Seorang peretas yang menyusup ke situs resmi Keystone sukses mengambil kunci digital penting yang dipakai perangkat keras dompet kripto mereka demi membuktikan keasliannya, ungkap pihak perusahaan lewat keterangan resmi pada 26 Oktober.

Pelaku yang memegang kunci tersebut sanggup membikin perangkat tiruan yang mampu lolos dari proses pemeriksaan online yang biasa dimanfaatkan para pemilik untuk memvalidasi keaslian Keystone. Seorang pembeli yang mempercayai perangkat palsu itu berisiko kehilangan simpanan kripto miliknya, kendati kejadian ini sama sekali tidak menyentuh seed phrase pemulihan maupun private key milik pelanggan.

Guna mengatasi risiko, Keystone bersiap menghancurkan 18.835 unit perangkat yang belum terjual karena masih memuat kunci lama tersebut, lalu seluruh lini produk baru akan ditanami sistem kunci verifikasi yang sepenuhnya segar.

Manajemen Keystone menemukan infiltrasi tanpa izin ini sejak 20 Oktober, dan panduan yang mereka berikan ke pengguna bergantung erat pada waktu penerimaan unit bersangkutan. Untuk perangkat yang diterima selepas tanggal tersebut menggunakan kunci lawas, pihak produsen menyatakan: "Even if such a device passes authentication, we cannot completely rule out the possibility that it is counterfeit."

Para konsumen yang mendapati situasi semacam itu diminta lekas mengontak layanan dukungan Keystone dan dilarang menggunakannya sebelum ada kepastian konfirmasi keaslian resmi langsung dari tim perusahaan.

Sebaliknya, produk fisik yang diterima sebelum batas waktu 20 Oktober dan sukses melewati pengecekan mandiri dipastikan asli serta dapat terus dipakai layaknya biasa, menurut Keystone. Perusahaan hingga sekarang belum merilis kapan persisnya penyusup tersebut pertama kali masuk ke sistem.

Peretas menyalahgunakan celah keamanan pada salah satu perangkat lunak pemantauan data eksternal milik vendor pihak ketiga yang dihubungkan ke laman web Keystone guna menaikkan hak akses (escalate privileges), terang manajemen. Celah tersebut memuluskan jalan peretas menyita catatan data pelanggan sekaligus mengekstraksi kunci verifikasi perangkat.

Akses kriminal itu berhasil dihentikan Keystone pada 20 Oktober dan titik kerentanan perangkat lunak telah tuntas ditambal. Kendati demikian, mereka tidak membeberkan secara rinci tempat kunci itu disimpan sebelumnya.

Cara Kerja Pengecekan Perangkat

Pemilik perangkat melakukan pemindaian barcode QR di situs verifikasi Keystone menggunakan hardware wallet, kemudian memasukkan susunan kode yang tertampil di layar unit fisik kembali ke halaman situs.

Berdasarkan firmware bersumber terbuka (open-source) milik Keystone, kode QR tersebut memuat susunan karakter terenkripsi, yang kemudian dipecahkan atau didekripsi oleh perangkat lewat kunci pengaman bawaannya. Dengan demikian, kemunculan kode yang cocok merupakan bukti sah bahwa perangkat memang menyimpan kunci yang benar.

Kunci khusus tersebut hanya difungsikan sebatas proses pengecekan keaslian hardware saja. Kunci sama sekali tidak terlibat dalam mekanisme perumusan recovery phrase, proses pembentukan private key, ataupun pembubuhan tanda tangan transaksi transfer aset kripto.

Siapa saja yang berhasil menduplikasi kunci tersebut mampu mencetak kombinasi kode yang benar, sehingga unit palsu yang menyematkannya bakal lolos pengecekan keaslian. Barang kloningan berisiko didistribusikan atau dikirim langsung ke para pembeli, yang berujung pada aksi pengurasan saldo kripto pengguna, sebut Keystone. Pihak manajemen belum mencatat insiden peredaran alat palsu maupun kerugian aset nyata di lapangan.

Kunci pengaman disuntikkan secara permanen ke dalam tiap unit sejak tahap manufaktur di pabrik dan tidak bisa dihapus atau diperbarui ulang. Firmware menyimpannya dalam memori khusus tipe sekali tulis (write-once) yang tegas menolak penulisan kunci pengganti. Akibatnya, seluruh stok unit yang telah rampung diproduksi mustahil diubah ke kode kunci mutakhir.

Data Catatan Pelanggan

Keystone pertama kali membuka kabar insiden siber ini kepada publik pada 24 Oktober, dengan menyatakan bahwa pihak luar berhasil mencuri data pengiriman logistik para konsumen mereka.

Peristiwa kebocoran ini berdampak pada 25.964 data pesanan dari transaksi di portal belanja Keystone rentang 2024 sampai 2026, jelas perusahaan per 26 Oktober. Arsip data memuat identitas nama, nomor kontak, rincian alamat kirim, serta detail riwayat belanjaan. Sistem e-commerce Keystone beroperasi memakai Shopify, yang selama ini menyimpan dan mengelola data-data tersebut.

Informasi sensitif menyangkut data kartu kredit, rekening perbankan, hingga angka kartu tanda pengenal nasional tidak ikut bocor, tegas Keystone. Seluruh histori transaksi dari platform Amazon maupun kanal perdagangan alternatif milik Keystone juga dipastikan sepenuhnya terlindungi.

Keystone pun mencantumkan sebanyak 12.873 riwayat pesanan belum terbayar ke dalam pengumuman penanganan ini sebagai langkah pencegahan ekstra. Berkas digital tersebut berisi nama lengkap, kontak pribadi, serta rincian alamat dari pesanan yang sebelumnya batal diselesaikan pelanggan.

Sebagian dari data terimbas sejatinya harus sudah dibersihkan sejak awal. Keystone sebelumnya telah mengikrarkan janji untuk membersihkan berkas informasi pengiriman dalam waktu 180 hari sesudah transaksi pembelian berlangsung.

Akan tetapi, skrip otomatisasi internal yang dirancang Keystone guna membersihkan riwayat massal ternyata tidak bekerja secara optimal. Sebagian proses penghapusan data mengalami kegagalan sistem, dan Keystone terlambat menyadari kendala teknis tersebut.

Keystone lantas mempercepat jangka waktu retensi penyimpanan identitas pembeli dari 180 hari menjadi hanya 90 hari, yang langsung diberlakukan sekarang. Mereka telah menginstruksikan Shopify memusnahkan data pribadi konsumen yang melewati usia 90 hari dan dijadwalkan rampung pada 3 November. Per 27 Oktober, lembar kebijakan privasi situs masih mencantumkan masa simpan 180 hari.

Keystone saat ini aktif melayangkan pemberitahuan surel ke setiap pengguna terdampak, serta menyusun portal pengecekan mandiri untuk memfasilitasi publik meninjau status keamanan datanya.

Panduan Penting bagi Pemilik Keystone

Rekomendasi resmi dari Keystone mencakup skenario-skenario berikut: