Keystone, производитель аппаратных кошельков для биткоина, уничтожит 18 835 нераспроданных устройств после того, как злоумышленники получили постоянный заводской ключ, используемый для проверки подлинности. Компания также приостановила отправку всех незаказанных изделий со своего сайта.
Суть проблемы в том, что каждый кошелёк Keystone содержит уникальный код (так называемый WebAuth ключ), который записывается на заводе и не может быть удалён или перезаписан. Этот ключ позволяет интернет-странице компании проверить, что устройство подлинное. Получив доступ к этому коду, преступник может создать поддельные кошельки, которые пройдут проверку Keystone.
Риск для пользователей очевиден: кто-то может купить такой поддельный кошелёк, думая, что это оригинал, загрузить на него реальные сбережения, а затем злоумышленник получит доступ к приватным ключам и украдёт криптовалюту. Компания объяснила: «Если ключ скомпрометирован, злоумышленник может создать поддельные устройства, которые пройдут проверку подлинности. Эти устройства затем могут быть проданы или отправлены клиентам, которые могут неосознанно использовать их как оригинальные изделия, что потенциально приведёт к краже активов».
Данные 25 тысяч покупателей также скомпрометированы
Взлом затронул и базу клиентов Keystone. Злоумышленники получили данные 25 964 покупателей из магазина компании на платформе Shopify (период 2024–2026), в том числе имена, контакты и адреса доставки. Всего в системе Shopify хранилось информация о 51 083 клиентах, но из них 25 119 записей уже были удалены в соответствии с политикой компании.
Keystone признала проблему в управлении данными. Компания обещала удалять информацию о клиентах через 180 дней, но автоматизированный инструмент удаления работал ненадёжно. Некоторые записи были сохранены дольше положенного срока. «Мы не выполнили своё обязательство удалить данные клиентов вовремя и берём на себя полную ответственность за это», — сказала Keystone.
Взлом был обнаружен 20 октября. Компания заявила, что мнемонические фразы восстановления и приватные ключи не скомпрометированы, и что устройства, отправленные до 20 октября, не подвержены угрозе подделки. Покупки через Amazon и другие каналы сбыта не затронуты.
История повторяется
Утечки данных клиентов стали регулярной проблемой для производителей аппаратных кошельков. В 2020 году произошла утечка данных Ledger, затронувшая примерно 292 000 клиентов — многие получали фишинговые письма и опасались становиться целью ограбления. В августе этого года Trezor потеряла информацию о 13 689 клиентах, а SafePal — о примерно 39 798 клиентах.
Адреса и имена особенно опасны, потому что они используются при так называемых «монтировочных атаках» (wrench attacks), когда криминалы под угрозой или с применением насилия заставляют владельцев передать криптовалюту. По данным аналитической компании Chainalysis, в первой половине 2026 года произошло 46 таких нападений, в результате которых украдено более 30 миллионов долларов.
Что дальше
На сайте Keystone временно прекращены обычные заказы и введена предзаказ, которая возобновится, когда будут готовы устройства с новым ключом. Компания уже подала отчёты в органы власти ЕС, Великобритании и других стран.
Keystone также сократила срок хранения данных клиентов со 180 дней на 90 и попросила Shopify удалить все просроченные записи 24 октября. Этот процесс занимает 10 дней, и удаление должно завершиться к 3 ноября. Компания предупредила пользователей об мошенниках, которые могут контактировать их под предлогом «отзыва», «миграции активов» или «проверки кошелька» и просить вернуть устройство.