Keystone hakiran: ukraden ključ za provjeru novčanika

Proizvođač hardverskih novčanika Keystone potvrdio je da je napadač ukrao ključ kojim uređaji dokazuju da su originalni, pa bi netko teoretski mogao izraditi lažne novčanike koji prolaze službenu provjeru autentičnosti. Recovery fraze i privatni ključevi korisnika prema tvrtki nisu otkriveni, ali ako ste Keystone kupili ili primili nakon 20. listopada 2026., prije korištenja trebate dodatnu provjeru s podrškom.

U nastavku objašnjavamo što se točno dogodilo, zašto je ključ za provjeru autentičnosti važan i što ovaj slučaj uči svakoga tko svoj bitcoin čuva na hardverskom novčaniku, bez obzira na proizvođača.

Što se dogodilo u Keystoneu

Prema pregledu Blockheada, Keystoneov nadzorni sustav 20. listopada otkrio je neovlašteni pristup službenim web stranicama. Napadač je iskoristio ranjivost u alatu treće strane za praćenje podataka, koji je radio na stranici, i tako proširio svoje ovlasti. Time je došao do kupčevih podataka iz Shopify trgovine i do takozvanog „WebAuth“ ključa koji stoji iza Keystoneove stranice za provjeru autentičnosti uređaja.

Tvrtka je u prvoj objavi spomenula samo curenje podataka o dostavi, a dan kasnije, u opširnijoj izjavi, priznala je i krađu ključa. Kako prenosi Cointelegraph, Keystone će uništiti 18.835 uređaja iz zaliha koji sadrže kompromitirani ključ, a isporuke su zaustavljene dok se ne proizvedu uređaji s novim ključem.

Osim ključa, izloženi su i osobni podaci kupaca: oko 25.964 zapisa iz razdoblja 2024.–2026. s imenima, kontaktima, adresama za dostavu i podacima o narudžbama, te 12.873 zapisa nedovršenih kupnji. Keystone navodi da su ti zapisi prema vlastitim pravilima već trebali biti obrisani, ali alat za automatsko brisanje povremeno nije radio, a to nitko nije primijetio.

Zašto je ključ za provjeru autentičnosti važan

Kada kupite hardverski novčanik, želite biti sigurni da u rukama držite originalan uređaj, a ne krivotvorinu s ugrađenim „stražnjim vratima“. Zato mnogi proizvođači u svaki uređaj tijekom proizvodnje upišu tajni ključ. Pri prvom pokretanju uređaj pomoću tog ključa dokazuje službenoj stranici ili aplikaciji da ga je zaista izradio proizvođač.

Problem je u tome što se taj ključ, prema Keystoneu, upisuje tijekom proizvodnje i ne može se izbrisati ni promijeniti na postojećim uređajima. Tko ga posjeduje, mogao bi izraditi lažne novčanike koji prolaze provjeru i izgledaju potpuno originalno. Takav uređaj mogao bi, primjerice, generirati recovery frazu koju napadač unaprijed zna ili je potajno poslati dalje, pa bi novac bio ukraden čim ga uplatite.

Što trebate napraviti ako imate Keystone

Keystoneove upute ovise o datumu kada ste uređaj primili:

• Uređaj primljen prije 20. listopada 2026. Prema tvrtki, nije pogođen. Ako prolazi provjeru autentičnosti, smatra se originalnim.
• Uređaj sa starim ključem primljen 20. listopada ili kasnije. Prije korištenja kontaktirajte službenu podršku za dodatnu provjeru, jer uspješna provjera sama po sebi više ne isključuje krivotvorinu.
• Nova proizvodnja. Novi uređaji dobit će novi ključ. Prodaja na službenoj stranici zasad ide kroz prednarudžbe.

Ako ste kupovali u Keystoneovoj web trgovini, računajte s tim da su vaše ime i adresa možda u rukama napadača. Keystone upozorava da zanemarite poruke koje nude „migraciju imovine“ ili „verifikaciju novčanika“ i ističe da od korisnika nikada neće tražiti povrat uređaja pod izlikom opoziva proizvoda. Takve poruke klasični su mamac za krađu recovery fraze.

Što ovaj slučaj uči sve vlasnike hardverskih novčanika

Keystone nije izoliran slučaj. Cointelegraph navodi niz incidenata u 2026. godini: curenje podataka kupaca kod Trezorovog partnera za dostavu i kod SafePala, phishing kampanju protiv korisnika BitBoxa te upozorenja o neovlaštenim izmjenama Ledger uređaja kod preprodavača. O potonjem smo pisali u članku Krađa preko Ledger preprodavača: kako kupiti sigurno.

Iz svega toga proizlazi nekoliko pravila koja vrijede za svaki hardverski novčanik:

• Kupujte izravno od proizvođača ili ovlaštenog prodavača. Rabljeni uređaji i nepoznati preprodavači najveći su rizik.
• Recovery frazu generirajte sami, na uređaju. Ako u kutiji pronađete unaprijed ispisanu frazu, uređaj odmah vratite i ne koristite ga.
• Nikada ne unosite recovery frazu na računalo, mobitel ili web stranicu. Nijedan proizvođač je od vas neće tražiti.
• Budite sumnjičavi prema svakoj „hitnoj“ poruci. E-mail, SMS ili poziv koji vas požuruje da nešto „verificirate“ gotovo je uvijek prijevara, pogotovo nakon curenja podataka.
• Pratite službene kanale proizvođača. Informacije provjeravajte na službenoj stranici i profilima, a ne putem linkova iz primljenih poruka.

Za veće iznose vrijedi razmisliti i o multisig postavi s uređajima više različitih proizvođača. Tada kompromitirani lanac opskrbe jednog proizvođača ne znači automatski gubitak sredstava.

Zaključak

Incident u Keystoneu podsjeća da sigurnost hardverskog novčanika ne ovisi samo o samom uređaju, nego i o cijelom lancu: tvornici, web trgovini, dostavi i vašim navikama. Prema tvrtki, sredstva korisnika zasad nisu ugrožena, ali najveća opasnost u mjesecima koji slijede vjerojatno će biti phishing poruke usmjerene na kupce čiji su podaci procurili.

Želite naučiti kako sigurno postaviti hardverski novčanik, pravilno pohraniti recovery frazu i prepoznati prijevare? Prijavite se na Bitcoin radionicu u Zagrebu, Beču ili online.

Ovaj članak je informativnog karaktera i nije financijski savjet.