Keystone ระงับการจัดส่งและมีแผนทำลายกระเป๋าฮาร์ดแวร์ 18,835 ใบ หลังคีย์โรงงานถูกขโมย

Keystone ระบุเมื่อวันจันทร์ว่า บริษัทจะทำลายกระเป๋าฮาร์ดแวร์ที่ยังขายไม่ออก 18,835 ใบ หลังผู้โจมตีได้คีย์โรงงานที่ใช้ยืนยันอุปกรณ์ Keystone ระงับการจัดส่งคำสั่งซื้อทั้งหมดที่ยังค้างอยู่ซึ่งสั่งผ่านเว็บไซต์ของบริษัท การละเมิดความปลอดภัยตรวจพบเมื่อวันที่ 20 ตุลาคม Keystone ระบุว่าไม่มีการเข้าถึงวลีกู้คืนหรือกุญแจส่วนตัว และอุปกรณ์ที่ส่งมอบก่อนวันที่ 20 ตุลาคมไม่ได้รับผลกระทบ

Keystone เรียกข้อมูลยืนยันตัวตนที่ถูกขโมยว่า WebAuth key โรงงานฝังคีย์ดังกล่าวไว้ในอุปกรณ์แต่ละเครื่อง เพื่อให้เว็บไซต์ของ Keystone ตรวจสอบได้ว่าฮาร์ดแวร์เป็นของแท้หรือไม่ ไม่สามารถลบหรือเปลี่ยนคีย์นี้ได้ Keystone ระบุว่าผู้โจมตีอาจใช้คีย์ที่ถูกเปิดเผยสร้างกระเป๋าปลอมซึ่งผ่านการตรวจสอบยืนยันตัวตนได้ Keystone เตือนว่าลูกค้าอาจซื้อหรือได้รับอุปกรณ์ปลอมโดยไม่รู้ตัว และสูญเสียสินทรัพย์หลังใช้อุปกรณ์เก็บคริปโทเคอร์เรนซี

Keystone เปิดเผยเมื่อวันเสาร์ในเบื้องต้นว่า บุคคลภายนอกได้ข้อมูลการจัดส่งของลูกค้า Keystone เปิดเผยเรื่องคีย์ที่ถูกขโมยและจำนวนข้อมูลผู้ซื้อที่ได้รับผลกระทบเมื่อวันจันทร์ Keystone ไม่ได้ระบุตัวผู้โจมตีหรือเปิดเผยว่าผู้โจมตีเข้าถึงระบบได้ครั้งแรกเมื่อใด

Keystone ระบุว่าเหตุการณ์นี้เกี่ยวข้องกับข้อมูลผู้ซื้อ 51,083 รายจากร้านค้าของบริษัทบน Shopify ซึ่งใช้จัดการการขายออนไลน์ Keystone ระบุว่าข้อมูลส่วนบุคคลถูกลบออกจากข้อมูล 25,119 รายการไปแล้ว ส่วนข้อมูลอีก 25,964 รายการ ซึ่งครอบคลุมช่วงปี 2024 ถึง 2026 มีชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง และข้อมูลคำสั่งซื้อ การซื้อผ่าน Amazon หรือช่องทางการขายอื่นไม่ได้รับผลกระทบ

นโยบายของ Keystone กำหนดให้ลบข้อมูลผู้ซื้อหลัง 180 วัน อย่างไรก็ตาม เครื่องมือลบข้อมูลจำนวนมากแบบอัตโนมัติของ Keystone ทำงานได้ไม่สม่ำเสมอ Keystone ระบุว่างานลบบางรายการล้มเหลว และบริษัทไม่ได้ตรวจพบและแก้ไขปัญหาอย่างทันท่วงที Keystone ยอมรับว่าเก็บข้อมูลส่วนบุคคลบางส่วนไว้นานเกินระยะเวลาที่อนุญาต และรับผิดชอบต่อการไม่ลบข้อมูลภายในกำหนดเวลาที่ให้คำมั่นไว้

Keystone เตือนลูกค้าเกี่ยวกับมิจฉาชีพที่เสนอช่วยย้ายสินทรัพย์ ยืนยันกระเป๋าเงิน หรือช่วยสืบสวน Keystone ระบุว่าบริษัทจะไม่ขอให้ลูกค้าส่งคืนอุปกรณ์ และเตือนว่าผู้ใดก็ตามที่อ้างว่ามีการเรียกคืนสินค้าเพื่อขอให้ส่งอุปกรณ์กลับควรถูกมองว่าเป็นมิจฉาชีพ

เว็บไซต์ของ Keystone จะเปิดรับคำสั่งซื้อล่วงหน้าจนกว่าจะผลิตอุปกรณ์ที่มีคีย์ใหม่เสร็จ Keystone ระบุว่าบริษัทได้รายงานเหตุการณ์นี้ต่อหน่วยงานใน EU, UK และเขตอำนาจศาลอื่นๆ Keystone ลดระยะเวลาเก็บข้อมูลลูกค้าจาก 180 วันเหลือ 90 วัน เมื่อวันที่ 24 ตุลาคม Keystone ขอให้ Shopify ลบข้อมูลผู้ซื้อที่พ้นกำหนดทั้งหมด กระบวนการลบต้องรอ 10 วัน Keystone คาดว่าจะลบข้อมูลเสร็จในวันที่ 3 พฤศจิกายน

การละเมิดข้อมูลลูกค้าส่งผลกระทบต่อผู้ผลิตกระเป๋าฮาร์ดแวร์หลายครั้ง Ledger เผชิญข้อมูลรั่วไหลในปี 2020 ซึ่งท้ายที่สุดส่งผลกระทบต่อลูกค้าราว 292,000 ราย และอีเมลฟิชชิงที่ตามมาทำให้ผู้รับหวั่นเกรงว่าจะเกิดการบุกรุกบ้าน Trezor เปิดเผยในเดือนสิงหาคมว่าข้อมูลลูกค้า 13,689 รายได้รับผลกระทบจากการละเมิดข้อมูล SafePal ก็เปิดเผยในเดือนสิงหาคมว่ามีลูกค้าราว 39,798 รายได้รับผลกระทบเช่นกัน ชื่อและที่อยู่ที่ถูกเปิดเผยทำให้เกิดความเสี่ยงจากการโจมตีด้วยประแจ ซึ่งอาชญากรข่มขู่หรือทำร้ายเจ้าของคริปโทเคอร์เรนซีเพื่อบังคับให้โอนสินทรัพย์ Chainalysis บันทึกการโจมตีรุนแรง 46 ครั้งในช่วงครึ่งแรกของปี 2026 โดยมีความเสียหายเกิน 30 ล้านดอลลาร์