Утечка данных Keystone: уничтожат 18 835 аппаратных криптокошельков

Украденный ключ аутентификации вынуждает Keystone утилизировать 18 835 кошельков

То, что изначально казалось утечкой информации о клиентах, переросло в гораздо более серьезную проблему безопасности. 26 октября 2026 года компания Keystone сообщила, что злоумышленники также получили ключ аутентификации, используемый для проверки подлинности ее аппаратных кошельков.

Компания установила, что взлом произошёл из-за уязвимости в стороннем инструменте мониторинга данных, которая позволила злоумышленникам повысить свои привилегии доступа. 20 октября Keystone обнаружила подозрительную активность, отключила уязвимые функции веб-сайта и начала криминалистическое расследование.

Украденный ключ WebAuth представляет собой особенно серьезную проблему. Злоумышленник, владеющий этим ключом, может изготавливать поддельные устройства, способные пройти проверку подлинности Keystone, что потенциально подвергает ничего не подозревающих покупателей риску кражи активов.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Keystone пояснила, что ключ навсегда встраивается в устройство на этапе производства и не подлежит перезаписи или удалению. В связи с этим производитель аппаратных кошельков планирует уничтожить все 18 835 устройств из имеющихся запасов, содержащих скомпрометированный ключ. Вновь изготовленные кошельки будут оснащены замещающим ключом аутентификации. Тем временем Keystone приостановила отправку незавершенных заказов с веб-сайта и перешла на режим предварительных заказов до тех пор, пока не будет готова замена.

Почти 26 000 записей о покупателях стали доступны из-за сбоя в системе удаления данных

Расследование также выявило серьёзный сбой в системе управления данными клиентов Keystone. Из 51 083 проверенных записей о покупателях в Shopify в 25 964 сохранялась личная информация, включая имена, адреса доставки, контактные данные и историю покупок за период с 2024 по 2026 год. Keystone признала, что ее автоматизированная система удаления данных работала сбоями, в результате чего информация о клиентах хранилась дольше, чем предусмотрено политикой хранения данных сроком на 180 дней.

«Мы не выполнили свое обязательство по своевременному удалению данных клиентов и берем на себя ответственность за эту неудачу», — заявила компания.

Следователи также выявили 12 873 неоплаченных записи о оформлении заказов, содержащих потенциально конфиденциальную информацию о клиентах. Компания Keystone включила эти записи в свой отчет и инициировала дополнительные запросы на удаление. Производитель сократил срок хранения данных до 90 дней и ожидает, что запросы на удаление просроченных данных покупателей, поданные 24 октября, будут выполнены 3 ноября. Последний отчет Keystone о расследовании инцидента последовал за сообщением компании Foundation, производителя аппаратных кошельков из Бостона, которая также пострадала от утечки данных клиентов.

Существующие владельцы кошельков получают новые рекомендации по безопасности

Keystone утверждает, что фразы восстановления, приватные ключи, учетные данные кошельков и платежная информация не были скомпрометированы. Клиентам не рекомендуется переводить свои криптовалютные средства исключительно из-за данного инцидента. Устройства, доставленные до 20 октября, по-прежнему безопасны для использования, если они проходят аутентификацию, заявляет компания. Устройства, полученные после этой даты с использованием скомпрометированного ключа, требуют дополнительной проверки через службу поддержки, даже если аутентификация прошла успешно.

Keystone также предупредила клиентов о мошеннических сообщениях с просьбой вернуть устройства. Компания подала отчеты регулирующим органам в ЕС, Великобритании и других юрисдикциях, а также планирует внедрить инструменты для проверки утечек и провести дополнительные аудиты безопасности. Для производителя, продающего устройства, призванные устранить необходимость доверия к третьим сторонам, потеря ключа, обеспечивающего доверие к собственному оборудованию, представляет собой особенно серьезное противоречие.

Источник