Компания Keystone Wallet стала последним крупным поставщиком аппаратных кошельков, сообщившим о проблеме безопасности: несанкционированный доступ к ее веб-сайту привел к утечке информации о клиентах.

Этот инцидент произошел в непростой период для всей индустрии аппаратных кошельков, поскольку две крупные компании, Ledger и Trezor, столкнулись с отдельными инцидентами, связанными с безопасностью, начиная с лета.

Утечка данных клиентов Keystone

В выходные компания сообщила, что 20 октября обнаружила несанкционированный доступ к своему официальному веб-сайту. После анализа активности API на платформе Shopify, команда компании через несколько дней подтвердила, что посторонние лица получили доступ к информации о доставке клиентов.

Утечка затронула такие данные, как имена, контактные данные, адреса доставки и информацию о заказах, включая приобретенные товары и их стоимость. Однако компания Keystone заверила, что данные банковских карт, банковская информация, пароли от кошельков, фразы восстановления и закрытые ключи не были скомпрометированы.

Производитель аппаратных кошельков с тех пор заблокировал несанкционированный доступ, устранил уязвимость, начал расследование и связался с затронутыми клиентами. Компания также пообещала предоставить более подробный отчет в ближайшие дни.

Тем не менее, утечка информации создает новую проблему безопасности. Зная, что определенный человек приобрел аппаратный кошелек, и имея его имя, контактную информацию и физический адрес, злоумышленники могут организовать целенаправленные фишинговые или социальные атаки.

В связи с этим, компания Keystone предупредила, что мошенники могут выдавать себя за компанию, используя телефонные звонки, текстовые сообщения, электронные письма или даже обычную почту, предлагая возмещение, замену устройств или якобы решения проблем.

Проблемы для Ledger и Trezor

В начале этого месяца компания Ledger заявила, что злоумышленники модифицировали оригинальные устройства, распространяемые через некоторых дистрибьюторов в Юго-Восточной Азии, установив скрытое аппаратное обеспечение, способное считывать 24-словную фразу восстановления при первоначальной настройке и передавать ее через LTE-соединение.

Компания подчеркнула, что ее Secure Element, операционная система и внутренние серверы не были скомпрометированы, описывая эту схему как локализованную атаку на каналы распространения, а не как системный сбой в инфраструктуре Ledger.

Первоначальные сообщения связывали более 86 миллионов долларов, предположительно украденных в криптовалюте, с этими устройствами, хотя компания Ledger не подтвердила эту цифру.

В начале этого лета компания Trezor столкнулась с утечкой данных у ее логистического партнера ShipMonk, в результате которой были скомпрометированы имена клиентов, адреса электронной почты, номера телефонов, адреса доставки и информация о заказах. Изначально компания сообщила о том, что данные более 13 000 клиентов из США были скомпрометированы, но впоследствии эта цифра выросла и превысила 80 000 человек.