TLDR:
- Keystone обнаружила несанкционированный доступ к сайту 20 октября и подтвердила утечку данных клиентов 23 октября.
- В утёкшие записи вошли имена клиентов, адреса электронной почты, номера телефонов, адреса доставки, товары и цены.
- Keystone заявила, что платёжные данные, пароли кошельков, приватные ключи и фразы восстановления не были скомпрометированы.
- Keystone не установила злоумышленника, число пострадавших клиентов или длительность доступа к сайту.
Keystone Hardware Wallet подтвердила, что несанкционированный доступ к её сайту привёл к утечке имён клиентов, контактных данных, адресов доставки и записей о покупках. Утечка была обнаружена 20 октября 2026 года и подтверждена три дня спустя после проверки активности интерфейса программирования приложений Shopify.
В раскрытии информации от 24 октября производитель аппаратного кошелька сообщил, что несанкционированная третья сторона получила информацию о заказах. Компания заблокировала доступ, устранила выявленную уязвимость и начала расследование, при этом число пострадавших клиентов осталось нераскрытым. В раскрытии не приводилось данных о количестве затронутых транзакций.
Keystone подтверждает утечку данных клиентов после несанкционированного доступа к сайту
Keystone Hardware Wallet подтвердила, что третья сторона получила информацию о доставке и заказах клиентов после несанкционированного доступа к её официальному сайту. Инцидент был обнаружен 20 октября,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 октября 2026 г.
Инцидент затронул записи, связанные с покупками устройств для хранения криптовалюты, а не информацию, хранящуюся внутри самих кошельков. В скомпрометированных записях были указаны приобретённые товары и цены, а также личности клиентов и места доставки. Затронутая информация связывала покупки устройств с идентифицируемыми клиентами, но о компрометации учётных данных кошельков не сообщалось.
Взлом сайта Keystone раскрыл заказы и адреса клиентов
Согласно политике конфиденциальности компании, Shopify управляет интернет-магазином производителя и обрабатывает информацию о его заказах. В этой политике также указано, что записи удаляются через 180 дней, если клиенты не сделали новый заказ.
Положение об удалении не указывает, какие исторические покупки были включены в эту утечку. Однако в раскрытии не были указаны затронутые даты покупок и не установлено, как долго несанкционированный доступ оставался возможным.
Следователи публично не приписали взлом кому-либо и не объяснили точный метод проникновения на сайт. Пострадавших клиентов уведомляли по электронной почте. Компания также заявила, что последует более полный отчёт об инциденте, хотя дату публикации не указала.
Keystone заявила, что номера платёжных карт, банковские реквизиты, пароли кошельков, приватные ключи и фразы восстановления не были раскрыты. В её кошельках используется офлайн-подписание транзакций, а связь через QR-коды ограничивает прямые подключения к устройствам с доступом в интернет.
Приватные ключи остаются в безопасности на фоне усиления предупреждений о фишинге
Тем не менее компания предупредила клиентов о мошеннических предложениях возврата средств, схемах с заменой устройств и сообщениях, якобы предлагающих помощь с заказами. Подобные попытки могут появляться в электронной почте, телефонных звонках или текстовых сообщениях.
Клиентам рекомендовали не сообщать фразы восстановления или приватные ключи, не вводить фразы восстановления в неожиданно полученные устройства замены и не переходить по подозрительным ссылкам. Компания также призвала проверять информацию через официальные каналы связи.
Эта утечка присоединяется к другим инцидентам с данными клиентов, связанным с продавцами аппаратных кошельков. В августе Trezor раскрыла утечку у поставщика логистических услуг ShipMonk, позже выявив примерно 67 000 дополнительных пострадавших клиентов в США.
SafePal также раскрыла уязвимость авторизации отслеживания заказов, затронувшую 39 798 клиентов. В том случае персональные данные и записи о покупках были раскрыты без прямой компрометации учётных данных кошельков.
Во всех этих инцидентах раскрытая информация находилась в системах заказов или выполнения заказов, а не в механизмах подписания кошельков. Keystone пока публично не раскрыла число пострадавших клиентов, лежащий в основе метод доступа или период раскрытия.
Запись Keystone подтверждает утечку данных клиентов после несанкционированного доступа к сайту впервые появилась на Blockonomi.