TLDR:
- Keystone виявила несанкціонований доступ до вебсайту 20 жовтня та підтвердила розкриття даних клієнтів 23 жовтня.
- Розкриті записи включали імена клієнтів, електронні адреси, номери телефонів, адреси доставки, товари та ціни.
- Keystone заявила, що платіжні дані, паролі гаманців, приватні ключі та фрази відновлення не були скомпрометовані.
- Keystone не встановила особу зловмисника, кількість постраждалих клієнтів або тривалість доступу до вебсайту.
Keystone Hardware Wallet підтвердила, що несанкціонований доступ до її вебсайту призвів до розкриття імен клієнтів, контактних даних, адрес доставки та записів про покупки. Витік, виявлений 20 жовтня 2026 року, було підтверджено через три дні після перевірки активності інтерфейсу прикладного програмування Shopify.
У розкритті інформації від 24 жовтня виробник апаратного гаманця заявив, що несанкціонована третя сторона отримала інформацію про замовлення. Компанія заблокувала доступ, усунула виявлену вразливість і розпочала розслідування, при цьому кількість постраждалих клієнтів залишилася нерозкритою. Жодних даних про кількість постраждалих транзакцій у розкритті не наводилося.
Keystone підтверджує розкриття даних клієнтів після несанкціонованого доступу до вебсайту
Keystone Hardware Wallet підтвердила, що третя сторона отримала інформацію про доставку та замовлення клієнтів після несанкціонованого доступу до її офіційного вебсайту. Інцидент було виявлено 20 жовтня,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 жовтня 2026 року
Інцидент розкрив записи, пов'язані з покупками пристроїв для зберігання криптовалюти, а не інформацію, що зберігається всередині самих гаманців. Скомпрометовані записи містили перелік придбаних товарів і цін, а також дані про особу клієнтів і місця доставки. Розкрита інформація пов'язувала покупки пристроїв з ідентифікованими клієнтами, але про компрометацію облікових даних гаманця не повідомлялося.
Вторгнення на вебсайт Keystone розкриває замовлення та адреси клієнтів
Згідно з політикою конфіденційності компанії, Shopify керує онлайн-магазином виробника та обробляє інформацію про його замовлення. Ця політика також зазначає, що записи видаляються через 180 днів, якщо клієнти не зробили наступного замовлення.
Положення про видалення не вказує, які історичні покупки були включені до цього витоку. Однак у розкритті не було вказано дати постраждалих покупок або встановлено, як довго несанкціонований доступ залишався можливим.
Слідчі публічно не приписали вторгнення жодній стороні та не пояснили точний метод проникнення на вебсайт. Постраждалих клієнтів повідомляли електронною поштою. Компанія також заявила, що згодом буде опубліковано повніший звіт про інцидент, хоча дату публікації не вказала.
Keystone заявила, що номери платіжних карток, дані банківських рахунків, паролі гаманців, приватні ключі та фрази відновлення не були розкриті. Її гаманці використовують офлайн-підписання транзакцій, а зв'язок через QR-коди обмежує прямі підключення до пристроїв з доступом до інтернету.
Приватні ключі залишаються в безпеці, попри посилення попереджень про фішинг
Тим не менш, компанія попередила клієнтів про шахрайські пропозиції повернення коштів, схеми із заміною пристроїв та повідомлення, що нібито надають допомогу із замовленнями. Такі спроби можуть надходити електронною поштою, телефонними дзвінками або текстовими повідомленнями.
Клієнтам рекомендували не ділитися фразами відновлення або приватними ключами, не вводити фрази відновлення в неочікувані пристрої заміни та не переходити за підозрілими посиланнями. Компанія також закликала перевіряти інформацію через офіційні канали зв'язку.
Цей витік приєднується до інших інцидентів із даними клієнтів, пов'язаних із продавцями апаратних гаманців. У серпні Trezor розкрила витік у постачальника доставки ShipMonk, згодом виявивши приблизно 67 000 додаткових постраждалих клієнтів у США.
SafePal також розкрила недолік авторизації відстеження замовлень, що вплинув на 39 798 клієнтів. У цьому випадку особисті дані та записи про покупки були розкриті без прямої компрометації облікових даних гаманця.
У всіх цих інцидентах розкрита інформація зберігалася в системах замовлень або виконання, а не в механізмах підписання гаманців. Keystone ще публічно не розкрила кількість постраждалих клієнтів, основний метод доступу або вікно розкриття.
Публікація Keystone підтверджує витік даних клієнтів після несанкціонованого доступу до вебсайту вперше з'явилася на Blockonomi.