Производитель аппаратных криптокошельков Keystone признал, что из-за уязвимости на сайте посторонний получил доступ к данным о доставке заказов. Под риском оказались имена, контакты и адреса покупателей. Число пострадавших компания не назвала.
Что раскрыла компания
Keystone сообщила об инциденте в субботу, 24 октября. По её словам, подозрительную активность команда заметила ещё в начале недели. В пятницу подозрение подтвердилось после проверки API-активности вместе с Shopify: неавторизованная третья сторона действительно видела информацию о доставке клиентов.
Компания заявила, что закрыла доступ, устранила уязвимость, начала расследование и рассылает письма тем, кого это касается.
"Мы заблокировали доступ, устранили уязвимость, открыли расследование и отправляем письма пострадавшим клиентам."
Keystone, заявление компании от 24 октября 2026
Отдельно Keystone извинилась перед всеми, кого затронула утечка.
Как сообщает Cointelegraph, в руках постороннего оказалась такая информация о заказах:
- имена покупателей
- контактные данные
- адреса доставки
- состав заказа, то есть какие именно товары человек купил
Сид-фразы и приватные ключи в перечне не названы. Но мошеннику достаточно знать, что человек купил аппаратный кошелёк и где он живёт.
Спор вокруг сроков хранения
В блоге 2023 года Keystone писала, что сократила срок хранения данных клиентов до 180 дней. Причиной стали инциденты с другими производителями кошельков. Теперь часть покупателей говорит, что получила письмо об утечке, хотя покупала устройство больше двух лет назад.
Похожие жалобы собрал и The Block: клиенты утверждают, что утечка затронула данные, которые производитель обещал удалить. Cointelegraph спросил Keystone, как могла утечь информация о покупках старше 180 дней и скольких людей это касается. На момент публикации ответа не было.
Пользователь X с ником OG DEGEN рассказал, что ему позвонил мошенник, выдававший себя за сотрудника правоохранительных органов по делу о мошенничестве. По его предположению, план состоял в том, чтобы убедить его, будто приватные ключи скомпрометированы, а затем прислать фишинговую ссылку для "сброса". Данные заказа 2024 года, на которые ссылался собеседник, пользователь связывает именно с Keystone. Письмо об утечке получил и второй пользователь, trintaetres, тоже за покупку двухлетней давности.
Почему адреса опаснее почты
Исследователь безопасности Taylor Monahan обращает внимание на риск, который выходит за рамки фишинга. Утечка адресов доставки может подвергнуть покупателей физическим нападениям и похищениям. Адрес вместе с данными о покупке кошелька показывает злоумышленнику, где живёт человек с криптоактивами.
Данные CertiK подтверждают, что такая угроза реальна. В первом полугодии 2026 года фирма зафиксировала 52 подтверждённые "wrench attacks", то есть случаи, когда владельца крипты силой заставляют отдать средства. За тот же период прошлого года было 39, так что рост составляет 33%.
Для индустрии это не первый случай. В 2020 году адреса покупателей утекли и у Ledger, а последствия ощущались годами.
Что остаётся без ответа
Keystone закрыла уязвимость и рассылает письма, но источник старых данных и масштаб утечки остаются без ответа. Владельцам, которые держат Bitcoin на устройствах этого производителя, стоит с недоверием относиться к любым звонкам и письмам с требованием "сбросить" ключи.
Комментарии
Ваш e-mail адрес не будет опубликован. Обязательные поля отмечены *