• Keystone은 웹사이트 침해로 인해 위조 기기가 인증 검사를 통과할 수 있는 키가 노출된 후, 18,835개의 미판매 하드웨어 지갑을 파기할 예정입니다.
• 이번 침해로 25,964명의 구매자 기록이 노출되었으며, 자동화 도구가 실패하여 회사가 이를 인지하지 못한 채 Keystone의 180일 삭제 정책을 초과하여 일부 기록이 유지되었습니다.
• 이번 취약점은 하드웨어 지갑의 보안을 약화시키는 경쟁사에 대한 여러 공격에 추가됩니다.

하드웨어 지갑 제조사 Keystone은 웹사이트 침해로 고객 정보와 위조 지갑이 인증 검사를 통과할 수 있는 키가 노출된 후, 약 19,000개의 미판매 기기를 파기하고 출하를 중단할 것이라고 밝혔습니다.

공격자는 10월 20일 서드파티 데이터 모니터링 도구의 결함을 통해 회사 웹사이트에 접근했으며, 2024년부터 2026년까지의 25,964명의 구매자 기록이 노출되었습니다. 여기에는 이름, 연락처, 배송 주소 및 주문 정보가 포함되어 있으며, 추가로 12,873개의 미결제 체크아웃 기록도 영향을 받을 수 있습니다.

이번 침해는 올해 하드웨어 지갑 사용자에 대한 일련의 공격에 추가됩니다. Ledger에서는 동남아시아 리셀러를 통해 판매된 기기에 숨겨진 부품이 장착되어 설정 중 복구 구문을 캡처했습니다. 유사하게, Coldcard의 시드 생성 소프트웨어의 결함으로 인해 공격자가 개인 키를 재구성하고 원격으로 지갑을 비울 수 있었습니다.

도난당한 Keystone 키는 생산 중 기기에 내장되어 변경할 수 없습니다. 이는 지갑이 온라인 인증 검사를 통과할 수 있게 하여 위조 기기가 진짜처럼 보일 위험을 높이고 사용자 자금에 위험을 초래할 수 있다고 회사는 밝혔습니다. 회사는 18,835개의 미판매 유닛을 파기할 것이라고 밝혔습니다.

Keystone은 이번 침해로 복구 구문, 개인 키 또는 지갑 자격 증명이 노출되지 않았다고 밝혔습니다.

일부 고객 기록은 Keystone의 180일 보유 정책에 따라 삭제되었어야 했지만, 자동 삭제 도구가 실패하여 회사가 문제를 감지하지 못했다고 밝혔습니다.

“우리는 고객 데이터를 제때 삭제하겠다는 약속을 지키지 못했으며, 이 실패에 대한 책임을 받아들입니다,”라고 Keystone은 작성했습니다.

Keystone의 업데이트는 하드웨어 지갑 제조사 Foundation이 공식 도메인에서 발송된 것처럼 보이는 피싱 이메일을 보낸 별도의 침해를 공개한 지 하루 만에 나왔습니다.

Foundation은 23,000건 이상의 피싱 이메일 시도를 식별했다고 밝혔습니다. Passport 기기나 개인 키가 손상되었다는 증거는 발견되지 않았습니다.

Foundation은 60일 데이터 삭제 프로세스에서 누락된 오래된 데이터베이스 복사본도 발견했습니다. 업데이트에서 공격자가 약 5,600개의 우편 주소와 5,200개의 전화번호를 포함한 기록에 접근할 수 있었지만, 얼마나 많은 기록에 접근했는지는 확인할 수 없었다고 밝혔습니다.

Keystone은 10월 20일 이전에 배송된 기기는 인증을 통과하면 안전하게 사용할 수 있으며, 그 이후에 구형 키를 사용해 받은 고객은 사용 전에 추가 검사를 받아야 한다고 밝혔습니다.

회사는 이번 침해만으로는 자금을 이동할 필요가 없으며, 가짜 리콜이나 자산 이동 메시지에 주의할 것을 경고했습니다.

Keystone은 새로운 기기에 인증 키를 교체하고, 웹사이트 판매를 선주문으로 전환하며, 고객 데이터 보유 기간을 90일로 줄일 것이라고 덧붙였습니다.