Keystone-Panne vertieft sich: Hacker stahlen Schlüssel zur Echtheitsprüfung von Wallets

Was passiert ist

Keystone hatte zunächst einen Datenabfluss bei Kundeninformationen gemeldet, hat nun jedoch mitgeteilt, dass Hacker außerdem einen Schlüssel erbeutet haben, mit dem gefälschte Wallets die Echtheitsprüfung bestehen könnten. Der Hersteller von Hardware-Wallets erklärte, ein Angreifer, der letzte Woche in seine Website eingedrungen sei, habe zudem einen Schlüssel gestohlen, der zur Überprüfung der Echtheit seiner Geräte dient. Damit wird der Umfang eines Vorfalls ausgeweitet, der zunächst als Abfluss von Kundendaten gemeldet worden war.

"Diese Geräte könnten dann verkauft oder an Kunden versandt werden, die sie womöglich arglos als Originalprodukte verwenden, was zu einem Diebstahl von Vermögenswerten führen könnte", so Keystone. Der Vorfall reiht sich in eine Serie von Angriffen auf Hersteller von Hardware-Wallets in diesem Jahr ein.

Ende Juli hatte der Coldcard-Hersteller Coinkite die Nutzer gewarnt, nachdem Angreifer einen Fehler ausgenutzt hatten, durch den seine Geräte Wallet-Seeds (die Software oder das Gerät, das die Schlüssel zu den Krypto-Beständen eines Nutzers verwahrt) mit geringerer Entropie als vorgesehen erzeugten, was zum Diebstahl von Krypto-Werten in Millionenhöhe führte. Keystone will mehr als 18.000 Geräte mit altem Schlüssel vernichten. In seinem jüngsten Update erklärte Keystone, der Angreifer habe eine Schwachstelle in einem Drittanbieter-Monitoring-Tool ausgenutzt, das seine Website verwendet, um sich erweiterte Rechte zu verschaffen.

Keystone plant, 18.835 Geräte in seinem Lager zu vernichten, die den kompromittierten Schlüssel enthalten, und hat die Produktionsauslieferungen aller Geräte mit diesem Schlüssel ausgesetzt. Das Unternehmen teilte mit, dass die Auslieferungen wieder aufgenommen werden, sobald Geräte mit einem neuen Authentifizierungsschlüssel produziert werden.

In einer Erklärung am Montag sagte Keystone, der gestohlene Authentifizierungsschlüssel könnte es Angreifern ermöglichen, gefälschte Wallets herzustellen, die seine Echtheitsprüfungen bestehen. Anfang dieses Monats hatte Ledger Wiederverkäufer in Südostasien und Hongkong aufgefordert, den Verkauf auszusetzen, nachdem Berichte aufgetaucht waren, wonach in der Region verkaufte Geräte unautorisierte Implantate enthielten, die Wiederherstellungsphrasen abgreifen können.

Keystone erklärte, dass vor dem Vorfall vom 20. Oktober hergestellte und ausgelieferte Geräte als sicher gelten sollten und ihre Echtheitsprüfungen vertrauenswürdig blieben.