Pihak peretas yang berhasil menyusup ke dalam situs resmi Keystone telah mencuri kunci autentikasi khusus yang dipakai perangkat keras dompet kripto mereka guna memverifikasi keaslian produk, ungkap perusahaan itu dalam sebuah pernyataan resmi pada 26 Oktober.
Pelaku yang menguasai kunci rahasia tersebut memiliki kemampuan untuk menciptakan dompet digital tiruan atau palsu yang tetap sanggup melewati sistem verifikasi online resmi Keystone saat pengguna mengujinya. Konsumen yang teperdaya dan memakai unit tiruan berisiko kehilangan seluruh aset kripto mereka, meskipun pembobolan sistem ini sama sekali tidak melibatkan kata pemulihan maupun kunci privat dompet milik pelanggan.
Keystone memutuskan untuk menghancurkan sebanyak 18.835 unit perangkat fisik yang belum sempat terjual yang masih menyimpan kunci lama tersebut, sementara seluruh lini perangkat produksi baru bakal dipasangi kunci autentikasi pengganti.
Pihak pengelola mendeteksi insiden akses tidak sah ini pada 20 Oktober, dan arahan keamanan bagi para pemilik disesuaikan berdasarkan kapan paket produk tersebut tiba di tangan mereka. Terhadap perangkat yang baru diterima setelah tanggal insiden dengan kunci versi lama terpasang, perwakilan manajemen menyatakan: "Bahkan jika perangkat tersebut berhasil lolos uji autentikasi, kami tidak dapat sepenuhnya menyingkirkan kemungkinan bahwa unit itu adalah produk palsu."
Para konsumen yang menerima produk semacam itu diimbau segera menghubungi tim layanan bantuan Keystone dan menunda penggunaannya hingga perusahaan selesai mengonfirmasi keaslian fisik perangkat.
Di sisi lain, unit dompet yang telah sampai di alamat pemilik sebelum 20 Oktober dan sukses melewati pemeriksaan online dinyatakan sah berstatus asli serta dapat dioperasikan secara normal seperti biasa, tegas Keystone. Kendati demikian, perusahaan belum mengumumkan kapan tepatnya pelaku peretasan pertama kali berhasil membobol masuk ke dalam jaringan mereka.
Pelaku kejahatan siber dilaporkan mengeksploitasi celah keamanan pada sistem pemantau data pihak ketiga yang terintegrasi pada situs web Keystone guna menaikkan hak akses sistem, papar perusahaan. Manuver eksploitasi peretasan tersebut memberi keleluasaan bagi pelaku untuk menyalin data pribadi pelanggan sekaligus menggondol kunci verifikasi esensial perangkat.
Keystone langsung memutus seluruh akses peretas pada 20 Oktober dan sejak saat itu telah menambal lubang keamanan yang dieksploitasi. Namun begitu, perusahaan belum bersedia membeberkan letak pasti penyimpanan kunci autentikasi itu sebelumnya.
Cara Kerja Sistem Pemeriksaan Perangkat
Mekanisme pemeriksaan berlangsung ketika pengguna memindai kode QR pada halaman web autentikasi Keystone memanfaatkan kamera perangkat, kemudian mengetikkan serangkaian kode acak yang muncul di layar dompet ke situs tersebut.
Dalam struktur perangkat lunak bersumber terbuka milik Keystone, visual kode QR itu memuat kode enkripsi unik, yang mana unit perangkat akan mendekripsinya menggunakan kunci rahasia yang tersimpan di dalam memori internal. Dengan demikian, kecocokan kode yang tampil membuktikan perangkat memegang kunci resmi.
Kunci khusus tersebut murni difungsikan untuk keperluan validasi keaslian semata. Kunci ini tidak memiliki keterkaitan maupun andil dalam penyusunan kata pemulihan, penentuan kunci privat, atau verifikasi otorisasi transaksi kripto pengguna.
Siapa pun yang mengantongi salinan kunci verifikasi dapat merancang kode verifikasi yang tepat, sehingga perangkat palsu yang ditanami kunci itu sanggup mengelabui sistem verifikasi resmi. Perangkat rakitan palsu ini berpotensi diperjualbelikan atau dikirimkan kepada konsumen tanpa dicurigai, yang kemudian memicu pencurian dana kripto pemiliknya, jelas Keystone. Hingga kini, perusahaan memastikan belum menerima laporan adanya temuan perangkat palsu atau insiden pencurian dana.
Kunci pengenal dimasukkan ke dalam masing-masing unit sewaktu tahap manufaktur perakitan dan secara teknis mustahil dihapus atau diisi ulang kembali. Firmware internal menguncinya di dalam modul memori yang hanya bisa ditulis satu kali saja, serta secara permanen menolak input kunci baru. Oleh karenanya, unit-unit yang telah terlanjur diproduksi tidak memungkinkan untuk diperbarui menggunakan kunci baru.
Kebocoran Data Pelanggan
Keystone pada mulanya mempublikasikan insiden peretasan sistem pada 24 Oktober, dengan mengonfirmasi bahwa pihak asing telah meretas dan mengambil informasi data pengiriman para pembeli.
Insiden kebocoran ini mencakup 25.964 berkas profil konsumen dari pesanan di situs Keystone antara tahun 2024 hingga 2026, terang pihak perusahaan pada 26 Oktober. Arsip data yang bocor mencakup nama lengkap, nomor kontak, alamat lengkap pengiriman, beserta rincian pesanan belanja. Toko daring Keystone dioperasikan melalui platform Shopify, yang bertindak selaku penyimpan serta pengelola seluruh arsip informasi tersebut.
Informasi nomor kartu pembayaran, detail perbankan, dan data nomor identitas kependudukan pemerintah dipastikan tidak tersentuh dalam insiden ini, ungkap Keystone. Rekam transaksi pembelian dari platform e-commerce Amazon maupun saluran penjualan resmi Keystone lainnya dilaporkan aman tidak terdampak.
Sebagai langkah antisipasi pencegahan, Keystone turut mencantumkan data 12.873 transaksi keranjang tertunda dalam tindak lanjut penanganan insiden. Berkas tersebut memuat nama pelanggan, kontak, dan alamat pengiriman dari transaksi belanja yang pada akhirnya dibatalkan.
Sebagian informasi yang bocor sebenarnya sudah seharusnya dibersihkan dari server. Keystone sebelumnya sempat berkomitmen bakal melenyapkan data alamat pengiriman setelah melewati masa simpan 180 hari dari tanggal pesanan dibuat.
Namun, perkakas sistem otomatis yang dirancang Keystone guna membersihkan basis data dalam jumlah massal nyatanya tidak bekerja secara optimal. Beberapa proses penghapusan data mengalami kegagalan sistematis, dan pihak Keystone terlambat menyadari kendala operasional tersebut.
Kini Keystone memperpendek rentang retensi penyimpanan data pribadi milik konsumen dari 180 hari menjadi hanya 90 hari, yang langsung diberlakukan saat ini juga. Manajemen telah menginstruksikan Shopify untuk melenyapkan data pribadi pesanan yang telah melampaui usia 90 hari dan mengharapkan instruksi tuntas pada 3 November. Per 27 Oktober, laman kebijakan privasi resmi mereka masih mencantumkan ketentuan 180 hari.
Keystone tengah melayangkan surat elektronik kepada para pelanggan terdampak dan merancang situs web khusus agar pengguna dapat memeriksa keamanan data pribadi mereka.
Langkah yang Perlu Diambil Pemilik Keystone
Panduan pengamanan yang diterbitkan oleh pihak Keystone merangkum situasi-situasi penanganan berikut:
