Keystone уничтожит более 18 тысяч аппаратных кошельков из‑за утечки данных и компрометации ключа аутентификации

.Компания-производитель аппаратных кошельков Keystone приняла решение уничтожить 18 835 устройств из своих складских запасов. Причиной стало то, что злоумышленник, получивший доступ к клиентским данным, завладел ключом, который компания использует для проверки подлинности устройств. Ключ записывается в кошельки во время производства — его невозможно стереть или перезаписать. В Keystone подчёркивают: этот ключ не задействован в генерации сид-фраз, создании приватных ключей или подписании транзакций. Тем не менее, имея ключ, атакующий способен изготовить поддельные устройства, которые будут успешно проходить проверку подлинности на сайте Keystone. Если такие фальшивки попадут к клиентам, принявшим их за оригинальную продукцию, пользователи рискуют лишиться криптоактивов. Keystone приняла решение полностью отказаться от использования старого ключа. В дальнейшем все выпускаемые устройства будут оснащаться новым ключом аутентификации. Компания заверила, что 18 835 аппаратных кошельков со скомпрометированным ключом будут уничтожены и не поступят в продажу. Кроме того, Keystone приостановила отправку неоплаченных устройств, заказанных через официальный сайт, и перевела продажи в режим предзаказов — до момента, когда будет налажено производство устройств с новым ключом. Подозрительная активность на сайте была зафиксирована системами мониторинга Keystone 20 октября. Неизвестный воспользовался уязвимостью в инструменте мониторинга данных. В итоге персональные данные 25 964 покупателей, которые совершали заказы на платформе Shopify в период с 2024 по 2026 год, оказались скомпрометированы. В открытом доступе появились имена, контактные данные, адреса доставки и информация о заказах. При этом злоумышленник не получил доступа к сид-фразам, приватным ключам и платёжным данным пользователей. Представители Keystone объясняют, что согласно внутренней политике компании данные покупателей должны удаляться через 180 дней. Однако автоматизированный инструмент для массового удаления сработал некорректно — в результате скомпрометированные данные не были удалены вовремя. Хакер получил доступ к 12 873 записям о незавершённых заказах, где также содержались имена, контактные данные и адреса доставки. Keystone предлагает считать пригодными к использованию устройства, доставленные до 20 октября, — при условии, что они пройдут проверку на подлинность. Тем покупателям, которые получили кошелёк со старым ключом после 20 октября, рекомендуется обратиться в службу поддержки для дополнительной проверки. При этом даже если устройство успешно проходит аутентификацию, нельзя полностью исключить вероятность того, что это подделка. Компания заявила, что не будет требовать от владельцев кошельков возвращать устройства. Любой, кто потребует отправить кошелёк для замены, будет считаться мошенником. Стоит отметить, что ранее другой крупный производитель аппаратных криптокошельков — компания Ledger — признала: группа хакеров целенаправленно скупала устройства. Злоумышленники вскрывали кошельки и устанавливали скрытые модули для перехвата сид‑фраз. Кошельки со шпионскими модулями даже появились на российском маркетплейсе Ozon.