Keystone tuhoaa lähes 19 000 lompakkoa varmistusavaimen varastamisen jälkeen
- Keystone paljasti X-päivityksessä, että hyökkääjä sai myös WebAuth-avaimen, jolla laitteen aitous varmistetaan.
- Yhtiö tuhoaa lähes 19 000 toimittamatonta lompakkoa ja ottaa käyttöön uuden avaimen.
- Vuoto koskee noin 26 000 Shopify-tilaustietuetta ja 13 000 osittaista tietuetta.
- CertiK kirjasi vuoden 2026 ensimmäisellä puoliskolla 52 vahvistettua väkivaltaista kryptokiristystä, kun vuotta aiemmin niitä oli 39.
Yhtiö ei voi enää todistaa, ettei toimittamattomia laitteita ole peukaloitu, minkä vuoksi toimitukset pysähtyvät.
Keystone ei enää puhu vain vuotaneista toimitustiedoista. Lauantaina vahvistetun tietomurron selvittely paljasti yhtiölle paljon pahemman ongelman: hyökkääjä pääsi käsiksi myös avaimeen, jolla Keystone todistaa laitteensa aidoiksi.
WebAuth-avaimella Keystone allekirjoittaa jokaisen valmistamansa lompakon, ja ostaja vahvistaa allekirjoituksen yhtiön sovelluksella ennen käyttöönottoa. Tarkistus on suunniteltu torjumaan toimitusketjuhyökkäystä, jossa laite siepataan matkalla ja sen laiteohjelmisto vaihdetaan ennen kuin se päätyy ostajalle.
Update on the recent data breach: the total affected records now stand at almost 26,000 Shopify order records, plus a further 13,000 incomplete records. The attacker also obtained the WebAuth key we use to verify whether a device is genuine.
– Keystone (@KeystoneWallet) October 25, 2026
Seuraukset ovat konkreettiset. Uudet Keystone-lompakot valmistetaan jatkossa uudella avaimella, ja toimitukset on keskeytetty siirtymän ajaksi. Lähes 19 000 jo valmistettua, mutta toimittamatta jäänyttä laitetta tuhotaan.
Alkuperäinen lauantain tiedote koski asiakkaiden toimitustietoja: nimiä, yhteystietoja, osoitteita ja tilausten sisältöä. Keystone oli aiemmin luvannut, että tilaustiedot poistetaan pysyvästi 180 päivän kuluessa tilauksesta. Yhden asiakkaan tilaus oli kuitenkin vuodelta 2024, eli lupaus ei ollut pitänyt.
Myöhemmässä päivityksessä vuotaneiden tietueiden määrä kasvoi lähes 26 000 Shopify-tilaustietueeseen, joiden lisäksi paljastui 13 000 osittaista tietuetta.
Keystone kertoi myös poistaneensa pysyvästi 25 000 vanhempaa tietuetta säilytyskäytäntönsä mukaisesti. Yhtiö myönsi samalla, että sen automaattinen poistotyökalu "ei toiminut luotettavasti", minkä seurauksena osa tiedoista säilyi järjestelmissä sallittua pidempään.
Varmistusavaimen vuotaminen on eri luokan ongelma kuin asiakastietojen paljastuminen. Avaimella todennetaan, ettei laitetta ole peukaloitu ennen toimitusta – jos tämä luottamusketju murtuu, ostaja ei voi enää olla varma laitteensa aitoudesta pakkauksen avaamishetkellä.
Riski ei ole vain teoreettinen. CertiK kirjasi vuoden 2026 ensimmäisellä puoliskolla 52 vahvistettua väkivaltaista kiristyshyökkäystä (ns. wrench attack), joissa rikolliset kiristävät kryptovarallisuutta omistajilta kasvotusten, väkivallalla uhaten. Määrä kasvoi noin kolmanneksella vuodentakaisesta.
Murrettu aitoustodennus avaa oman hyökkäysreittinsä. Hyökkääjä voi käyttää varastettua avainta todistamaan väärin, että peukaloitu laite on aito.
Keystone ei ole kertonut, milloin uudella avaimella valmistettujen laitteiden toimitukset jatkuvat.
