Keystone ha perso la chiave con cui dimostrava che Keystone è Keystone

Keystone ha un’ottima notizia per Lei: l’azienda giura che nessuno ha toccato le Sue frasi seed. La cattiva notizia: ha perso la chiave master con cui dimostrava l’autenticità dei propri wallet, ha consegnato agli attaccanti gli indirizzi di casa di decine di migliaia di clienti e ora, con la massima serietà, Le chiede di crederle sulla parola: tutto il resto sarebbe al sicuro sotto chiave.

Il 26 ottobre Keystone ha pubblicato la propria comunicazione sull’incidente. Secondo la versione dell’azienda, il 20 ottobre ha notato degli intrusi sul sito ufficiale: l’attaccante è entrato da una falla in uno strumento esterno di monitoraggio dei dati, ha ottenuto privilegi più elevati e se n’è andato con due trofei: il database dei clienti con gli indirizzi di spedizione e la chiave crittografica WebAuth con cui Keystone certifica l’autenticità di ciascuno dei suoi wallet.

Chi sia venuto esattamente in visita, quale strumento esterno sia stato violato e per quante settimane o mesi gli intrusi si siano accomodati prima del 20 ottobre, il resoconto non lo dice. In compenso l’azienda comunica, con un certo orgoglio, quanti dei propri dispositivi devono ora finire sotto la pressa industriale: 18.835. Le spedizioni dal magazzino sono sospese, ma i preordini per un futuro lotto con una «nuova chiave» sono stati aperti subito: Le chiedono soltanto di attendere da quattro a sei settimane. E, naturalmente, di inserire di nuovo il Suo indirizzo di casa.

L’ironia ingegneristica merita un’ammirazione particolare. Per anni Keystone si è presentata come lo standard di riferimento della sicurezza «100% air-gapped»: niente Bluetooth, niente Wi-Fi, nessun trasferimento di dati via USB, solo una fotocamera e codici QR, perché il wallet non tocchi mai e poi mai internet. Con eroismo hanno tagliato il cavo al dispositivo, per poi avvitare al sito un tracker esterno attraverso il quale un attaccante qualunque è arrivato fino al segreto più prezioso della verifica di fabbrica. Doveva essere una metrica importantissima quella che stavano monitorando.

1. Che cos’è questa «chiave master» e perché l’intero magazzino finisce nel trituratore

La verifica di autenticità di Keystone è semplice. Alla prima accensione del dispositivo Lei apre la pagina di verifica ufficiale, il sito mostra un codice QR, Lei lo inquadra con la fotocamera del wallet, il wallet restituisce una serie di cifre e Lei le digita sul sito. Se corrispondono, lo schermo si congratula con Lei per il possesso di un dispositivo «autentico».

Aprendo il codice sorgente del firmware di Keystone 3 si vede cosa accade dietro le quinte. Il codice QR contiene un valore di controllo cifrato con RSA e firmato con una chiave di Keystone. Il wallet verifica la firma e decifra il valore con una chiave RSA privata. In fabbrica questa chiave viene scritta in una memoria programmabile una sola volta (OTP): il firmware originale non consente di sovrascriverla.

In altre parole, l’intera «verifica di autenticità» dimostra un solo fatto: l’apparecchio che ha in mano conosce un segreto. Non «la scheda è stata assemblata nello stabilimento Keystone», non «all’interno non c’è alcun chip aggiuntivo», non «il generatore di numeri casuali è onesto». Soltanto «conosce il segreto». Proprio quel segreto che, per ammissione della stessa azienda, si trova ora nelle mani degli attaccanti. La pagina di verifica continua a funzionare come un orologio: semplicemente, ora qualsiasi contraffazione può far accendere l’agognato segno di spunta verde.

Nel comunicato stampa Keystone si affretta a rassicurare il pubblico: la chiave rubata non partecipa né alla generazione della frase seed, né alla derivazione delle chiavi private, né alla firma delle transazioni. Tecnicamente è la pura verità, se non fosse che era proprio questa chiave a convincere gli acquirenti che a quella scatola si potesse affidare una frase seed. Una sciocchezza.

Ancora più interessante è un dettaglio emerso nella descrizione della sostituzione: tutti i 18.835 wallet in magazzino hanno la chiave «vecchia», mentre il prossimo lotto ne riceverà una «nuova». Ne deriva una splendida conclusione architetturale: invece di certificati individuali per ogni dispositivo, Keystone sembra aver impresso un unico segreto condiviso su un intero lotto. Il risparmio si è rivelato esemplare: basta che trapeli una sola chiave e non ci sono numeri di serie specifici da revocare, l’intero magazzino finisce sotto la scure.

Per di più, per generare il codice QR di verifica il sito aveva bisogno solo della metà pubblica della chiave. Eppure la metà privata, senza la quale nessuno può rispondere al controllo al posto di un dispositivo, stava a quanto pare comodamente da qualche parte raggiungibile tramite il server web. Tenere la chiave master del sigillo di fabbrica sotto lo zerbino del negozio online è un capitolo del tutto nuovo della crittografia.

2. Cosa si può fare ora con questa chiave

Lo scenario di attacco principale lo descrive Keystone stessa: con il segreto sottratto, i criminali possono produrre in serie wallet falsi che superano senza problemi la verifica ufficiale di autenticità sul sito, venderli tramite rivenditori o come usato e poi svuotare i saldi degli acquirenti. Finora non sono state segnalate contraffazioni in circolazione.

Per derubare il proprietario, un falso non ha bisogno né del firmware originale di Keystone né della chiave di firma del codice di fabbrica (che, giura l’azienda, non è stata coinvolta). In un guscio di plastica somigliante può trovarsi qualsiasi scheda economica che, durante la configurazione, Le consegni una frase seed di 24 parole preparata in anticipo dai ladri. Il segreto OTP rubato serve a questa esca per un solo scopo: rispondere correttamente al primo codice QR e tranquillizzare l’acquirente attento con la scritta «Verification Successful».

Ecco perché 18.835 wallet finiti vanno alla rottamazione. La loro memoria è programmabile una sola volta: la chiave non può essere aggiornata da remoto. Distinguere tramite il sito un wallet autentico con la chiave «vecchia» da una replica artigianale con la stessa chiave è ormai impossibile. Alla fine, l’unico strumento di «rotazione delle chiavi» previsto dal progetto si è rivelato un trituratore industriale. Keystone definisce pomposamente la distruzione del lotto «una decisione costosa ma giusta», quando in realtà la sua stessa architettura non le ha lasciato alcuna alternativa.

3. Un uomo con un coltello accanto al letto: chi ha nominato garanti i violati?

Diamo un’occhiata alle raccomandazioni ufficiali di Keystone per chi ha già acquistato un wallet:

• Dispositivo ricevuto prima del 20 ottobre che supera la verifica: continui a usarlo, non è necessario trasferire le criptovalute su altri wallet.
• Dispositivo con la vecchia chiave ricevuto dopo il 20 ottobre: non lo usi finché l’assistenza (support@keyst.one) non ne avrà confermato manualmente l’autenticità. L’azienda ammette da sola la propria impotenza: anche se un wallet del genere supera la verifica sul sito, non può più escludere una contraffazione. Come gli acquirenti debbano capire esattamente se nel loro wallet c’è una chiave «vecchia» o «nuova», Keystone, secondo The Hacker News al 27 ottobre, ha dimenticato di spiegarlo. Con che cosa l’assistenza sostituirà la crittografia compromessa resta anch’esso un mistero: probabilmente leggeranno il futuro in una foto della scatola.
• Non c’è alcun richiamo. A nessuno viene chiesto di restituire nulla, e qualsiasi e-mail o telefonata su «sostituzione del wallet» o «salvataggio dei fondi» viene dichiarata una truffa.

Tutta questa guida al salvataggio si regge sulla data del 20 ottobre. Nelle risposte sotto il proprio post, i rappresentanti di Keystone affermano con sicurezza che la chiave è trapelata il 20 ottobre. Eppure lo stesso comunicato indica il 20 ottobre come il giorno in cui l’intrusione è stata scoperta, mentre la data in cui l’attaccante ha ottenuto per la prima volta l’accesso al sistema viene modestamente taciuta. Tutti coloro il cui pacco è arrivato il 19 sono invitati a credere a una coincidenza miracolosa: che l’hacker sia entrato, abbia estratto il database con la chiave e sia stato colto in flagrante nello stesso giorno.

Ma la questione di fondo è ancora più dura: come fa la stessa Keystone a sapere che cosa è stato rubato e che cosa no?

Guardi chi recita la parte dell’esperto davanti a Lei. Tutti questi mantra – «la chiave di firma del firmware è al sicuro», «i dispositivi più vecchi non sono coinvolti», «tra un mese spediremo un nuovo lotto sicuro» – provengono da un’azienda che è appena stata ripulita tramite un plugin esterno sul proprio sito. Fino a ieri queste persone non sospettavano che il segreto radice della verifica del loro hardware venisse portato via sotto il loro naso. Per due anni di fila non si sono accorte che il loro script per cancellare gli indirizzi dei clienti non funzionava. E oggi le stesse persone, con la massima serietà, Le rilasciano un’indulgenza e si impegnano a garantire in quali cartelle l’hacker abbia guardato e davanti a quali sia nobilmente passato oltre.

Chi ha permesso la fuga di dati non è più un garante. Se ieri non sapevano nulla di questa violazione, come verranno a sapere domani della prossima? Dov’è la garanzia che la «nuova chiave», per la quale stanno già raccogliendo preordini, non scappi da un altro buco prima che la catena di montaggio sforni le prime mille scatole?

4. Due anni di false promesse sulla cancellazione e 13.000 persone che non avevano nemmeno comprato nulla

Una chiave compromessa può almeno essere sostituita in un nuovo hardware. Il Suo indirizzo di casa non si può riemettere su preordine.

Gli attaccanti si sono portati via 25.964 record di clienti dal negozio Shopify ufficiale di Keystone per il periodo 2024–2026: nomi completi, numeri di telefono, indirizzi e-mail, indirizzi esatti di consegna a domicilio, oltre al contenuto e all’importo di ogni ordine. Insieme a questi sono finiti altri 12.873 ordini in bozza non pagati con nomi, telefoni e indirizzi. In altre parole, quasi tredicimila persone non hanno mai nemmeno comprato questo sfortunato wallet: hanno semplicemente visitato il sito, inserito l’indirizzo per controllare il costo della spedizione, cambiato idea e chiuso la scheda. E sono comunque finite in una lista trapelata di possessori di criptovalute.

Ma il punto più basso di questa storia è che la maggior parte di questi record non avrebbe nemmeno dovuto trovarsi nel database. Keystone aveva promesso ufficialmente ai clienti di cancellare i dati di spedizione dopo 180 giorni. Le persone ordinavano hardware wallet a casa propria contando sul fatto che la traccia sarebbe scomparsa sei mesi dopo. Quando gli hacker si erano ormai portati via il database, è improvvisamente emerso che lo strumento di cancellazione massiva di Shopify aveva restituito errori per tutto il tempo e che in azienda nessuno aveva nemmeno controllato se venisse cancellata almeno una riga. Ora Keystone allarga le braccia, imbarazzata, promette di ridurre il periodo di conservazione a 90 giorni e giura solennemente di cancellare i vecchi archivi entro il 3 novembre, subito dopo che gli attaccanti li hanno già scaricati.

Se un’azienda ha giurato per due anni di cancellare i Suoi dati mentre in realtà li accumulava in un salvadanaio per hacker, la fiducia che meritano le sue parole è esattamente zero. Immagini di svegliarsi nel cuore della notte e di vedere una persona a Lei vicina in piedi sopra il letto con un coltello in mano. E questa Le dice con calma: «Non preoccuparti, avevo solo voglia di stare qui con un coltello. Forse volevo anche colpirti, ma girati e torna a dormire: ho preso nota di questo incidente, l’ho analizzato e proprio questo non si ripeterà mai più». Più o meno così suonano oggi le promesse di Keystone di cancellare gli indirizzi dopo 90 giorni anziché 180 e di custodire con più cura la prossima chiave master.

Che cosa significhi in pratica un database trapelato non ha quasi bisogno di spiegazioni. È un elenco di indirizzi pronto all’uso di persone che a casa hanno sicuramente qualcosa da prendere, con nomi completi, telefoni e numeri di appartamento. Per i truffatori telefonici è una chiamata sostenuta da dettagli d’ordine reali: un acquirente ha già scritto nel thread di Keystone che dei truffatori lo hanno chiamato rivolgendosi a lui con il suo vero nome. Per chi pianifica furti in casa e per gli appassionati dell’«attacco con la chiave inglese da 5 dollari» è una mappa dei percorsi già pronta. Per guadagnare con la chiave WebAuth rubata bisogna saldare schede false e organizzare la distribuzione. Per guadagnare con il database Shopify trapelato bastano un piede di porco e un biglietto del treno.

5. Conclusione: il prezzo di un «sigillo di fabbrica»

Mettiamo insieme l’intera costruzione. Agli acquirenti viene venduto un hardware wallet «completamente air-gapped» che genera da sé la frase seed e firma i trasferimenti all’interno di una scatola sigillata. Perché Lei non abbia paura di affidare i Suoi risparmi a quella scatola, il produttore propone di verificarne l’autenticità sul sito. In realtà la verifica si basa su un unico segreto condiviso per un intero lotto di magazzino, e il segreto stesso si trova da qualche parte raggiungibile tramite un tracker esterno bucato sul server web.

Non è finita. Perché la preziosa scatola arrivi nelle Sue mani, Lei lascia al negozio cognome, telefono e indirizzo di casa, con la promessa che il record verrà cancellato dopo sei mesi. Lo script di cancellazione non funziona per due anni, nessuno se ne accorge e l’intero archivio, insieme alla chiave master della verifica, se ne va dagli attaccanti. E quando il disastro viene alla luce, proprio la stessa ditta che ha dormito durante la violazione e ha accumulato i Suoi indirizzi per due anni sale sul podio e chiede di crederle sulla parola: le altre chiavi sono intatte, i wallet precedenti al 20 ottobre sono sicuri e tra un mese arriverà un nuovo lotto, sicuramente affidabile.

Keystone manda quasi 19.000 dei propri dispositivi sotto la pressa industriale semplicemente perché non è più in grado di distinguere i propri prodotti dalle contraffazioni. Strada facendo, 38.837 persone hanno ottenuto la residenza permanente nei database criminali, indirizzi esatti compresi. Una bella lezione per chi crede ancora che un grazioso segno di spunta verde sul sito del produttore e la scritta «Air-Gapped» sulla scatola possano sostituire la sicurezza vera.