TLDR:
- Keystone ha rilevato un accesso non autorizzato al sito web il 20 ottobre e ha confermato l'esposizione dei dati dei clienti il 23 ottobre.
- I dati esposti includevano nomi dei clienti, email, numeri di telefono, indirizzi di spedizione, prodotti e prezzi.
- Keystone ha dichiarato che i dati di pagamento, le password dei wallet, le chiavi private e le frasi di recupero non sono stati compromessi.
- Keystone non ha identificato l'attaccante, il numero di clienti interessati né la durata dell'accesso al sito web.
Keystone Hardware Wallet ha confermato che l'accesso non autorizzato al suo sito web ha esposto nomi dei clienti, dati di contatto, indirizzi di spedizione e registri degli acquisti. La violazione, rilevata il 20 ottobre 2026, è stata confermata tre giorni dopo a seguito di una revisione dell'attività dell'interfaccia di programmazione delle applicazioni di Shopify.
In una comunicazione del 24 ottobre, il produttore di hardware wallet ha dichiarato che una terza parte non autorizzata aveva ottenuto informazioni sugli ordini. L'azienda ha bloccato l'accesso, corretto la vulnerabilità identificata e avviato un'indagine, mentre il numero di clienti interessati è rimasto non divulgato. Nessun conteggio delle transazioni interessate ha accompagnato la comunicazione.
Keystone conferma l'esposizione dei dati dei clienti a seguito di accesso non autorizzato al sito web
Keystone Hardware Wallet ha confermato che una terza parte ha ottenuto informazioni sulla spedizione e sugli ordini dei clienti a seguito di accesso non autorizzato al suo sito web ufficiale. L'incidente è stato rilevato il 20 ottobre,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 ottobre 2026
L'incidente ha esposto registri collegati all'acquisto di dispositivi di archiviazione di criptovalute, anziché informazioni contenute all'interno dei wallet stessi. I registri compromessi elencavano i prodotti acquistati e i prezzi, insieme alle identità dei clienti e ai luoghi di consegna. Le informazioni interessate collegavano gli acquisti dei dispositivi a clienti identificabili, ma non è stata segnalata alcuna compromissione delle credenziali del wallet.
L'intrusione nel sito web di Keystone espone ordini e indirizzi dei clienti
Shopify gestisce il negozio online del produttore ed elabora le informazioni sui suoi ordini, secondo l'informativa sulla privacy dell'azienda. Tale informativa afferma inoltre che i registri vengono eliminati dopo 180 giorni quando i clienti non hanno effettuato un altro ordine.
La disposizione sull'eliminazione non identifica quali acquisti storici siano stati inclusi in questa violazione. Tuttavia, la comunicazione non ha identificato le date degli acquisti interessati né stabilito per quanto tempo l'accesso non autorizzato sia rimasto possibile.
Gli investigatori non hanno pubblicamente attribuito l'intrusione né spiegato il metodo preciso utilizzato per entrare nel sito web. I clienti interessati sono stati avvisati via email. L'azienda ha inoltre dichiarato che sarebbe seguito un rapporto più completo sull'incidente, sebbene non abbia fornito una data di pubblicazione.
Keystone ha dichiarato che i numeri delle carte di pagamento, i dettagli dei conti bancari, le password dei wallet, le chiavi private e le frasi di recupero non sono stati esposti. I suoi wallet utilizzano la firma offline delle transazioni, con comunicazione tramite codice QR che limita le connessioni dirette ai dispositivi connessi a Internet.
Le chiavi private restano al sicuro mentre si intensificano gli avvisi di phishing
Ciononostante, l'azienda ha avvertito i clienti riguardo a offerte fraudolente di rimborso, schemi di sostituzione dei dispositivi e messaggi che affermano di fornire assistenza sugli ordini. Tali approcci possono presentarsi tramite email, telefonate o messaggi di testo.
Ai clienti è stato consigliato di non condividere frasi di recupero o chiavi private, di non inserire frasi di recupero in dispositivi sostitutivi inaspettati e di non seguire link sospetti. L'azienda ha inoltre esortato a verificare tramite i canali di comunicazione ufficiali.
La violazione si aggiunge ad altri incidenti sui dati dei clienti che hanno coinvolto venditori di hardware wallet. Ad agosto, Trezor ha divulgato una violazione del fornitore di spedizioni ShipMonk, identificando successivamente circa 67.000 ulteriori clienti statunitensi interessati.
Anche SafePal ha divulgato un difetto di autorizzazione nel tracciamento degli ordini che ha interessato 39.798 clienti. In quel caso, i dati personali e degli acquisti sono stati esposti senza una compromissione diretta delle credenziali del wallet.
In tutti questi incidenti, le informazioni esposte risiedevano nei sistemi di ordinazione o di evasione degli ordini anziché nei meccanismi di firma dei wallet. Keystone non ha ancora divulgato pubblicamente il numero di clienti interessati, il metodo di accesso sottostante o la finestra di esposizione.
Il post Keystone Confirms Customer Data Breach Following Unauthorized Website Access è apparso per la prima volta su Blockonomi.