Компания Keystone, занимающаяся производством аппаратных криптокошельков, заявила, что уничтожит почти 19 000 нераспроданных устройств и приостановит поставки после взлома веб-сайта, в результате которого была скомпрометирована информация о клиентах и получен доступ к ключу, который может позволить поддельным кошелькам успешно проходить проверку подлинности.

Как сообщила компания Keystone в понедельник в публикации в X, 20 октября злоумышленник получил доступ к веб-сайту компании через уязвимость в инструменте мониторинга данных стороннего разработчика. В результате атаки была скомпрометирована информация о 25 964 покупателях за период с 2024 по 2026 год, включая имена, контактные данные, адреса доставки и информацию о заказах. Еще 12 873 неоплаченных заказа также могли пострадать.

Этот инцидент стал очередным в череде атак на пользователей аппаратных кошельков в этом году. В компании Ledger злоумышленники устанавливали устройства, продаваемые через перекупщиков в Юго-Восточной Азии, с использованием скрытых компонентов, которые записывали фразы восстановления во время настройки. Аналогично, уязвимость в программном обеспечении Coldcard для генерации seed-фраз позволила злоумышленникам восстановить закрытые ключи и удаленно опустошить кошельки.

Украденный ключ Keystone встроен в устройства в процессе производства и не может быть изменен. По словам компании, он позволяет кошелькам успешно проходить онлайн-проверку подлинности, что повышает риск появления поддельных устройств, которые могут выглядеть как настоящие и подвергать средства пользователей опасности. Компания заявила, что уничтожит 18 835 нераспроданных устройств.

Компания Keystone сообщила, что в результате утечки не были скомпрометированы фразы восстановления, закрытые ключи или учетные данные кошельков.

Некоторые данные о клиентах должны были быть удалены в соответствии с политикой хранения данных Keystone, согласно которой данные хранятся в течение 180 дней, но автоматизированный инструмент удаления не сработал, и компания не заметила эту проблему.

«Мы не смогли выполнить наше обязательство своевременно удалить данные клиентов, и мы берем на себя ответственность за этот провал», — написала компания Keystone.

Обновление от Keystone последовало за днем после того, как производитель аппаратных кошельков Foundation сообщил о отдельной утечке данных, в результате которой злоумышленники рассылали фишинговые электронные письма, которые, казалось, отправлялись с официальных доменов компании.

Компания Foundation заявила, что выявила более 23 000 попыток фишинговых атак. Не было обнаружено никаких доказательств того, что устройства Passport или закрытые ключи были скомпрометированы.

Компания Foundation также обнаружила старые копии баз данных, которые не были удалены в процессе удаления данных, выполняемом каждые 60 дней. В обновлении говорится, что злоумышленники могли получить доступ к записям, содержащим около 5600 почтовых адресов и 5200 телефонных номеров, хотя компания не может подтвердить, сколько из них было фактически скомпрометировано.

Компания Keystone заявила, что устройства, поставленные до 20 октября, по-прежнему безопасны в использовании, если они успешно проходят аутентификацию. Клиентам, получившим устройства с использованием старого ключа после этой даты, рекомендуется провести дополнительные проверки перед использованием.

Компания также сообщила, что пользователям не нужно переводить средства в связи с произошедшей утечкой данных и предостерегла от поддельных сообщений об отзыве устройств или переносе активов.

В заключение компания Keystone заявила, что заменит ключ аутентификации в новых устройствах, перенесет продажи через веб-сайт в формат предварительных заказов и сократит срок хранения данных клиентов до 90 дней.