Keystone menghentikan pengiriman dan berencana menghancurkan 18.835 dompet setelah kunci pabrik dicuri

Keystone mengatakan pada Senin bahwa perusahaan akan menghancurkan 18.835 dompet perangkat keras yang belum terjual setelah pelaku memperoleh kunci pabrik yang digunakan untuk mengautentikasi perangkat tersebut. Keystone menghentikan pengiriman seluruh pesanan melalui situs web perusahaan yang belum dipenuhi. Pelanggaran keamanan itu terdeteksi pada 20 Oktober. Keystone mengatakan frasa pemulihan dan kunci privat tidak terlibat. Keystone mengatakan perangkat yang dikirim sebelum 20 Oktober tidak terdampak.

Keystone menyebut kredensial yang dicuri itu sebagai kunci WebAuth. Pabrik menyematkan kunci tersebut di setiap perangkat agar situs web Keystone dapat memeriksa keaslian perangkat keras. Kunci itu tidak dapat dihapus atau diganti. Keystone mengatakan pelaku dapat menggunakan kunci yang terekspos itu untuk membuat dompet palsu yang lolos pemeriksaan autentikasi. Keystone memperingatkan bahwa pelanggan dapat tanpa sadar membeli atau menerima perangkat palsu dan kehilangan aset setelah menggunakan perangkat tersebut untuk menyimpan mata uang kripto.

Keystone pertama kali mengungkapkan pada Sabtu bahwa pihak ketiga telah memperoleh informasi pengiriman pelanggan. Keystone mengungkapkan pencurian kunci dan jumlah catatan pembeli yang terdampak pada Senin. Keystone belum mengidentifikasi pelaku atau mengungkapkan kapan pelaku pertama kali memperoleh akses.

Keystone mengatakan insiden tersebut melibatkan 51.083 catatan pembeli dari toko Shopify perusahaan, yang menangani penjualan daring. Keystone mengatakan informasi pribadi telah dihapus dari 25.119 catatan tersebut. Sebanyak 25.964 catatan lainnya, yang mencakup periode 2024 hingga 2026, berisi nama, detail kontak, alamat pengiriman, dan informasi pesanan. Pembelian melalui Amazon atau saluran penjualan lain tidak terdampak.

Kebijakan Keystone mengharuskan catatan pembeli dihapus setelah 180 hari. Namun, alat penghapusan massal otomatis Keystone tidak beroperasi secara andal. Keystone mengatakan beberapa tugas penghapusan gagal dan perusahaan tidak segera mengidentifikasi serta mengatasi kegagalan tersebut. Keystone mengakui menyimpan sebagian informasi pribadi melebihi periode yang diizinkan dan bertanggung jawab karena tidak memenuhi tenggat penghapusan yang dijanjikan.

Keystone memperingatkan pelanggan tentang penipu yang menawarkan pemindahan aset, verifikasi dompet, atau bantuan penyelidikan. Keystone mengatakan perusahaan tidak akan meminta pelanggan mengembalikan perangkat mereka. Keystone memperingatkan bahwa siapa pun yang mengaku melakukan penarikan produk untuk meminta perangkat dikirim kembali harus dianggap sebagai penipu.

Situs web Keystone akan menerima prapesan hingga produksi perangkat dengan kunci baru selesai. Keystone mengatakan perusahaan telah melaporkan insiden tersebut kepada otoritas di UE, Inggris, dan yurisdiksi lain. Keystone memperpendek masa penyimpanan data pelanggan dari 180 hari menjadi 90 hari. Keystone meminta Shopify pada 24 Oktober untuk menghapus seluruh data pembeli yang sudah melewati tenggat penghapusan. Proses penghapusan memerlukan masa tunggu 10 hari. Keystone memperkirakan penghapusan akan selesai pada 3 November.

Pelanggaran data pelanggan berulang kali menimpa produsen dompet perangkat keras. Kebocoran data Ledger pada 2020 pada akhirnya berdampak terhadap sekitar 292.000 pelanggan, dan email phishing yang menyusul memicu kekhawatiran penerimanya akan diserang di rumah. Trezor mengungkapkan pada Agustus adanya pelanggaran data pelanggan yang berdampak terhadap 13.689 pelanggan. SafePal juga mengungkapkan pada Agustus adanya pelanggaran yang berdampak terhadap sekitar 39.798 pelanggan. Nama dan alamat yang terekspos menimbulkan risiko serangan wrench, ketika penjahat mengancam atau menyerang pemilik mata uang kripto untuk memaksa mereka melakukan transfer. Chainalysis mencatat 46 serangan kekerasan selama paruh pertama 2026, dengan kerugian melampaui 30 juta dolar AS.