Keystone подтвердила утечку данных покупателей аппаратных кошельков
Злоумышленник получил доступ к интернет-магазину производителя аппаратных криптокошельков Keystone и похитил персональные данные покупателей. Компания подтвердила инцидент и начала расследование.
Как сообщила Keystone, несанкционированный доступ к официальному сайту был обнаружен 20 октября. Спустя три дня компания вместе с Shopify, на платформе которой работает магазин, проверила активность в API и подтвердила, что третья сторона получила информацию о доставке клиентов.
В распоряжении хакера оказались имена, контакты и адреса доставки покупателей, а также сведения о заказанных устройствах и их стоимости. Компания заявила, что платежные и банковские реквизиты, сид-фразы, приватные ключи и пароли от кошельков не пострадали. Однако независимого подтверждения этому пока нет.
Разработчики заблокировали доступ, устранили уязвимость, начали внутреннее расследование и рассылают пострадавшим уведомления по электронной почте. Keystone не раскрыла число пострадавших и способ проникновения в систему. Неизвестно и то, удалось ли идентифицировать злоумышленника. Подробный отчет компания пообещала опубликовать в ближайшие дни.
После инцидента часть покупателей усомнилась, что Keystone соблюдала собственные правила конфиденциальности. На официальном сайте производителя указано, что сведения о доставке автоматически удаляются через 180 дней после оформления заказа. Клиенты также могут попросить удалить их сразу после получения устройства. Компания неоднократно подчеркивала это преимущество.
Однако несколько пользователей сообщили в X, что получили уведомления об утечке, хотя с момента оформления их заказов прошло более 180 дней. Клиент под ником trintaetres_33 рассказал, что купил кошелек более двух лет назад. Другой юзер сообщил, что промежуток между его последним заказом и взломом составил 214 дней.
Еще один покупатель под псевдонимом PEPE_Whale69 забил тревогу до официального заявления производителя. По его словам, ему позвонили с подмененного номера полиции Монреаля и спросили, говорят ли ему что-то названия Amazon, eBay или Keystone. Звонивший располагал сведениями, которые совпадали с данными заказа PEPE_Whale69 в Keystone от 2024 года. В ответ компания заявила, что начала срочное расследование. Публично на вопрос о соблюдении правила 180 дней представители не ответили.
При этом в действующей политике конфиденциальности, обновленной 7 июля 2026 года, срок отсчитывается не от даты заказа, а от последней покупки. Согласно документу, компания удаляет данные только тех клиентов, которые ничего не заказывали в течение 180 дней. Если покупатель сделал новый заказ, информация о предыдущих сохраняется. Такая же оговорка есть в статье справочного центра, последний раз обновленной в феврале 2023 года.
Напомним, в августе производитель аппаратных кошельков Trezor сообщил об утечке данных почти 14 000 клиентов после взлома логистического партнера ShipMonk. В сентябре компания рассказала еще о 67 000 пострадавших, в результате чего общее число затронутых инцидентом пользователей приблизилось к 81 000. В скомпрометированной базе оказались имена, телефоны, электронные адреса и адреса доставки.