TheBlock
O fabricante de carteiras de hardware Keystone confirmou que um terceiro obteve informações de envio de clientes na sua loja online gerida pela Shopify. A empresa detetou um acesso não autorizado ao seu site oficial em 20 de outubro e, três dias depois, verificou, através de atividade de API com a Shopify, que um atacante não identificado havia extraído nomes, contactos, moradas de envio e informações de encomendas, incluindo os artigos comprados e os respetivos preços. A Keystone afirma que cartões de pagamento, dados bancários, frases de recuperação, chaves privadas e palavras-passe das carteiras não foram expostos.
Porquê que importa
A violação contradiz diretamente o marketing central da Keystone. A empresa apresentou repetidamente uma política de eliminação de dados após 180 dias como argumento de venda, publicando no X, em janeiro, no mesmo dia em que os clientes da Ledger souberam de uma fuga no parceiro de e-commerce dessa empresa, que os dados de envio eram "eliminados permanentemente" 180 dias após uma encomenda. Mas os clientes dizem agora que dados mais antigos também foram expostos: um utilizador reportou uma notificação de violação de uma encomenda feita há mais de dois anos, e outro afirma que alguém com detalhes de uma encomenda de 2024 o contactou através de engenharia social, ocultando-se atrás de um número da polícia de Montreal, dias antes da divulgação da Keystone. A própria central de ajuda da empresa refere que os registos de cidade e país nunca são eliminados e que a eliminação é gerida pela Shopify.
O incidente ocorre também num período brutal para os fabricantes de carteiras de hardware. A Trezor divulgou uma violação na ShipMonk que afetou cerca de 81.000 clientes, a SafePal expôs quase 40.000 através de uma falha no rastreio de encomendas, e a Ledger confirmou dispositivos vendidos por revendedores com implantes para capturar frases de recuperação, com perdas onchain estimadas acima de 86 milhões de dólares.
Impacto no mercado
O risco imediato é o phishing, não o roubo de chaves. A Keystone adverte que burlões podem fazer-se passar pela empresa por telefone, SMS, email ou correio, oferecendo reembolsos ou dispositivos de substituição, e apela aos clientes para nunca introduzirem uma frase de recuperação num dispositivo que não tenham encomendado. A empresa não disse quantos clientes são afetados nem como o atacante entrou, e um relatório detalhado é esperado nos próximos dias.
Perguntas frequentes
-
Que dados de clientes foram expostos na violação da Keystone?
Um terceiro não identificado obteve nomes, contactos, moradas de envio e detalhes de encomendas, incluindo os artigos comprados e os respetivos preços, na loja online da Keystone gerida pela Shopify. A Keystone afirma que cartões de pagamento, dados bancários, frases de recuperação, chaves privadas e palavras-passe de…
-
A Keystone violou a sua política de eliminação de dados de 180 dias?
Vários clientes dizem que dados de encomendas com mais de 180 dias foram expostos, incluindo um com uma encomenda feita há mais de dois anos. A central de ajuda da Keystone refere que os registos de cidade e país nunca são eliminados e que a eliminação é gerida pela Shopify. A empresa não respondeu publicamente se…
-
Como é que o atacante acedeu à loja da Keystone?
A Keystone detetou um acesso não autorizado ao seu site em 20 de outubro e confirmou o roubo de dados em 23 de outubro, após verificar atividade de API com a Shopify. A empresa não disse como o atacante entrou nem se este foi identificado.
-
A Keystone é o único fabricante de carteiras de hardware atingido por uma violação de dados este ano?
Não. A Trezor divulgou uma violação na parceira de envios ShipMonk que afetou cerca de 81.000 clientes, a SafePal expôs quase 40.000 clientes através de uma falha no rastreio de encomendas, e a Ledger confirmou dispositivos de revendedores com implantes para capturar frases de recuperação, com perdas estimadas acima…
-
Como podem os clientes da Keystone proteger-se de burlas após a violação?
A Keystone adverte que burlões podem fazer-se passar pela empresa por telefone, SMS, email ou correio, oferecendo reembolsos, dispositivos de substituição ou correções. Os clientes devem nunca introduzir uma frase de recuperação num dispositivo que não tenham encomendado e não devem seguir links recebidos em mensagens…
CryptoSlate
CoinTelegraph
WatcherGuru
WuBlockchain
CoinDesk