Виробник апаратних криптогаманців Keystone визнав, що через вразливість на сайті стороння особа отримала доступ до даних про доставку замовлень. Під ризиком опинилися імена, контакти й адреси покупців. Кількість постраждалих компанія не назвала.
Що розкрила компанія
Keystone повідомила про інцидент у суботу, 24 жовтня. За її словами, підозрілу активність команда помітила ще на початку тижня. У п'ятницю підозра підтвердилася після перевірки API-активності разом із Shopify: неавторизована третя сторона справді бачила інформацію про доставку клієнтів.
Компанія заявила, що закрила доступ, усунула вразливість, розпочала розслідування й розсилає листи тим, кого це стосується.
"Ми заблокували доступ, усунули вразливість, відкрили розслідування й надсилаємо листи постраждалим клієнтам."
Keystone, заява компанії від 24 жовтня 2026
Окремо Keystone вибачилася перед усіма, кого зачепив витік.
Як повідомляє Cointelegraph, у руках сторонньої особи опинилася така інформація про замовлення:
- імена покупців
- контактні дані
- адреси доставки
- склад замовлення, тобто які саме товари людина купила
Сид-фрази й приватні ключі в переліку не названі. Але для шахрая достатньо знати, що людина купила апаратний гаманець і де вона живе.
Суперечка навколо строків зберігання
У блозі 2023 року Keystone писала, що скоротила строк зберігання даних клієнтів до 180 днів. Причиною стали інциденти з іншими виробниками гаманців. Тепер частина покупців каже, що отримала лист про витік, хоча купувала пристрій понад два роки тому.
Схожі скарги зібрав і The Block: клієнти стверджують, що витік зачепив дані, які виробник обіцяв видалити. Cointelegraph запитав Keystone, як могла витекти інформація з покупок старших за 180 днів і скількох людей це стосується. На момент публікації відповіді не було.
Користувач X із ніком OG DEGEN розповів, що йому зателефонував шахрай, який видавав себе за правоохоронця у справі про шахрайство. За його припущенням, план полягав у тому, щоб переконати його, ніби приватні ключі скомпрометовано, а потім надіслати фішингове посилання для "скидання". Дані замовлення 2024 року, на які посилався співрозмовник, користувач пов'язує саме з Keystone. Лист про витік отримав і другий користувач, trintaetres, теж за покупку дворічної давності.
Чому адреси небезпечніші за пошту
Дослідниця безпеки Taylor Monahan звертає увагу на ризик, який виходить за межі фішингу. Витік адрес доставки може наразити покупців на фізичні напади й викрадення. Адреса разом із даними про покупку гаманця показує зловмисникові, де живе людина з криптоактивами.
Дані CertiK підтверджують, що така загроза реальна. У першому півріччі 2026 року фірма зафіксувала 52 підтверджені "wrench attacks", тобто випадки, коли власника крипти силою змушують віддати кошти. За той самий період торік було 39, отже зростання становить 33%.
Для індустрії це не перший випадок. У 2020 році адреси покупців витекли і в Ledger, а наслідки відчувалися роками.
Що лишається без відповіді
Keystone закрила вразливість і розсилає листи, але джерело старих даних і масштаб витоку лишаються без відповіді. Власникам, які тримають Bitcoin на пристроях цього виробника, варто ставитися з недовірою до будь-яких дзвінків і листів із вимогою "скинути" ключі.
Коментарі
Ваша e-mail адреса не оприлюднюватиметься. Обов'язкові поля позначені *