Keystone wstrzymuje dostawy sprzętowych portfeli Bitcoin po kradzieży klucza fabrycznego

Keystone, producent portfeli sprzętowych Bitcoin, które przechowują tajne kody kontrolujące twoje krypto w trybie offline, poinformował w poniedziałek, że zniszczy 18 835 niesprzedanych urządzeń po tym, jak atakujący uzyskali klucz potwierdzający autentyczność jego sprzętu. Firma wstrzymała również wysyłkę wszystkich niewysłanych zamówień ze swojej strony internetowej.

Dla nabywców ryzykiem jest podrobiony portfel, który wygląda jak nowy i przechodzi własną weryfikację Keystone, ponieważ atakujący uzyskał klucz, na którym opiera się ta weryfikacja. Przestępca mógłby następnie sprzedać takie urządzenie komuś, kto załaduje na nie prawdziwe oszczędności.

„Gdyby został ujawniony, atakujący mógłby go użyć do wyprodukowania podrobionych urządzeń, które przechodzą kontrole uwierzytelniania” – stwierdził Keystone w swoim oświadczeniu. „Te urządzenia mogłyby następnie zostać sprzedane lub wysłane klientom, którzy mogliby nieświadomie używać ich jako oryginalnych produktów, co potencjalnie mogłoby doprowadzić do kradzieży aktywów”.

Keystone nazywa to kluczem WebAuth – tajnym kodem zapisanym w każdym urządzeniu w fabryce, dzięki czemu strona w witrynie firmy może potwierdzić, że sprzęt jest oryginalny. Nie można go usunąć ani nadpisać, a 18 835 jednostek w magazynie, które go zawierają, jest niszczonych, a nie sprzedawanych.

Keystone po raz pierwszy poinformował w sobotę, że strona trzecia uzyskała informacje o wysyłce klientów. Poniedziałkowe oświadczenie dodało skradziony klucz oraz liczbę 25 964 dotkniętych rekordów kupujących, ale nie mówi, kto jest odpowiedzialny ani kiedy atakujący po raz pierwszy uzyskał dostęp.

Incydent dotyczył rekordów ze sklepu Keystone na Shopify, platformy e-commerce, która obsługiwała jego sprzedaż online. Keystone twierdzi, że dotyczyło to 51 083 rekordów kupujących, ale w przypadku 25 119 z nich dane osobowe zostały już usunięte, pozostawiając 25 964 z lat 2024–2026, które nadal zawierały imiona i nazwiska, dane kontaktowe, adresy wysyłki i informacje o zamówieniach. Zakupy za pośrednictwem Amazon i innych kanałów nie zostały objęte incydentem.

BitcoinBTC · USD

$80,605−2.34%

Oct 20Oct 22Oct 24Oct 26Oct 27

$84.8k$83.1k$81.3k$79.6k

24h HighHigh$80,573

24h LowLow$79,416

VolVol$1.0B

→

Kup Bitcoin za USDT

Obsługiwane przez Jupiter

Dane cenowe dostarcza CoinGeckoCoinGeckoWięcej Bitcoin wiadomości i prognoz →

Część tych danych powinna już zostać usunięta. Polityka Keystone zakładała usuwanie rekordów kupujących po 180 dniach, a zautomatyzowane narzędzie do masowego usuwania, które w tym celu zbudowano, nie działało niezawodnie.

„Niektóre zadania usuwania nie powiodły się, a my nie wykryliśmy i nie rozwiązaliśmy tych niepowodzeń na czas, w wyniku czego pewne dane osobowe zostały zachowane poza dozwolonym okresem” – stwierdziła firma Keystone. „Nie wywiązaliśmy się z naszego zobowiązania do terminowego usuwania danych klientów i przyjmujemy odpowiedzialność za to niepowodzenie”.

Listy klientów są powracającym słabym punktem dla producentów portfeli. Wyciek danych Ledger z 2020 roku ostatecznie dotarł do około 292 000 klientów, a ci, którzy później otrzymali e-maile phishingowe, obawiali się, że mogą stać się celem napaści na dom.

Trezor i SafePal ujawniły naruszenia danych klientów w sierpniu, dotykające odpowiednio 13 689 klientów i około 39 798 klientów.

Imiona i adresy mają znaczenie z powodu ataków z użyciem klucza francuskiego, w których przestępcy używają gróźb lub przemocy, aby zmusić właścicieli do przekazania swoich kryptowalut. Chainalysis odnotowało 46 brutalnych ataków w pierwszej połowie 2026 roku, podczas których skradziono ponad 30 milionów dolarów.

Producent ostrzegł również przed oszustami oferującymi „migrację aktywów”, „weryfikację portfela” lub „pomoc w śledztwie”.

Sprzedaż na stronie internetowej Keystone zostanie przełączona na przedsprzedaż do czasu zakończenia produkcji urządzeń z nowym kluczem, a firma twierdzi, że złożyła raporty władzom w UE, Wielkiej Brytanii i innych jurysdykcjach.

Keystone skrócił okres przechowywania danych klientów ze 180 do 90 dni i 24 października poprosił Shopify o usunięcie wszystkich zaległych danych kupujących, co jest procesem z 10-dniowym okresem oczekiwania. Firma oczekuje, że usunięcie zakończy się 3 listopada.