Pihak peretas yang berhasil menembus situs web Keystone telah mencuri kunci rahasia yang digunakan hardware wallet untuk memverifikasi keaslian perangkat, ungkap perusahaan dalam rilis resmi pada 26 Oktober.
Pelaku yang mengantongi kunci tersebut berpotensi menciptakan perangkat tiruan palsu yang tetap lolos pemeriksaan daring saat pemilik melakukan autentikasi Keystone. Pembeli yang teperdaya oleh perangkat tiruan tersebut terancam kehilangan aset kripto mereka, kendati insiden ini sama sekali tidak menyentuh seed phrase pemulihan maupun private key milik para pemilik dompet.
Keystone memutuskan memusnahkan sebanyak 18.835 unit perangkat belum terjual yang memuat kunci lama tersebut, sementara seluruh unit produksi anyar dipastikan memakai kunci pengaman baru.
Perusahaan mendeteksi adanya akses tidak sah tersebut pada 20 Oktober, dan arahan bagi para pemilik kini bergantung pada waktu tibanya perangkat mereka. Mengenai perangkat yang sampai setelah tanggal itu dengan muatan kunci lama, perusahaan menegaskan: "Bahkan jika perangkat tersebut lolos autentikasi, kami tidak dapat sepenuhnya mengesampingkan kemungkinan bahwa itu adalah barang tiruan."
Para pengguna yang menerima perangkat dalam kategori tersebut diimbau segera mengontak layanan dukungan Keystone dan baru boleh memakainya setelah pihak perusahaan mengonfirmasi keaslian unit secara resmi.
Sebaliknya, produk yang sudah terkirim sebelum tanggal 20 Oktober serta sukses melewati proses pengecekan dinilai asli dan aman dipakai seperti biasa, jelas Keystone. Manajemen hingga kini belum mengumumkan secara pasti kapan peretas pertama kali masuk ke dalam sistem.
Peretas menyusup dengan mengeksploitasi celah keamanan pada alat pemantau data pihak ketiga yang dipasang di situs web Keystone demi menaikkan hak akses, terang perusahaan. Celah inilah yang memberi keleluasaan bagi penyusup untuk mengambil arsip informasi para pelanggan dan mengunduh kunci verifikasi.
Keystone langsung memblokir akses peretas pada 20 Oktober dan sejak saat itu telah menambal lubang keamanan yang dimaksud. Pihaknya belum membeberkan tempat penyimpanan kunci tersebut saat insiden terjadi.
Cara Kerja Pengecekan Perangkat
Pemilik perangkat memindai kode QR pada portal verifikasi Keystone memakai alat mereka, lalu menginput deretan kode yang dimunculkan layar hardware wallet ke halaman situs web.
Dalam skema firmware open-source Keystone, gambar kode QR tersebut memuat kode unik dalam bentuk terenkripsi, kemudian perangkat mendekripsinya memakai kunci internal yang tersimpan. Oleh karena itu, kecocokan kode menjadi bukti bahwa perangkat benar-benar mengantongi kunci autentik.
Kunci pengaman ini murni hanya dipakai dalam prosedur pembuktian keaslian. Kunci sama sekali tidak terlibat dalam perumusan recovery phrase, pembuatan private key, ataupun proses penandatanganan transaksi kripto apa pun.
Siapa saja yang memiliki salinan kunci dapat memproduksi kode yang sesuai, sehingga hardware wallet tiruan yang disusupi kunci tersebut sanggup lolos pengujian sistem. Perangkat tiruan semacam itu dikhawatirkan dapat dipasarkan atau dikirim langsung ke para pembeli, yang berujung pada aksi pengurasan saldo kripto, sebut Keystone. Kendati begitu, perusahaan mengklaim belum menjumpai adanya laporan fisik perangkat palsu maupun insiden pencurian dana.
Kunci autentikasi ditanam ke dalam setiap hardware wallet ketika proses perakitan pabrik berlangsung serta tidak bisa dihapus atau ditimpa ulang. Sistem firmware menyimpannya pada memori sekali tulis yang menolak pemasangan kunci cadangan kedua. Konsekuensinya, unit yang telah selesai dirakit mustahil diperbarui ke versi kunci verifikasi baru.
Data Rekaman Konsumen
Keystone pada mulanya membeberkan kebocoran data ini pada tanggal 24 Oktober, dengan menyatakan pihak ketiga telah menyusup dan menyalin data alamat pengiriman para pembeli.
Kebocoran berdampak langsung pada 25.964 catatan riwayat transaksi pembeli di situs web resmi Keystone antara tahun 2024 sampai 2026, urai perusahaan pada 26 Oktober. Arsip yang bocor memuat identitas nama, kontak komunikasi, alamat pengiriman barang, dan rincian pesanan. Toko daring Keystone ditenagai oleh platform Shopify, yang bertugas menampung sekaligus mengelola basis data transaksi konsumen tersebut.
Rincian kartu pembayaran, data perbankan, maupun nomor dokumen identitas resmi pemerintah tidak ikut terkompromi, tegas Keystone. Riwayat pembelian via Amazon maupun saluran distributor resmi Keystone lainnya juga dinyatakan sepenuhnya aman.
Sebagai langkah pengamanan ekstra, Keystone turut memasukkan 12.873 berkas checkout belanja yang belum dibayar dalam penanganan mereka. Data ini berisi deretan nama, detail kontak, serta alamat pengiriman dari transaksi yang urung diselesaikan.
Sebagian data pelanggan yang bocor tersebut seharusnya sudah terhapus sejak lama. Keystone sebelumnya telah mengikat janji untuk memusnahkan riwayat alamat pengiriman 180 hari sesudah tiap pesanan selesai diproses.
Namun, perkakas otomatis yang dirancang Keystone guna membersihkan riwayat pesanan secara massal ternyata tidak berfungsi sempurna. Pembersihan beberapa arsip mengalami kegagalan, dan pihak internal Keystone terlambat mengendus malafungsi sistem tersebut.
Menyikapi hal ini, Keystone segera memangkas batas retensi penyimpanan berkas pribadi pelanggan dari 180 hari menjadi 90 hari, berlaku efektif seketika. Perusahaan telah menginstruksikan Shopify memusnahkan data pribadi konsumen yang berumur di atas 90 hari, yang ditargetkan rampung pada 3 November. Per 27 Oktober, laman kebijakan privasi resmi mereka terpantau masih mencantumkan durasi 180 hari.
Keystone saat ini aktif menyurati pelanggan terdampak lewat email dan menyiapkan laman khusus agar publik bisa memeriksa status kerentanan data pribadi mereka masing-masing.
Panduan Tindakan untuk Pemilik Keystone
Instruksi panduan dari Keystone merinci situasi-situasi sebagai berikut:
About the Author
