Keystone cho biết tin tặc đánh cắp khóa dùng để xác thực ví phần cứng

Nhà sản xuất ví phần cứng Keystone cho biết kẻ tấn công xâm nhập website của công ty tuần trước cũng đánh cắp khóa dùng để xác thực các thiết bị Keystone. Ban đầu, Keystone công bố sự cố là vụ rò rỉ thông tin khách hàng. Trong tuyên bố hôm thứ Hai, Keystone cho biết khóa bị đánh cắp có thể giúp kẻ tấn công tạo ví giả vượt qua các bước kiểm tra tính xác thực. Keystone cảnh báo khách hàng có thể mua hoặc nhận thiết bị giả và vô tình sử dụng chúng, qua đó có nguy cơ bị đánh cắp tài sản.

Keystone cho biết kẻ tấn công giành được quyền truy cập nâng cao bằng cách khai thác lỗ hổng trong một công cụ giám sát bên ngoài được triển khai trên website của Keystone. Keystone nói quyền truy cập này cho phép kẻ tấn công đánh cắp thông tin khách hàng và khóa xác thực.

Keystone dự định tiêu hủy 18.835 thiết bị đang lưu kho vì những thiết bị này chứa khóa bị xâm phạm. Công ty cho biết đã đình chỉ giao hàng từ khâu sản xuất đối với mọi thiết bị sử dụng khóa đó. Keystone nói việc giao hàng sẽ được nối lại sau khi công ty bắt đầu sản xuất bằng khóa xác thực thay thế. Keystone cho biết các thiết bị được sản xuất và giao trước sự cố ngày 20 tháng 10 nên được xem là an toàn, với các bước kiểm tra tính xác thực vẫn đáng tin cậy. Tuy nhiên, Keystone không thể bảo đảm tính xác thực của các thiết bị được giao sau ngày 20 tháng 10 và kêu gọi khách hàng bị ảnh hưởng liên hệ bộ phận hỗ trợ của Keystone để xác minh thêm.

Keystone tiết lộ cửa hàng Shopify trên website của công ty đã tạo ra 51.083 hồ sơ người mua. Keystone cho biết 25.119 hồ sơ đã bị xóa theo chính sách yêu cầu xóa sau 180 ngày. Kẻ tấn công đánh cắp 25.964 hồ sơ còn lại, bao gồm dữ liệu từ năm 2024 đến năm 2026. Keystone quy việc lưu giữ các hồ sơ cũ cho lỗi của công cụ xóa hàng loạt tự động. Công ty cho biết đã không kịp thời phát hiện và khắc phục các tác vụ xóa không thành công, khiến một số thông tin cá nhân được lưu trữ quá thời hạn cho phép.

Kẻ tấn công cũng đánh cắp 12.873 hồ sơ thanh toán của khách hàng mà Shopify lưu giữ về những giao dịch mua khách hàng chưa hoàn tất. Keystone cho biết công ty đã yêu cầu Shopify xóa thông tin cá nhân trong các hồ sơ thanh toán được lưu giữ quá 30 ngày.

Vụ xâm nhập diễn ra sau các cuộc tấn công khác nhằm vào những nhà sản xuất ví phần cứng trong năm nay. Vào thời điểm sớm hơn trong tháng này, Ledger yêu cầu các nhà bán lại trên khắp Đông Nam Á và Hong Kong ngừng bán hàng sau khi có tin về các linh kiện cấy trái phép trong thiết bị được bán tại những nơi này. Các linh kiện bị cho là có thể thu thập cụm từ khôi phục. Cuối tháng 7, Coinkite, nhà sản xuất Coldcard, cảnh báo người dùng sau khi kẻ tấn công khai thác một lỗi làm giảm entropy của các seed ví được tạo bởi thiết bị Coinkite. Vụ khai thác khiến lượng tiền mã hóa trị giá hàng triệu USD bị đánh cắp.

Một vụ xâm nhập tại Ledger vào tháng 6 năm 2020 làm lộ hơn 1 triệu địa chỉ email, cùng tên, số điện thoại và địa chỉ nhà của khách hàng. Dữ liệu bị lộ đã tạo điều kiện cho các vụ lừa đảo nhắm vào người dùng bị ảnh hưởng trong nhiều năm. Tháng 8, Trezor tiết lộ một vụ xâm nhập tại đối tác vận chuyển làm lộ thông tin khách hàng. Số người dùng Trezor bị ảnh hưởng tăng lên hơn 80.000 vào tháng 9. SafePal báo cáo một lỗ hổng trong tính năng theo dõi đơn hàng vào tháng 8, làm lộ thông tin của gần 40.000 khách hàng. BitBox đối mặt với một chiến dịch lừa đảo vào tháng 9 có liên quan đến nhà cung cấp dịch vụ email bên ngoài bị xâm nhập.