ryzykowny nawet bez kluczy?
Badacz bezpieczeństwa według Cointelegraph ostrzegł, że nawet same dane dostawy mogą zostać wykorzystane. Kombinacja imienia, adresu i informacji, że dana osoba posiada portfel sprzętowy, otwiera dwa główne ryzyka:
- Ukierunkowane oszustwa (phishing). Atakujący mogą kontaktować się z ofiarami, znając ich imię i wiarygodne szczegóły zamówienia, i próbować nakłonić je do ujawnienia wrażliwych danych.
- Ataki fizyczne. Lista osób, które prawdopodobnie trzymają kryptoaktywa, wraz z ich miejscem zamieszkania zwiększa ryzyko rabunków i wymuszeń w świecie rzeczywistym.
To są ryzyka opisane przez źródło, a nie potwierdzone przypadki nadużyć. Czy już doszło do jakiegoś nadużycia danych, nie wynika z dostępnych źródeł.
Czy te dane powinny były zostać dawno usunięte?
Tutaj historia się komplikuje. Według The Block Keystone podaje, że dane klientów w większości przypadków usuwa 180 dni po złożeniu zamówienia. Klienci na platformie X jednak, według tego samego źródła, twierdzą, że w wycieku znalazły się także ich starsze dane, i kwestionują, czy firma rzeczywiście przeprowadzała usuwanie.
Rozbieżność nie została jak dotąd niezależnie zweryfikowana. Nie wiemy, ilu klientów to dotyczy ani jak stare dane dokładnie wyciekły. To kluczowe otwarte pytanie całej sprawy: jeśli firma obiecywała usuwanie, a dane mimo to istniały, chodzi o naruszenie własnych zasad, a nie tylko o samo włamanie.
Szerszy kontekst: dane jako słaby punkt także w rozwiązaniach "zimnych"
Portfele sprzętowe chronią klucze. Nie chronią jednak metadanych, które powstają przy zakupie urządzenia: imienia, adresu, historii zamówień. Ten przypadek pokazuje, że powierzchnia ataku w firmach kryptowalutowych nie kończy się na blockchainie, lecz zaczyna się już przy zwykłej infrastrukturze internetowej i obchodzeniu się z danymi osobowymi.
Na co zwracać uwagę przy tego typu incydencie
To nie jest porada, co robić z majątkiem, lecz przegląd tego, co zwykle warto śledzić przy podobnych wyciekach:
- oficjalną komunikację producenta o zakresie wycieku i o tym, kto został dotknięty,
- wzrost prób phishingu podszywających się pod komunikację od producenta lub przewoźnika,
- nieoczekiwane "weryfikacyjne" wezwania do wpisania frazy odzyskiwania (legalny producent nigdy jej nie wymaga),
- ewentualne późniejsze doprecyzowanie, czy i jak długo dane były rzeczywiście przechowywane.
Co jest jak dotąd potwierdzone, a co nie
Potwierdzone jest, że Keystone przyznał się do wycieku i opisał, jakie dane zostały, a jakie nie zostały dotknięte. Niepotwierdzony pozostaje rzeczywisty zakres, liczba dotkniętych klientów, wiek wyciekłych danych oraz to, czy dane zostały już wykorzystane. charliedesk będzie śledzić, czy Keystone opublikuje dokładniejsze liczby.