Keystone veröffentlicht Nexus-Update nach Cyberangriff

Keystone meldete unbefugte Eingriffe in bestimmte Dienste der Nexus-Anwendung. Aufgrund des Cyberangriffs konnten einige Benutzer vorübergehend bestimmte Funktionen nicht nutzen. Das Unternehmen erklärte, dass Spezialisten die Serversicherheit verstärkt haben und die Untersuchung keine Anzeichen für unbefugten Zugriff auf Kryptowährungsbestände oder persönliche Informationen der Benutzer ergab. Zur Behebung des Problems empfahl Keystone, die Anwendung auf Version 1.3.7 zu aktualisieren. Beim Herunterladen sollten Gerätebesitzer den Namen des Entwicklers überprüfen: Die offizielle App sollte von Yanssie HK Limited veröffentlicht werden. Programme mit anderen Entwicklerinformationen sind keine Produkte von Keystone.

Dies ist der dritte Sicherheitsvorfall, der vom Unternehmen innerhalb von etwa zwei Wochen gemeldet wurde. Zuvor bestätigte Keystone eine Verletzung seines Online-Shops auf der Shopify-Plattform. Der unbefugte Zugriff wurde am 20. Oktober entdeckt, und am 23. Oktober lud der Angreifer Lieferinformationen von Kunden hoch. Die veröffentlichten Daten umfassten Namen, Kontaktdaten, Adressen, Bestellinformationen und gekaufte Geräte. Der Leak betraf 25.964 Kunden, die zwischen 2024 und 2026 Einkäufe tätigten. Zusätzlich verzeichnete das Unternehmen 12.873 unvollständige Bestellungen. Laut Keystone wurden Zahlungsdaten, Bankdaten, Wiederherstellungsphrasen und private Schlüssel nicht offengelegt.

Später wurde bekannt, dass derselbe Angreifer Zugriff auf den WebAuth-Schlüssel erlangte, der zur Authentifizierung von Keystone-Geräten verwendet wird. Dieser Schlüssel ist während der Produktion in die Hardware eingebettet und kann nicht ersetzt werden. Sein Kompromittieren schuf ein Risiko für die Herstellung gefälschter Geräte, die die Authentifizierung bestehen können. Infolgedessen entschied sich das Unternehmen, 18.835 unverkaufte Wallets zu entsorgen. Keystone erklärte, dass Geräte, die vor dem 20. Oktober geliefert wurden und die Überprüfung bestanden haben, echt sind. Für Wallets mit dem alten Schlüssel, die nach diesem Datum empfangen wurden, konnte das Unternehmen jedoch die Möglichkeit von Fälschungen nicht vollständig ausschließen und empfahl den Besitzern, sich vor der Nutzung an den Support zu wenden. Zum Zeitpunkt der Veröffentlichung wurden keine Berichte über gefälschte Geräte oder Diebstähle gemeldet.

Ein weiteres Problem war das Versagen der automatischen Löschung von Kundendaten. Keystone behauptete, dass es Lieferadressen 180 Tage nach Abschluss der Bestellung löscht, aber der Leak umfasste Kaufinformationen von vor mehr als zwei Jahren. Nach der Entdeckung des Fehlers verkürzte das Unternehmen die Datenaufbewahrungsfrist auf 90 Tage und bat Shopify, ältere Aufzeichnungen zu löschen. Dieses Verfahren sollte bis zum 3. November abgeschlossen sein. Das konkurrierende Unternehmen OneKey begrenzte die Aufbewahrungsfrist für ähnliche Daten auf 30 Tage.

Die Vorfälle betrafen auch andere Unternehmen in der Branche. Im August betraf ein Leak beim Logistikpartner ShipMonk von Trezor etwa 81.000 Kunden, und ein Fehler im Bestellverfolgungssystem von SafePal legte Daten von etwa 39.798 Benutzern offen. Im Fall von Ledger entdeckten Forscher versteckte Chips in weiterverkauften Geräten; die damit verbundenen Verluste überstiegen laut Forschern 86 Millionen US-Dollar.