Keystone подтвердила утечку данных покупателей аппаратных кошельков

Злоумышленник получил доступ к интернет-магазину производителя аппаратных криптокошельков Keystone и похитил персональные данные покупателей. Об этом говорится в заявлении компании.

We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we’re sorry we didn’t keep them safe. Exposed: names, contact details, shipping addresses, and order details (items and prices). Not exposed: payment card or bank details, recovery phrases, private keys, or wallet passwords. We’ve blocked access, fixed the vulnerability, opened an investigation, and are emailing affected customers. Scammers may pose as Keystone by phone, text, email, or mail, offering refunds, replacement devices, or "fixes" for your order or address. None of it is from us. NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order. We will never ask for them. Don’t click links in unexpected messages. Type https://t.co/7km8AZM288 yourself. A detailed report is coming soon. Until then, trust only our official channels. If anything feels off, email support@keyst.one. We’d rather hear from you than have you take a chance. Again, we’re truly sorry to everyone affected.

— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026

В распоряжении хакера оказались имена, контакты и адреса доставки клиентов, а также сведения о заказанных устройствах и их стоимости.

По данным Keystone, несанкционированный доступ к сайту обнаружили 20 октября. Спустя три дня компания вместе с Shopify, на платформе которой работает магазин, проверила активность в API и подтвердила утечку.

Разработчики заблокировали доступ, устранили уязвимость, начали внутреннее расследование и стали рассылать пострадавшим уведомления по электронной почте.

Представители фирмы утверждают, что платежные и банковские реквизиты, сид-фразы, приватные ключи, а также пароли от кошельков не пострадали. Однако независимого подтверждения пока нет.

Keystone не раскрыла число пострадавших и способ проникновения в систему. Неизвестно и то, удалось ли идентифицировать злоумышленника. Подробный отчет компания пообещала опубликовать в ближайшие дни.

Вопросы к политике хранения данных

После инцидента часть покупателей усомнилась, что Keystone соблюдала собственные правила конфиденциальности.

На официальном сайте производителя указано, что сведения о доставке автоматически удаляются через 180 дней после оформления заказа. Клиенты также могут попросить удалить их сразу после получения устройства. Компания неоднократно подчеркивала это преимущество.

Another reason to choose Keystone 🫡 We don’t just protect your crypto, we protect your privacy. 180 days after your order, your shipping data is permanently deleted. Choose privacy. #ChooseKeystone3Pro

— Keystone Hardware Wallet (@KeystoneWallet) January 5, 2026

Однако несколько пользователей сообщили в X, что получили уведомления об утечке, хотя с момента оформления их заказов прошло более 180 дней. Клиент под ником trintaetres_33 рассказал, что купил кошелек более двух лет назад. Другой юзер сообщил, что промежуток между его последним заказом и взломом составил 214 дней.

Еще один покупатель под псевдонимом PEPE_Whale69 забил тревогу до официального заявления производителя. По его словам, ему позвонили с подмененного номера полиции Монреаля и спросили, говорят ли ему что-то названия Amazon, eBay или Keystone.

Cc @KeystoneWallet , just raising awareness here because I’m 99% convinced your customer database may have been leaked. I received a call from a spoofed Montreal SPVM number, and the guy tried to social-engineer me. He started by claiming they had arrested 200 people involved in a fraud case and that one of the suspects had my information stored in a database, divided into three categories: Personal information Banking information Email address Then he asked me if Amazon, eBay, or Keystone meant anything to me. That’s when I immediately knew something was off lmao. He even started asking whether Ledger, Trezor, or cryptocurrency sounded familiar to me. Thankfully, I never use my personal email or real information when ordering online, precisely because I know things like this can happen. But here’s the interesting part: I went back and checked my Keystone order from 2024, and the information matched exactly what the caller had mentioned. That’s when I realized where he might have gotten my details. Obviously, the whole call was a scam, but the fact that he specifically mentioned Keystone and had matching information from my old order is extremely suspicious. Not claiming a breach is confirmed, but I think @KeystoneWallet should seriously investigate this. Just sharing this so others are aware. Stay safe out there.

— OG DEGEN (@PEPE_Whale69) October 23, 2026

Звонивший располагал сведениями, которые совпадали с данными заказа PEPE_Whale69 в Keystone от 2024 года. В ответ компания заявила, что начала срочное расследование. Публично на вопрос о соблюдении правила 180 дней представители не ответили.

При этом в действующей политике конфиденциальности, обновленной 7 июля 2026 года, срок отсчитывается не от даты заказа, а от последней покупки. Согласно документу, компания удаляет данные только тех клиентов, которые ничего не заказывали в течение 180 дней. Если покупатель сделал новый заказ, информация о предыдущих сохраняется.

Такая же оговорка есть в статье справочного центра, последний раз обновленной в феврале 2023 года.

Напомним, в августе производитель аппаратных кошельков Trezor сообщил об утечке данных почти 14 000 клиентов после взлома логистического партнера ShipMonk.

В сентябре компания рассказала еще о 67 000 пострадавших, в результате чего общее число затронутых инцидентом пользователей приблизилось к 81 000. В скомпрометированной базе оказались имена, телефоны, электронные адреса и адреса доставки.