Keystone pro vás má skvělou zprávu: společnost přísahá, že na vaše seed fráze nikdo nesáhl. Špatná zpráva: ztratila hlavní klíč, kterým dokazovala pravost svých peněženek, předala útočníkům domácí adresy desítek tisíc zákazníků – a teď vás s kamennou tváří žádá, abyste jí uvěřili na slovo, že všechno ostatní je bezpečně pod zámkem.
Dne 26. října zveřejnil Keystone oznámení o incidentu. Podle verze společnosti si 20. října všimla vetřelců na svém oficiálním webu: útočník pronikl dírou v externím nástroji pro monitorování dat, rozšířil si oprávnění a odnesl si dvě trofeje – databázi zákazníků s doručovacími adresami a kryptografický klíč WebAuth, kterým Keystone potvrzuje pravost každé své peněženky.
Kdo přesně přišel na návštěvu, který externí nástroj byl prolomen a kolik týdnů či měsíců se vetřelci v systému zabydlovali před 20. říjnem, zpráva neuvádí. Zato společnost s jistou hrdostí sděluje, kolik vlastních zařízení teď musí pod průmyslový lis: 18 835 kusů. Expedice ze skladu je zastavena, ale předobjednávky budoucí várky s „novým klíčem“ byly spuštěny okamžitě – žádají vás jen, abyste čtyři až šest týdnů počkali. A samozřejmě abyste znovu zadali svou domácí adresu.
Zvláštní obdiv si zaslouží inženýrská ironie. Keystone se léta prodával jako zlatý standard bezpečnosti „100% air-gapped“: žádný Bluetooth, žádná Wi-Fi, žádný přenos dat přes USB – jen kamera a QR kódy, aby se peněženka nikdy a za žádných okolností nedotkla internetu. Zařízení hrdinsky odstřihli kabel, pak ale k webu přišroubovali externí tracker, přes který se útočník z ulice dostal až k nejcennějšímu tajemství tovární ověřovací procedury. Muselo jít o velmi důležitou metriku, kterou tam sledovali.
1. Co je ten „hlavní klíč“ a proč celý sklad míří do drtiče
Ověření pravosti u Keystone je jednoduché. Při prvním zapnutí zařízení otevřete oficiální ověřovací stránku, web zobrazí QR kód, vy ho naskenujete kamerou peněženky, peněženka vrátí řadu číslic a vy je zadáte zpět na web. Pokud souhlasí, obrazovka vám pogratuluje k vlastnictví „pravého“ zařízení.
Když otevřeme zdrojový kód firmwaru Keystone 3, uvidíme, co se děje v zákulisí. QR kód nese kontrolní hodnotu zašifrovanou pomocí RSA a podepsanou klíčem Keystone. Peněženka ověří podpis a hodnotu dešifruje soukromým klíčem RSA. Tento klíč se v továrně zapisuje do jednorázově programovatelné paměti (OTP) – standardní firmware jeho přepsání nedovolí.
Jinými slovy, celé „ověření pravosti“ dokazuje jedinou skutečnost: přístroj ve vašich rukou zná tajemství. Ne „deska byla osazena v továrně Keystone“, ne „uvnitř není žádný čip navíc“, ne „generátor náhodných čísel je poctivý“. Pouze „zná tajemství“. Právě to tajemství, které je podle přiznání samotné společnosti nyní v rukou útočníků. Samotná ověřovací stránka dál funguje jako hodinky – jen teď dokáže vytoužené zelené zaškrtnutí rozsvítit jakýkoli padělek.
Keystone v tiskové zprávě spěchá s uklidněním veřejnosti: ukradený klíč se nepodílí na generování seed fráze, odvozování soukromých klíčů ani na podepisování transakcí. Technicky je to čistá pravda – až na to, že právě tento klíč přesvědčoval kupující, že krabičce lze seed frázi vůbec svěřit. Maličkost.
Ještě zajímavější je detail, který se objevil v popisu výměny: všech 18 835 peněženek ve skladu nese „starý“ klíč, zatímco další várka dostane „nový“. Z toho plyne krásný architektonický závěr: místo individuálních certifikátů pro každé zařízení Keystone zřejmě vyrazil jedno společné tajemství na celou várku. Šetrnost se ukázala jako vzorná: stačí únik jediného klíče a neexistují žádná konkrétní sériová čísla, která by šlo zneplatnit – pod nůž jde celý sklad.
Navíc pro vygenerování ověřovacího QR kódu webu stačila veřejná polovina klíče. Soukromá polovina, bez níž nikdo nemůže na ověření odpovědět za zařízení, však zřejmě pohodlně ležela někde, kam se dalo dostat přes webový server. Uložit hlavní klíč k tovární pečeti pod rohožku internetového obchodu – to je zcela nová kapitola kryptografie.
2. Co se s tímto klíčem dá teď dělat
Hlavní scénář útoku popisuje Keystone sám: s uloupeným tajemstvím mohou zločinci sériově vyrábět falešné peněženky, které bez problémů projdou oficiálním ověřením pravosti na webu, prodávat je přes přeprodejce nebo jako použité – a pak kupujícím vybílit zůstatky. Zatím nebyly hlášeny žádné padělky v oběhu.
K okradení majitele padělek nepotřebuje ani originální firmware Keystone, ani tovární klíč pro podepisování kódu (ten podle ujištění společnosti zasažen nebyl). V podobném plastovém pouzdře může být jakákoli levná deska, která vám při nastavení podstrčí 24slovnou seed frázi předem připravenou zloději. Ukradené tajemství OTP potřebuje tato návnada k jedinému účelu – správně odpovědět na první QR kód a ukolébat ostražitého kupujícího nápisem „Verification Successful“.
Proto jde 18 835 hotových peněženek do šrotu. Jejich paměť je jednorázově programovatelná – klíč nelze aktualizovat na dálku. Rozlišit přes web pravou peněženku se „starým“ klíčem od podomácku vyrobené repliky se stejným klíčem je nyní také nemožné. Nakonec se jediným nástrojem pro „rotaci klíčů“, s nímž konstrukce počítá, ukázal průmyslový drtič. Zničení várky Keystone honosně nazývá „nákladným, ale správným rozhodnutím“ – ve skutečnosti mu však jeho vlastní architektura prostě nenechala jinou možnost.
3. Muž s nožem u postele: kdo jmenoval napadené ručiteli?
Podívejme se na oficiální doporučení Keystone pro ty, kdo už peněženku koupili:
- Zařízení jste obdrželi před 20. říjnem a ověřením projde – používejte ho dál, kryptoměny není třeba přesouvat do jiných peněženek.
- Zařízení se starým klíčem jste obdrželi po 20. říjnu – nepoužívejte ho, dokud podpora (support@keyst.one) ručně nepotvrdí jeho pravost. Společnost sama přiznává svou bezmoc: i když taková peněženka projde ověřením na webu, padělek už vyloučit nedokáže. Jak přesně mají kupující zjistit, zda je v jejich peněžence „starý“, nebo „nový“ klíč, Keystone podle The Hacker News ke 27. říjnu vysvětlit zapomněl. Čím podpora nahradí kompromitovanou kryptografii, je rovněž záhadou – nejspíš budou věštit z fotografie krabice.
- Žádné stahování z trhu není. Nikdo nemusí nic vracet a jakékoli e-maily či hovory o „výměně peněženky“ nebo „záchraně prostředků“ jsou prohlášeny za podvod.
Celý tento záchranný návod stojí na datu 20. října. V odpovědích pod vlastním příspěvkem zástupci Keystone sebevědomě tvrdí, že klíč unikl 20. října. Samotná tisková zpráva přitom uvádí 20. říjen jako den odhalení průniku, zatímco datum, kdy útočník poprvé získal přístup do systému, skromně zamlčuje. Všichni, jimž balík dorazil 19., jsou vyzýváni, aby uvěřili v zázračnou shodu okolností: že hacker pronikl dovnitř, stáhl databázi i s klíčem a byl přistižen při činu během jediného dne.
Zásadní otázka je tu ale ještě tvrdší: jak vůbec Keystone sám ví, co bylo ukradeno a co ne?
Podívejte se, kdo před vámi hraje odborníka. Všechny ty mantry – „podpisový klíč firmwaru je v bezpečí“, „starší zařízení nejsou zasažena“, „za měsíc odešleme novou, bezpečnou várku“ – pocházejí od společnosti, kterou právě vybrali přes externí plugin na jejím vlastním webu. Ještě včera tito lidé netušili, že jim pod nosem odnášejí kořenové tajemství ověřování jejich hardwaru. Dva roky v kuse si nevšimli, že jejich skript na mazání adres zákazníků nefunguje. A dnes vám titíž lidé s vážnou tváří vystavují odpustek a zaručují se za to, do kterých složek se hacker podíval a kolem kterých šlechetně prošel.
Kdo připustil únik, už není ručitelem. Pokud včera o tomto průniku nevěděli, jak se zítra dozvědí o dalším? Kde je záruka, že „nový klíč“, na který už teď sbírají předobjednávky, neuteče další dírou dřív, než výrobní linka vychrlí prvních tisíc krabic?
4. Dva roky lží o mazání a 13 tisíc lidí, kteří si ani nic nekoupili
Kompromitovaný klíč lze v novém hardwaru alespoň nahradit. Vaši domácí adresu na předobjednávku znovu vydat nelze.
Útočníci odnesli 25 964 záznamů o zákaznících z oficiálního obchodu Keystone na Shopify za roky 2024–2026: celá jména, telefonní čísla, e-mailové adresy, přesné domácí doručovací adresy a také obsah a částku každé objednávky. Spolu s nimi odešlo dalších 12 873 nezaplacených rozpracovaných objednávek se jmény, telefony a adresami. Jinými slovy, téměř třináct tisíc lidí si tuto nešťastnou peněženku nikdy ani nekoupilo – jen navštívili web, zadali adresu, aby zjistili cenu dopravy, rozmysleli si to a zavřeli kartu. A přesto skončili na uniklém seznamu držitelů kryptoměn.
Skutečné dno celého příběhu však spočívá v tom, že většina těchto záznamů v databázi vůbec neměla existovat. Keystone zákazníkům oficiálně sliboval, že údaje o doručení smaže po 180 dnech. Lidé si objednávali hardwarové peněženky na domácí adresu s tím, že stopa za půl roku zmizí. Když už hackeři databázi odnesli, náhle vyšlo najevo, že nástroj pro hromadné mazání v Shopify celou dobu hlásil chyby a nikdo ve společnosti ani nezkontroloval, zda se maže alespoň jeden řádek. Teď Keystone rozpačitě krčí rameny, slibuje zkrátit dobu uchovávání na 90 dní a slavnostně přísahá, že staré archivy smaže do 3. listopadu – hned poté, co si je útočníci už stáhli.
Pokud společnost dva roky přísahala, že vaše data maže, a ve skutečnosti je hromadila v prasátku pro hackery, zaslouží si její slova přesně nulovou důvěru. Představte si, že se uprostřed noci probudíte a vidíte, jak nad vaší postelí stojí blízký člověk s nožem v ruce. A klidně vám říká: „Neboj, jen se mi chtělo tu stát s nožem. Možná jsem tě chtěl i bodnout, ale otoč se a spi dál – tento incident jsem vzal na vědomí, zpracoval a právě tenhle se už nikdy nebude opakovat.“ Přibližně tak dnes znějí sliby Keystone, že bude adresy mazat po 90 dnech místo 180 a že příští hlavní klíč bude střežit pečlivěji.
Co uniklá databáze znamená v praxi, není třeba dlouze vysvětlovat. Je to hotový adresář lidí, kteří mají doma zaručeně co brát – i s celými jmény, telefony a čísly bytů. Pro telefonní podvodníky je to hovor podložený skutečnými detaily objednávky: jeden kupující už napsal ve vlákně Keystone, že mu podvodníci volali a oslovili ho jeho skutečným jménem. Pro tipaře vloupání a příznivce „útoku francouzákem za 5 dolarů“ je to hotová mapa tras. Aby člověk vydělal na ukradeném klíči WebAuth, musí pájet falešné desky a vybudovat distribuci. Aby vydělal na uniklé databázi ze Shopify, stačí mu páčidlo a jízdenka na vlak.
5. Shrnutí: cena „tovární pečeti“
Složme celou konstrukci dohromady. Kupujícím se prodává „plně air-gapped“ hardwarová peněženka, která sama generuje seed frázi a podepisuje převody uvnitř zapečetěné krabičky. Abyste se nebáli této krabičce svěřit své úspory, nabízí výrobce ověřit její pravost na webu. Ve skutečnosti ověření stojí na jediném společném tajemství pro celou skladovou várku a samotné tajemství leží někde, kam se dá dostat přes děravý externí tracker na webovém serveru.
Dál je to ještě lepší. Aby se k vám vzácná krabička vůbec dostala, necháte obchodu své příjmení, telefon a domácí adresu se slibem, že záznam bude za půl roku smazán. Mazací skript dva roky nefunguje, nikdo si toho nevšimne a celý archiv odchází i s hlavním ověřovacím klíčem k útočníkům. A když katastrofa vyjde najevo, přesně tatáž firma, která průnik prospala a vaše adresy dva roky hromadila, vystoupí na tribunu a žádá, abyste jí uvěřili na slovo, že ostatní klíče jsou nedotčené, peněženky z doby před 20. říjnem jsou bezpečné a za měsíc dorazí nová, zcela jistě spolehlivá várka.
Keystone posílá téměř 19 tisíc vlastních zařízení pod průmyslový lis jednoduše proto, že už nedokáže rozlišit vlastní výrobky od padělků. Mimochodem 38 837 lidí získalo trvalý pobyt v kriminálních databázích, včetně přesných domácích adres. Výborná lekce pro všechny, kdo stále věří, že hezké zelené zaškrtnutí na webu výrobce a nápis „Air-Gapped“ na krabici mohou nahradit skutečnou bezpečnost.