Keystone признала утечку, но отрицает компрометацию ключей

Производитель аппаратных криптокошельков Keystone подтвердил, что злоумышленник получил доступ к интернет-магазину компании и похитил персональные данные покупателей. В заявлении фирмы указано, что в распоряжении хакера оказались имена, контакты и адреса доставки клиентов, а также сведения о заказанных устройствах и их стоимости. Несанкционированный доступ к сайту обнаружили 20 октября. Спустя три дня компания вместе с Shopify, на платформе которой работает магазин, проверила активность в API и подтвердила утечку. После этого разработчики заблокировали доступ, устранили уязвимость, начали внутреннее расследование и приступили к рассылке уведомлений пострадавшим по электронной почте.

В Keystone утверждают, что платежные и банковские реквизиты, сид-фразы, приватные ключи и пароли от кошельков не пострадали. Однако независимого подтверждения этим словам пока нет. Число пострадавших, способ проникновения в систему и личность злоумышленника компания не раскрыла. Подробный отчет обещали опубликовать в ближайшие дни.

После инцидента часть покупателей усомнилась, что Keystone соблюдала собственные правила конфиденциальности. На сайте производителя сказано, что сведения о доставке автоматически удаляются через 180 дней после оформления заказа, а клиенты могут попросить удалить их сразу после получения устройства. Компания неоднократно подчеркивала это как преимущество. Однако несколько пользователей сообщили в X, что получили уведомления об утечке, хотя с момента заказа прошло больше 180 дней. Клиент под ником trintaetres_33 рассказал, что купил кошелек более двух лет назад. Другой пользователь указал, что между его последним заказом и взломом прошло 214 дней.

Еще один покупатель под псевдонимом PEPE_Whale69 забил тревогу до официального заявления производителя. По его словам, ему позвонили с подмененного номера полиции Монреаля и спросили, знакомы ли ему названия Amazon, eBay или Keystone. Звонивший располагал сведениями, которые совпадали с данными заказа PEPE_Whale69 в Keystone от 2024 года. В ответ компания заявила, что начала срочное расследование, но публично на вопрос о соблюдении правила 180 дней представители не ответили. При этом в действующей политике конфиденциальности, обновленной 7 июля 2026 года, срок отсчитывается не от даты заказа, а от последней покупки. Согласно документу, компания удаляет данные только тех клиентов, которые ничего не заказывали в течение 180 дней. Если покупатель сделал новый заказ, информация о предыдущих сохраняется. Такая же оговорка есть в статье справочного центра, последний раз обновленной в феврале 2023 года.

Напомним, в августе производитель аппаратных кошельков Trezor сообщил об утечке данных почти 14 000 клиентов после взлома логистического партнера ShipMonk. В сентябре компания рассказала еще о 67 000 пострадавших, в результате чего общее число затронутых инцидентом пользователей приблизилось к 81 000. В скомпрометированной базе оказались имена, телефоны, электронные адреса и адреса доставки.