Keystone po incidente zničí 18 835 hardvérových peňaženiek so starým kľúčom

Kompromitovaný kľúč WebAuth prinútil spoločnosť Keystone zastaviť expedíciu neodoslaných objednávok z vlastného webu a zlikvidovať 18 835 nepredaných zariadení zo skladu. Firma uviedla, že útočník pri narušení jej webu získal kľúč používaný na overovanie pravosti hardvéru.

Kľúč WebAuth je súčasťou mechanizmu, ktorým služba Keystone Device Verification potvrdzuje pravosť zariadenia a jeho firmvéru. Podľa spoločnosti bol kľúč do zariadení vložený už pri výrobe. V existujúcich kusoch ho preto nemožno odstrániť ani nahradiť novým.

Kompromitovaný kľúč oslabuje overenie pravosti

Hlavným rizikom nie je podľa doterajšieho vyjadrenia prístup k už používaným peňaženkám, ale dôveryhodnosť overovacieho procesu pri zariadeniach so starým kľúčom. Ak by bol kompromitovaný kľúč zneužitý, mohol by umožniť výrobu falšovaných zariadení, ktoré prejdú oficiálnou kontrolou pravosti.

Keystone tvrdí, že incident nezasiahol seed frázy, súkromné kľúče ani proces podpisovania transakcií. Hardvérové peňaženky pritom slúžia na uchovávanie súkromných kľúčov mimo zariadení pripojených na internet. Firemné tvrdenie o nezasiahnutí kryptografických údajov však zatiaľ nebolo nezávisle forenzne potvrdené.

Rovnako nie je potvrdené, že útočníci už vyrobili alebo distribuovali falošné zariadenia. Nie sú ani potvrdené krádeže kryptomien, ktoré by boli s týmto incidentom spojené.

Likvidácia skladových kusov a nový výrobný kľúč

Firma oznámila prechod na nový kľúč a likvidáciu všetkých 18 835 nepredaných zariadení, ktoré obsahujú pôvodný kľúč. Súčasne pozastavila expedíciu objednávok, ktoré ešte neboli odoslané z jej vlastného webu.

Toto opatrenie sa týka skladových kusov, pri ktorých sa starý výrobný kľúč nedá spätne vymeniť. Keystone zatiaľ neuviedol nezávislé technické potvrdenie rozsahu incidentu ani podrobnosti o spôsobe, akým útočník kľúč získal.

Riziko sa podľa dostupných informácií týka najmä zariadení doručených po 20. októbri 2026 so starým kľúčom. Majitelia takýchto produktov by mali sledovať ďalšie pokyny výrobcu a obozretne pristupovať ku komunikácii, ktorá sa vydáva za podporu Keystone.

Čo zatiaľ nie je jasné

Nie sú známe počty prípadne zasiahnutých zákazníckych alebo checkout záznamov; dostupné údaje v tejto oblasti pochádzajú od firmy. Rovnako otvorenou otázkou zostáva, či Keystone vydá technickú správu, výsledky nezávislého auditu alebo ďalšie indikátory kompromitácie.

Pre zákazníkov bude podstatné, kedy výrobca potvrdí dokončenie výmeny výrobného kľúča a obnovenie expedície. Dôležité bude tiež, či sa objavia potvrdené falzifikáty, zneužitie zákazníckych údajov alebo cielené phishingové kampane.

Kompromitovaný kľúč tak neznamená potvrdený prienik do existujúcich peňaženiek, ale predstavuje problém v dodávateľskom reťazci. Mechanizmus určený na overenie dôveryhodnosti hardvéru pri starom kľúči už nemusí spoľahlivo odlíšiť originál od falzifikátu.

Overené a aktualizované: 27. 10. 2026 15:21