Keystone发布Nexus更新以应对网络攻击

Keystone报告称Nexus应用程序的某些服务遭到未经授权的干扰。由于网络攻击，一些用户暂时无法使用某些功能。公司表示，专家已加强服务器安全，调查未发现任何未经授权访问加密资产或用户个人信息的迹象。为解决问题，Keystone建议将应用程序更新至1.3.7版本。下载时，设备所有者应检查开发者名称：官方应用程序应由Yanssie HK Limited发布。其他开发者信息的程序不是Keystone产品。

这是公司在大约两周内报告的第三起安全事件。此前，Keystone确认其Shopify平台上的在线商店遭到入侵。未经授权的访问于10月20日被发现，10月23日，攻击者上传了客户的送货信息。发布的数据包括姓名、联系方式、地址、订单信息和购买的设备。泄露影响了2024年至2026年间购买的25,964名客户。此外，公司还统计了12,873个未完成的订单。根据Keystone的说法，支付数据、银行详细信息、恢复短语和私钥未被泄露。

后来发现，同一攻击者获得了用于认证Keystone设备的WebAuth密钥。该密钥在生产过程中嵌入硬件中，无法替换。其泄露带来了制造假冒设备并通过认证的风险。因此，公司决定处理掉18,835个未售出的钱包。Keystone表示，在10月20日之前交付并通过验证的设备是真实的。然而，对于在此日期后收到旧密钥的钱包，公司无法完全排除伪造的可能性，并建议所有者在使用前联系支持。截止发布时，没有关于假冒设备或盗窃的报告。

另一个问题是客户数据自动删除失败。Keystone声称在订单完成180天后删除送货地址，但泄露包括了超过两年前的购买信息。发现错误后，公司将数据保留期缩短至90天，并要求Shopify删除旧记录。此程序计划于11月3日完成。竞争公司OneKey将类似数据的保留期限制为30天。

这些事件也影响了行业内的其他公司。8月，Trezor的物流合作伙伴ShipMonk发生泄露，影响了约81,000名客户，SafePal的订单跟踪系统错误暴露了约39,798名用户的数据。在Ledger的案例中，研究人员发现转售设备中隐藏的芯片；据研究人员称，与之相关的损失超过8600万美元。