Keystone, produsen dompet kripto perangkat keras, mengatakan penyerang mencuri kunci yang dipakai untuk memeriksa keaslian perangkatnya secara daring. Karena kunci itu bocor, perusahaan memutuskan menghancurkan 18.835 unit yang belum terjual dan masih memakai kunci lama. Laporan The Hacker News pada 27 Oktober merangkum pengumuman Keystone tersebut.
Apa yang dicuri dari Keystone
Keystone menemukan akses tidak sah pada 20 Oktober dan memblokirnya pada hari yang sama. Perusahaan mengumumkan pembobolan itu pada 24 Oktober dan menerbitkan pernyataan lebih lengkap pada 26 Oktober. Kapan penyerang pertama kali masuk belum dijelaskan, dan pelakunya belum diidentifikasi.
Menurut laporan itu, penyerang memanfaatkan celah pada alat pemantau data pihak ketiga yang dipakai situs Keystone untuk menaikkan hak akses. Tidak ada nomor CVE yang disebut. Dari situs itu, data sekitar 25.964 pembelian antara 2024 dan 2026 ikut terambil, berisi nama, kontak, alamat pengiriman, dan rincian pesanan. Data 12.873 catatan checkout yang belum dibayar juga dimasukkan sebagai langkah berjaga-jaga. Data kartu pembayaran, rekening bank, dokumen identitas, frasa pemulihan, dan kunci privat disebut tidak terlibat.
Situs Glitchwire, yang juga meliput insiden ini, menyebut Keystone memakai Shopify untuk toko daringnya dan baru memastikan pencurian data tiga hari setelah melihat aktivitas mencurigakan. Glitchwire tidak memuat jumlah catatan maupun soal kunci verifikasi, sehingga rincian kunci dan angka di atas berasal dari satu sumber, yaitu pernyataan Keystone yang dikutip The Hacker News.
Mengapa kunci verifikasi penting
Pemeriksaan keaslian membantu pembeli memastikan dompet yang mereka terima bukan tiruan. Jika kunci pemeriksanya jatuh ke tangan penyerang, perangkat palsu berpotensi lolos pemeriksaan, dan pemiliknya bisa kehilangan aset kripto. Keystone menyatakan belum menerima laporan perangkat palsu maupun pencurian dana, dan pemilik tidak perlu memindahkan kripto mereka karena insiden ini. Jumlah perangkat yang sudah terjual dengan kunci lama tidak disebutkan.
Pesanan yang masih menunggu di situs ditahan sampai perangkat dengan kunci baru siap. Laporan itu hanya menyebut Keystone 3 Pro, berstatus pre-order, sebagai model yang disinggung, tanpa daftar lengkap model terdampak.
Langkah yang perlu Anda ambil
Perangkat yang tiba sebelum 20 Oktober dan lolos pemeriksaan keaslian dianggap Keystone aman dipakai seperti biasa. Perangkat yang diterima setelah 20 Oktober dengan kunci lama sebaiknya tidak dipakai sebelum dukungan Keystone di [email protected] memastikan keasliannya. Menurut The Hacker News, halaman verifikasi belum memuat petunjuk soal ini per 27 Oktober.
Pembeli yang datanya ikut terambil perlu waspada terhadap penipuan lewat telepon, pesan, email, atau surat dari pihak yang mengaku mewakili Keystone. Keystone menegaskan tidak pernah meminta frasa pemulihan atau kunci privat dan tidak akan meminta pelanggan mengembalikan perangkat. Jangan memasukkan frasa pemulihan ke perangkat yang tidak Anda pesan sendiri, dan ketik keyst.one langsung di peramban alih-alih membuka tautan dari pesan tak dikenal.
Sumber: The Hacker News dan Glitchwire. Gambar: The Hacker News.