Keystone уничтожит 18 835 устройств после утечки ключа проверки подлинности

Производитель аппаратных кошельков Keystone уничтожит 18 835 нераспроданных устройств и приостановит отправку заказов после инцидента с безопасностью на официальном сайте. Злоумышленник получил доступ к данным покупателей и ключу WebAuth, который используется для проверки подлинности устройств.

Атака произошла 20 октября 2026 года через уязвимость в стороннем инструменте мониторинга данных: злоумышленник повысил привилегии и получил доступ к информации и ключу. Утечка затронула 25 964 записи покупателей, оформлявших заказы через Shopify на официальном сайте в 2024–2026 годах, включая имена, контактные данные, адреса доставки и сведения о заказах, а также 12 873 записи незавершенных оформлений. Покупки через Amazon и другие каналы не пострадали.

Ключ WebAuth был записан в устройства при производстве и не может быть удален или заменен. Его компрометация теоретически позволяет создавать поддельные устройства, которые будут проходить проверку подлинности: покупатели могут принять их за оригинальные и подвергнуть риску свои криптоактивы. Компания подчеркнула, что ключ не участвует в генерации сид-фраз, получении приватных ключей или подписании транзакций.

Keystone признала, что часть персональных данных хранилась дольше установленного срока из-за сбоя автоматизированного инструмента удаления записей: компания не обнаружила сбой. Запросы на удаление просроченных данных направлены Shopify 24 октября, завершение ожидается 3 ноября. Политику хранения сократят со 180 до 90 дней.

Что делать покупателям

Keystone заявила, что инцидент не затронул сид-фразы, приватные ключи, другие учетные данные кошельков, банковскую платежную информацию и номера государственных документов, поэтому переводить активы исключительно из-за утечки не нужно. Устройства, доставленные до 20 октября, безопасны, если проходят проверку подлинности; покупателям, получившим устройство со старым ключом после этой даты, рекомендуется обратиться в поддержку для дополнительной проверки. Компания предупредила о мошенниках, которые могут предлагать «миграцию активов» или требовать вернуть устройство.

Keystone приостановила отправку заказов и перейдет на предзаказы, пока не начнет выпуск устройств с новым ключом. Новые кошельки будут использовать новый ключ проверки.

Ранее аналогичный инцидент раскрыла Foundation: злоумышленники рассылали фишинговые письма с ее официальных доменов. Компания сообщила о более чем 23 000 попыток фишинга и обнаружила старые копии базы, которые пропустил 60-дневный процесс удаления, – около 5 600 почтовых адресов и 5 200 номеров телефонов.