Утечка затронула 25 964 записи пользователей, хранящиеся в Shopify.

Keystone заявила, что фразы-ключи и приватные ключи не были скомпрометированы.

Keystone, производитель аппаратных кошельков для криптовалют, подтвердила факт утечки данных, в результате которой были раскрыты личные данные клиентов и ключ, используемый для проверки подлинности их устройств. В заявлении, опубликованном 26 октября 2026 года, компания объявила, что уничтожит 18 835 единиц своей продукции и изменит систему аутентификации.

Инцидент был обнаружен 20 октября, когда системы безопасности зафиксировали необычные попытки доступа к официальному веб-сайту. Согласно результатам расследования компании, злоумышленник использовал уязвимость во внешнем инструменте мониторинга данных, чтобы повысить свои привилегии и получить доступ к информации о клиентах.

В результате утечки были скомпрометированы 25 964 записи покупателей, содержащие имена, контактные данные, адреса доставки и информацию о заказах. Эти записи соответствуют покупкам, совершенным в период с 2024 по 2026 год в официальном магазине Keystone на платформе Shopify. Кроме того, 12 873 записи о незавершенных процессах покупок, по которым не была произведена оплата, также содержали личную информацию.

Из 51 083 записей покупателей, которые были проанализированы, 25 119 записей уже были анонимизированы до несанкционированного доступа. Покупки, совершенные через Amazon и другие каналы продаж, не пострадали.

Keystone признала, что нарушила свою политику хранения данных, которая предусматривала их удаление через 180 дней. Автоматизированный инструмент удаления работал некорректно, и его сбои не были своевременно обнаружены. 24 октября компания обратилась к Shopify с просьбой удалить личные данные, срок хранения которых истек. Окончательное удаление было запланировано на 3 ноября, после 10-дневного периода ожидания. Кроме того, компания сократила срок хранения данных с 180 до 90 дней.

Скомпрометированный ключ записывается в процессе производства и не может быть удален или перезаписан. Его утечка может позволить производить поддельные устройства, способные успешно проходить официальную проверку. Поэтому Keystone приостановила производство устройств с использованием старого ключа и объявила, что все новые устройства будут использовать другой ключ. Компания также приостановила отправку заказов из своего официального магазина до тех пор, пока не будут доступны устройства с новой системой, и временно перешла на модель предварительных заказов.

Как мы уже сообщали в CriptoNoticias, компания заверила, что инцидент не скомпрометировал фразы-ключи, приватные ключи или учетные данные кошельков, поэтому нет необходимости переводить средства только по этой причине. Также не были раскрыты банковские данные или номера официальных документов.

Компания Keystone сообщила, что устройства, полученные до 20 октября, можно использовать в обычном режиме, если они успешно пройдут проверку подлинности. Пользователям, получившим устройства после этой даты, следует обратиться в службу поддержки клиентов для проведения дополнительной проверки, если их устройства используют старый ключ. В настоящее время компания предупредила, что не будет требовать возврата устройств и рекомендовала с осторожностью относиться к сообщениям, предлагающим перевести средства или оформить возврат.