키스톤, 인증 키 유출 후 18,835개 장치 파괴 예정

하드웨어 지갑 제조업체 Keystone은 공식 웹사이트에서 발생한 보안 사고 이후 18,835개의 미판매 기기를 파기하고 주문 발송을 중단할 것입니다. 공격자는 고객 데이터와 기기 인증에 사용되는 WebAuth 키에 접근했습니다.

공격은 2026년 10월 20일에 제3자 데이터 모니터링 도구의 취약점을 통해 발생했습니다. 공격자는 권한을 상승시켜 정보와 키에 접근했습니다. 이 유출은 2024년부터 2026년까지 공식 웹사이트에서 Shopify를 통해 주문한 25,964명의 고객 기록에 영향을 미쳤으며, 여기에는 이름, 연락처 정보, 배송 주소 및 주문 정보가 포함됩니다. 또한 12,873건의 미완료 결제 기록도 포함되었습니다. Amazon 및 기타 채널을 통한 구매는 영향을 받지 않았습니다.

WebAuth 키는 제조 과정에서 기기에 기록되며 제거하거나 교체할 수 없습니다. 이 키의 손상은 이론적으로 인증을 통과하는 위조 기기를 생성할 수 있게 하며, 고객은 이를 진품으로 오인하여 암호화 자산을 위험에 빠뜨릴 수 있습니다. 회사는 이 키가 시드 구문 생성, 개인 키 획득 또는 거래 서명에 관여하지 않는다고 강조했습니다.

Keystone은 자동 기록 삭제 도구의 실패로 인해 일부 개인 데이터가 설정된 기간보다 오래 저장되었다고 인정했습니다. 회사는 실패를 감지하지 못했습니다. 만료된 데이터 삭제 요청은 10월 24일 Shopify에 전송되었으며, 11월 3일까지 완료될 예정입니다. 저장 정책은 180일에서 90일로 줄어들 것입니다.

고객이 해야 할 일

Keystone은 이번 사건이 시드 구문, 개인 키, 기타 지갑 자격 증명, 은행 결제 정보 및 정부 문서 번호에 영향을 미치지 않았으므로 유출로 인해 자산을 이전할 필요는 없다고 밝혔습니다. 10월 20일 이전에 배송된 기기는 인증을 통과하면 안전하며, 이 날짜 이후에 구형 키가 있는 기기를 받은 고객은 추가 확인을 위해 지원팀에 문의할 것을 권장합니다. 회사는 "자산 이전"을 제안하거나 기기 반환을 요구하는 사기꾼에 대해 경고했습니다.

Keystone은 주문 발송을 중단하고 새로운 키가 있는 기기를 출시할 때까지 사전 주문으로 전환할 것입니다. 새로운 지갑은 새로운 인증 키를 사용할 것입니다.

이전에 Foundation에서 유사한 사건이 공개되었습니다. 공격자는 공식 도메인에서 피싱 이메일을 보냈습니다. 회사는 23,000건 이상의 피싱 시도가 있었으며, 60일 삭제 프로세스를 우회한 오래된 데이터베이스 사본을 발견했다고 보고했습니다. 약 5,600개의 이메일 주소와 5,200개의 전화번호가 포함되었습니다.