Производитель биткоин-кошельков Keystone отзывает устройства: украденный ключ открывает путь подделкам

Keystone, производитель аппаратных кошельков для Bitcoin, которые хранят секретные коды, управляющие вашей криптовалютой, в офлайне, сообщила в понедельник, что уничтожит 18 835 непроданных устройств после того, как злоумышленники получили ключ, подтверждающий подлинность её аппаратного обеспечения. Компания также приостановила отгрузку всех неотправленных заказов со своего сайта.

Для покупателей риск заключается в поддельном кошельке, который выглядит как новый и проходит собственную проверку подлинности Keystone, поскольку злоумышленник получил ключ, на котором эта проверка основана. Преступник затем может продать такое устройство кому-то, кто загрузит на него реальные сбережения.

«Если он будет раскрыт, злоумышленник может использовать его для производства поддельных устройств, которые пройдут проверку подлинности», — заявила Keystone в своём заявлении. «Затем эти устройства можно было бы продать или отправить клиентам, которые могут неосознанно использовать их как подлинные продукты, что потенциально может привести к краже активов».

Keystone называет это ключом WebAuth — секретным кодом, записываемым в каждое устройство на заводе, чтобы страница на сайте компании могла подтвердить, что аппаратное обеспечение является подлинным. Его нельзя стереть или перезаписать, и 18 835 единиц на складе, содержащих его, уничтожаются, а не продаются.

Впервые Keystone сообщила в субботу, что третья сторона получила информацию о доставке клиентов. В заявлении в понедельник добавлены украденный ключ и количество пострадавших записей покупателей — 25 964, но не указано, кто несёт ответственность или когда злоумышленник впервые получил доступ.

Инцидент затронул записи из магазина Keystone на Shopify — платформы электронной коммерции, которая обрабатывала его онлайн-продажи. Keystone сообщает, что было затронуто 51 083 записи покупателей, но у 25 119 из них личная информация уже была удалена, в результате чего осталось 25 964 записи за период с 2024 по 2026 год, которые всё ещё содержали имена, контактные данные, адреса доставки и информацию о заказах. Покупки через Amazon и другие каналы не пострадали.

BitcoinBTC · USD

$80,605−2.34%

Oct 20Oct 22Oct 24Oct 26Oct 27

$84.8k$83.1k$81.3k$79.6k

24h HighHigh$80,573

24h LowLow$79,416

VolVol$1.0B

→

Купить Bitcoin за USDT

Работает на Jupiter

Данные о ценах от CoinGeckoCoinGeckoБольше Bitcoin новостей и прогнозов →

Часть этих данных должна была быть уже удалена. Политика Keystone предусматривала удаление записей о покупателях через 180 дней, а автоматизированный инструмент массового удаления, созданный для этой задачи, работал ненадёжно.

«Некоторые задачи по удалению не были выполнены, и мы не обнаружили и не устранили эти сбои вовремя, в результате чего определённая личная информация сохранялась дольше разрешённого срока», — заявила Keystone. «Мы не выполнили своё обязательство удалять данные клиентов в срок и принимаем ответственность за это нарушение».

Списки клиентов — это постоянная слабость производителей кошельков. Утечка данных Ledger в 2020 году в конечном итоге затронула около 292 000 клиентов, и те, кто после этого получал фишинговые письма, опасались, что могут стать целями вторжений в их дома.

Trezor и SafePal в августе каждая раскрыла утечки клиентских данных, затронувшие 13 689 клиентов и около 39 798 клиентов соответственно.

Имена и адреса важны из-за атак с применением силы, при которых преступники используют угрозы или насилие, чтобы заставить владельцев передать им свою криптовалюту. Chainalysis насчитала 46 насильственных нападений в первой половине 2026 года, в ходе которых было украдено более 30 миллионов долларов.

Производитель также предупредил о мошенниках, предлагающих «миграцию активов», «проверку кошелька» или «помощь в расследовании».

Продажи на сайте Keystone перейдут на предзаказы до тех пор, пока не будет завершено производство устройств с новым ключом, и компания заявляет, что направила отчеты властям в ЕС, Великобритании и других юрисдикциях.

Keystone сократила срок хранения клиентских данных со 180 до 90 дней и 24 октября попросила Shopify удалить все просроченные данные покупателей — процесс с 10-дневным периодом ожидания. Компания ожидает, что удаление завершится 3 ноября.