Pihak peretas yang berhasil menyusup ke dalam situs web resmi Keystone telah mencuri kunci rahasia yang biasa dimanfaatkan hardware wallet mereka untuk memverifikasi keaslian perangkat, ungkap perusahaan dalam pengumuman tertulis pada 26 Oktober.
Individu yang mengantongi kunci otentikasi tersebut berpotensi memproduksi unit tiruan atau palsu yang tetap lolos pemeriksaan sistem daring ketika pembeli memverifikasi perangkat Keystone mereka. Seorang konsumen yang terkecoh dan mempercayai produk tiruan ini sangat berisiko kehilangan simpanan kripto miliknya, kendati masalah ini dipastikan sama sekali tidak menyentuh recovery phrase maupun private key dari dompet pengguna.
Menanggapi hal tersebut, Keystone berencana menghancurkan sebanyak 18.835 unit perangkat yang belum terjual karena masih memuat kunci lama tersebut, sementara seluruh produk keluaran terbaru nantinya akan disuntikkan kunci verifikasi yang baru.
Keystone mendeteksi adanya aktivitas akses ilegal tanpa izin ini pada tanggal 20 Oktober, dan arahan keselamatan bagi para pengguna sangat bergantung pada waktu kedatangan perangkat fisik ke tangan mereka. Khusus untuk unit yang baru diterima pembeli sesudah tanggal tersebut namun masih memakai kunci verifikasi lama, pihak penyedia menyatakan: "Bahkan jika perangkat semacam itu berhasil melewati proses otentikasi, kami tetap tidak bisa sepenuhnya mengabaikan potensi kemungkinan bahwa unit tersebut merupakan barang tiruan."
Para pemilik unit yang berada pada kategori tersebut dihimbau untuk segera menghubungi layanan bantuan pelanggan Keystone serta menahan diri untuk tidak mengoperasikannya sampai perusahaan mengonfirmasi validitas keaslian produk bersangkutan.
Adapun unit perangkat keras yang telah sampai di alamat penerima sebelum tanggal 20 Oktober dan berhasil lolos pengujian otentikasi dapat dinilai sebagai unit asli serta aman dipergunakan seperti biasa, jelas Keystone. Manajemen perusahaan sampai saat ini belum mengungkap rincian mengenai kapan peretas pertama kali berhasil masuk ke jaringan.
Pelaku kejahatan siber dilaporkan memanfaatkan celah keamanan pada sistem alat pemantau data pihak ketiga yang dipasang di situs web Keystone guna menaikkan hak akses kontrol mereka, berdasarkan penjelasan resmi perusahaan. Celah inilah yang memberi keleluasaan bagi penyusup untuk mengunduh arsip informasi pelanggan sekaligus mencuri kunci otentikasi.
Manajemen Keystone langsung memutus dan menutup akses ilegal penyerang pada 20 Oktober dan sejak saat itu telah menambal lubang kerentanan tersebut. Mereka tidak merinci lokasi penyimpanan kunci perangkat.
Mekanisme Pemeriksaan Keaslian Perangkat
Dalam alur verifikasi, pemilik terlebih dahulu memindai kode QR yang tertera pada halaman web otentikasi Keystone menggunakan kamera perangkat, lalu mengetikkan serangkaian kode respon yang dimunculkan layar hardware wallet ke kolom situs.
Mengacu pada sistem firmware open-source milik Keystone, gambar kode QR tersebut memuat teks instruksi dalam format enkripsi, dan perangkat keras akan mendekripsinya memakai kunci internal yang tersimpan. Oleh karenanya, kemunculan kode yang cocok menjadi bukti bahwa unit tersebut benar-benar memegang kunci resmi.
Fungsi kunci digital ini semata-mata terbatas untuk kebutuhan prosedur validasi keaslian. Kunci sama sekali tidak terlibat dalam perumusan recovery phrase, pembuatan private key, ataupun proses penandatanganan transaksi aset.
Siapa saja yang memiliki salinan kunci dapat memproduksi kode otentikasi yang valid, sehingga perangkat tiruan dengan kunci itu dapat lolos pemeriksaan. Unit palsu tersebut dapat diedarkan atau dikirimkan ke pembeli hingga memicu pencurian kripto, papar Keystone. Perusahaan belum menerima laporan adanya peredaran unit palsu maupun insiden kehilangan dana.
Kunci pengenal dimasukkan ke dalam memori setiap perangkat saat proses perakitan pabrik dan sifatnya permanen tanpa opsi penghapusan atau penulisan ulang. Sistem firmware menyimpannya pada memori sekali tulis yang menolak pengisian kunci kedua. Karena kendala rancangan itu, unit yang telah selesai diproduksi tidak dapat diperbarui menggunakan kunci baru.
Kebocoran Data Pelanggan
Pemberitahuan kebocoran pertama kali diumumkan Keystone pada 24 Oktober, saat mereka menyatakan ada entitas luar yang sukses mengantongi data pengiriman milik para pembeli.
Insiden kebocoran tersebut berdampak terhadap 25.964 data pembeli yang melakukan transaksi di situs toko resmi Keystone pada rentang tahun 2024 hingga 2026, terang pihak perusahaan pada 26 Oktober. Baris data yang terekspos mencakup nama lengkap, nomor kontak, alamat pengiriman barang, serta rincian order pemesanan. Toko daring Keystone beroperasi memakai infrastruktur Shopify, pihak yang menyimpan dan mengelola rekam jejak tersebut.
Data sensitif seperti kartu pembayaran, rincian rekening perbankan, hingga nomor identitas resmi pemerintah ditegaskan tidak terlibat, tutur Keystone. Catatan pesanan yang bersumber dari Amazon serta saluran penjualan lain di luar situs utama dinyatakan aman dari peretasan.
Sebagai langkah pengamanan ekstra, Keystone turut memasukkan 12.873 berkas transaksi checkout yang belum terbayar dalam cakupan penanganan. Rekam data ini memuat nama pemesan, kontak, serta alamat tujuan dari proses belanja yang dibatalkan atau belum rampung.
Sebagian dari data yang bocor tersebut semestinya sudah terhapus secara permanen. Keystone sebelumnya telah berkomitmen untuk meniadakan informasi pengiriman setelah lewat 180 hari sejak pesanan dibuat.
Namun sarana otomatis yang dirancang Keystone guna melenyapkan berkas dalam jumlah banyak ternyata tidak bekerja secara konsisten. Sejumlah proses penghapusan berujung gagal, dan tim Keystone terlambat menyadari kendala teknis tersebut.
Kini Keystone memperpendek rentang waktu penyimpanan data privasi konsumen dari sebelumnya 180 hari menjadi 90 hari, yang langsung diberlakukan saat ini juga. Perusahaan sudah meminta Shopify menyingkirkan data pribadi pemesan yang usianya melebihi 90 hari dan menargetkan rampung pada 3 November. Kendati demikian, hingga tanggal 27 Oktober, laman kebijakan privasi situs masih tertulis 180 hari.
Keystone sedang mengirimkan surat elektronik pemberitahuan kepada pelanggan yang terdampak serta menyiapkan laman pemeriksaan mandiri bagi pengguna untuk meninjau data mereka.
Panduan Tindakan untuk Pemilik Keystone
Petunjuk praktis dari Keystone mencakup skenario-skenario berikut:
