Компания Keystone, занимающаяся производством аппаратных криптокошельков, заявила, что уничтожит почти 19 000 нераспроданных устройств и приостановит поставки после того, как взлом веб-сайта привел к раскрытию информации о клиентах и ключа, который может позволить поддельным кошелькам успешно проходить проверку подлинности.

Как сообщила компания Keystone в понедельник в своем аккаунте в социальной сети X, 20 октября злоумышленник получил доступ к веб-сайту компании через уязвимость в инструменте мониторинга данных стороннего разработчика. В результате взлома были скомпрометированы 25 964 записи о покупателях за период с 2024 по 2026 год, включая имена, контактные данные, адреса доставки и информацию о заказах. Еще 12 873 неоплаченных записи о транзакциях также могли быть затронуты.

Этот инцидент стал очередным в череде атак на пользователей аппаратных кошельков в этом году. В компании Ledger злоумышленники устанавливали скрытые компоненты в устройства, продаваемые через дистрибьюторов в Юго-Восточной Азии, которые записывали фразы восстановления во время настройки. Аналогично, уязвимость в программном обеспечении Coldcard для генерации начальных фраз позволила злоумышленникам восстановить закрытые ключи и удаленно опустошить кошельки.

Украденный ключ Keystone встроен в устройства в процессе производства и не может быть изменен. По словам компании, он позволяет кошелькам успешно проходить онлайн-проверку подлинности, что повышает риск появления поддельных устройств, которые могут казаться настоящими и подвергать средства пользователей опасности. Компания заявила, что уничтожит 18 835 нераспроданных устройств.

Компания Keystone сообщила, что в результате утечки данных не были скомпрометированы фразы восстановления, закрытые ключи или учетные данные кошельков.

Некоторые записи о клиентах должны были быть удалены в соответствии с политикой хранения данных Keystone, согласно которой данные хранятся в течение 180 дней, но автоматизированный инструмент удаления не сработал, и компания не обнаружила эту проблему, говорится в заявлении.

«Мы не выполнили свое обязательство своевременно удалять данные клиентов, и мы берем на себя ответственность за этот провал», — написала компания Keystone.

Заявление Keystone было сделано через день после того, как компания Foundation, также занимающаяся производством аппаратных кошельков, сообщила о другой утечке данных, в результате которой злоумышленники рассылали фишинговые электронные письма, которые, казалось, исходили от официальных доменов компании.

Компания Foundation сообщила, что выявила более 23 000 попыток фишинговых атак. При этом не было обнаружено никаких доказательств того, что устройства Passport или закрытые ключи были скомпрометированы.

Компания Foundation также обнаружила старые копии баз данных, которые не были удалены в процессе удаления данных, выполняемом каждые 60 дней. В обновленной информации говорится, что злоумышленники могли получить доступ к записям, содержащим около 5600 почтовых адресов и 5200 телефонных номеров, хотя компания не может подтвердить, сколько из них было фактически скомпрометировано.

Компания Keystone заявила, что устройства, доставленные до 20 октября, остаются безопасными в использовании, если они проходят аутентификацию, в то время как клиентам, получившим устройства с использованием старого ключа после этой даты, следует провести дополнительные проверки перед использованием.

Компания заявила, что пользователям не нужно переводить средства из-за этой утечки данных и предостерегла от поддельных сообщений об отзыве или переносе активов.