Поддельное удостоверение личности. Компания Keystone сообщила 24 октября 2026 года, что злоумышленник получил доступ к ее официальному сайту и завладел данными клиентов. Во втором сообщении, опубликованном 26 октября 2026 года, компания добавила более тревожную деталь: среди украденных данных оказалась ключевая информация, подтверждающая подлинность ее кошельков.

Основные моменты статьи:

• Украденный ключ WebAuth используется для проверки подлинности кошелька Keystone на официальном сайте.
• В 25 964 записях о покупках и 12 873 незавершенных заказах содержатся имена, адреса и информация о заказах.
• Средства клиентов в безопасности: закрытые ключи и фразы восстановления остаются недоступными для злоумышленников.
• Keystone уничтожает запасы кошельков, использующих старый ключ, и переводит продажи в режим предварительного заказа.

Что произошло в Keystone?

24 октября 2026 года производитель аппаратных кошельков Keystone опубликовал сообщение в X. В нем компания сообщила, что обнаружила несанкционированный доступ к своему официальному сайту и немедленно заблокировала его.

Мы приносим свои извинения.

20 октября мы обнаружили несанкционированный доступ к нашему официальному сайту. После проверки активности API с Shopify, 23 октября мы подтвердили, что третья сторона получила информацию о доставке заказов клиентов. Вы доверили нам эти данные, и мы сожалеем о…

— Keystone Hardware Wallet (@KeystoneWallet) 24 октября 2026 г.

Инцидент, по-видимому, произошел 20 октября 2026 года, и взлом произошел через уязвимость стороннего инструмента отслеживания данных, установленного в интернет-магазине производителя. Эта точка входа предоставила злоумышленнику гораздо больше прав, чем предполагалось.

После трех дней расследования и проверки обращений к API с Shopify, компания подтвердила кражу данных клиентов за период с 2024 по 2026 год.

В общей сложности данные 25 964 покупателей попали в руки злоумышленника, а также 12 873 незавершенных заказа, которые также содержали контактную информацию. Продажи, осуществляемые через Amazon и другие каналы, не были затронуты.

В сообщении подробно описаны украденные данные: имена, контактная информация, адреса доставки и сведения о заказах. Наиболее тревожным является вопрос о хранении этих данных. Keystone утверждает, что удаляет их через 180 дней, но ее инструмент автоматического удаления не сработал, и команда этого не заметила.

90 дней – вот новый срок хранения данных. Запросы на удаление, поданные в Shopify, должны быть удовлетворены 3 ноября 2026 года.

« Мы приносим свои извинения. 20 октября мы обнаружили несанкционированный доступ к нашему официальному сайту. Вы доверили нам эту информацию, и мы сожалеем о том, что не смогли ее защитить».

Keystone Hardware Wallet, 24 октября 2026 г.

Стоит ли беспокоиться о своих средствах?

Нет. Компания Keystone категорически заявляет, что фразы восстановления, приватные ключи, банковские данные и пароли от кошельков не были скомпрометированы. Никому не нужно переводить свои средства.

Устройства, выпущенные до 20 октября 2026 года и прошедшие проверку подлинности, остаются безопасными.

Настоящая проблема связана с ключом WebAuth, который наносится при производстве и не может быть изменен впоследствии. В сообщении от 24 октября инцидент на сайте был отделен от возможной компрометации устройств. В новом объявлении, опубликованном в этот понедельник, 26 октября, добавляется, что этот ключ используется для подтверждения подлинности устройства на keyst.one/authentication, но не влияет на транзакции.

Например, если у мошенника есть этот ключ, он может нанести его на чип в поддельном устройстве. В этом случае поддельное устройство пройдет проверку на сайте, и у покупателя не будет возможности усомниться в его подлинности.

Компания заблокировала доступ, устранила уязвимость и начала расследование. С использованием украденного ключа компания также заморозила свои запасы: 18 835 устройств со старым ключом будут утилизированы.

Что делать, если ваш заказ, содержащий устройство со старым ключом, был доставлен после 20 октября 2026 года? Keystone не может «полностью исключить» возможность подделки и просит связаться со службой поддержки перед использованием устройства.

Компания приостановила отгрузки с сайта и переходит на систему предварительных заказов, пока не будут произведены устройства с новым ключом.

В любом случае, следует помнить одно правило: Keystone не запрашивает возврат каких-либо устройств. Любой запрос на «возврат», требующий вашего устройства, является мошенничеством Крипто: Европа вводит 24-часовой срок для сообщения об уязвимости кошелька.

Этот инцидент не является единичным случаем. Производители кошельков используют различные меры контроля, от поддельных электронных писем от Foundation до дела с имплантами Ledger. Кошелек остается безопасным до тех пор, пока его приватный ключ не будет скомпрометирован; слабым звеном стало все, что его окружает, от магазина до посылки.