Производитель аппаратных кошельков Keystone заявил, что третья сторона получила информацию о доставке товаров от его интернет-магазина, работающего на платформе Shopify, что привело к раскрытию конфиденциальной информации о клиентах, включая имена, контактные данные, адреса доставки и детали заказов, такие как приобретенные товары и их цены.

В сообщении в X, опубликованном в субботу в 13:59 по восточному времени, Keystone сообщила, что 20 октября обнаружила несанкционированный доступ к своему официальному веб-сайту. Три дня спустя, "после проверки активности API с Shopify", платформы, на которой работает ее интернет-магазин, компания подтвердила, что неизвестная третья сторона получила конфиденциальную информацию о клиентах. "Вы доверяли нам эту информацию, и нам очень жаль, что мы не смогли ее защитить", - написала Keystone.

Keystone заявила, что в результате утечки не были скомпрометированы финансовые данные, такие как платежные карты и банковские реквизиты клиентов, а также конфиденциальная криптографическая информация, такая как фразы восстановления, закрытые ключи и пароли кошельков.

"Мы заблокировали доступ, устранили уязвимость, начали расследование и связываемся с затронутыми клиентами", - сообщила компания. Keystone не уточнила, сколько клиентов пострадало, как злоумышленник получил доступ, и установила ли компания личность или вступила ли в контакт с атакующим. Компания сообщила пользователям X, которые спрашивали об объеме утечки, что "проводит тщательное расследование". Keystone заявила, что подробный отчет будет опубликован в ближайшие дни.

Keystone предупредила, что мошенники могут выдавать себя за компанию по телефону, текстовым сообщениям, электронной почте или обычной почте, предлагая возмещение, замену устройств или "решения" для заказов и адресов. Компания предупредила клиентов, что никогда не следует вводить фразу восстановления в устройство, которое они не заказывали, и не следует переходить по ссылкам, отправленным в сообщениях, якобы от Keystone.

Keystone обещала удалить информацию через 180 дней после покупки

В прошлом Keystone представляла свою политику хранения данных как конкурентное преимущество. 5 января, в тот же день, когда клиентам Ledger сообщили об аналогичной утечке данных у партнера по электронной коммерции этого производителя кошельков, компании Global-e, Keystone опубликовала сообщение в X: "Через 180 дней после вашего заказа ваши данные о доставке будут навсегда удалены". В сообщении, опубликованном в марте X, компания написала: "Другие аппаратные кошельки хранят ваши данные навсегда. Мы удаляем вашу информацию о доставке не позднее, чем через 180 дней". Другие публикации в августе подтверждают то же самое.

На странице "Обязательства компании в области конфиденциальности" говорится, что "всю информацию о доставке автоматически удаляют через 180 дней после оформления заказа". В политике конфиденциальности компании Keystone, последняя версия которой была обновлена в мае 2021 года, это правило сформулировано иначе: говорится, что Keystone удаляет "всю информацию о заказах каждого клиента, который не совершал заказы в течение последних 180 дней". В статье центра помощи, посвященной запросам на удаление данных, уточняется, что "данные о городе и стране клиента не будут удалены", и что "процесс окончательного удаления данных осуществляется компанией Shopify".

Клиенты сообщают, что данные из старых заказов все еще были доступны

Несколько клиентов заявили в социальной сети X, что их данные были скомпрометированы. "Я приобрел это более двух лет назад. Я получил уведомление по электронной почте", - написал @trintaetres_33 в субботу. Другой пользователь, @BlockchainBarmy, сообщил, что прошло 214 дня между его последним заказом и утечкой данных.

@PEPE_Whale69 даже забил тревогу о возможной утечке данных еще до Keystone. В публикации в пятницу вечером пользователь рассказал, что ему позвонил мошенник, представившийся сотрудником полиции Монреаля, и пытался получить от него информацию, в частности, спросил, что для него значат такие названия, как Amazon, eBay или Keystone. Пользователь X сообщил, что звонивший знал детали, которые идеально соответствовали заказу, сделанному им в Keystone в 2024 году, то есть задолго до заявленного 180-дневного срока удаления данных.

Аккаунт Keystone в X ответил в 1:08 ночи по восточному времени в субботу, заявив, что "немедленно начала расследование этого инцидента". Компания сообщила, что подтвердила факт утечки данных 23 октября.

Издание The Block не смогло подтвердить заявления пользователей, и компания Keystone публично не ответила на вопросы о том, соблюдала ли она 180-дневную политику. The Block связалась с пользователями X с просьбой предоставить дополнительную информацию.

Серия утечек данных у производителей аппаратных кошельков

Keystone – последний производитель аппаратных кошельков, сообщивший об утечке данных клиентов в этом году. В августе компания Trezor сообщила, что утечка данных у ее партнера по доставке ShipMonk затронула личные данные почти 14 000 клиентов. Позже компания заявила, что утечка затронула еще около 67 000 клиентов в США, и что компания ShipMonk предоставила письменные гарантии об удалении данных, которые, однако, не были выполнены.

Через несколько дней после первого заявления компании Trezor, компания SafePal сообщила об уязвимости в своей системе отслеживания заказов, в результате которой была скомпрометирована личная информация почти 40 000 клиентов ([https://www.theblock.co/news/business/2026-08-16-wallet-provider-safepal-says-data-breach-exposed-personal-info-of-nearly-40000-customers-411934]). В начале этого месяца компания Ledger подтвердила, что устройства, продаваемые перепродавцом CryptoBilis, содержали аппаратные компоненты, которые фиксировали фразы восстановления во время настройки ([https://www.theblock.co/news/business/2026-10-13-ledger-confirms-hardware-implant-cryptobilis-reseller-units-mediamarkt-suspends-sales-europe-418442). Исследователи, занимающиеся анализом блокчейна, оценили убытки в более чем 86 миллионов долларов ([https://www.theblock.co/news/business/2026-10-09-ledger-cryptobilis-fund-losses-418163]).

Редакция The Block связалась с компанией Keystone для получения комментариев.