Keystone уничтожит 18 835 устройств после утечки ключа проверки подлинности

Производитель аппаратных кошельков Keystone уничтожит 18 835 устройств со старым ключом проверки подлинности после инцидента с безопасностью официального сайта.

https://t.co/IbtXqeqKAX

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Компания также приостановила отправку заказов и перейдет на предзаказы, пока не начнет выпуск устройств с новым ключом. 

Ранее Keystone подтвердила утечку персональных данных покупателей. В распоряжении хакера оказались имена, контакты и адреса доставки клиентов, а также сведения о заказанных гаджетах и их стоимости. 

Согласно новому заявлению компании, злоумышленник получил доступ к ключу WebAuth, который используется для проверки подлинности устройств на официальном сайте. Он был записан в устройства при производстве и не может быть удален или заменен.

По данным Keystone, компрометация ключа теоретически позволяет создавать поддельные устройства, которые будут успешно проходить проверку подлинности. Покупатели могут принять их за оригинальные и подвергнуть свои криптоактивы риску кражи. Компания подчеркнула, что ключ WebAuth не участвует в генерации сид-фраз, получении приватных ключей или подписании транзакций.

Политику хранения данных подкорректируют

Keystone также уточнила масштаб утечки данных. Инцидент затронул 25 964 записи покупателей, оформлявших заказы через Shopify на официальном сайте в 2024–2026 годах. Среди потенциально раскрытых данных — имена, контактная информация, адреса доставки и сведения о заказах. Информация о покупках через Amazon и другие каналы продаж не пострадала.

Кроме того, компания обнаружила 12 873 записи незавершенных оформлений заказа. Они содержали введенные пользователями имена, контактные данные и адреса доставки. Keystone включила эти записи в меры реагирования на инцидент и пообещала уведомить соответствующих пользователей о потенциальных рисках.

Компания объяснила, что часть персональных данных хранилась дольше установленного срока из-за сбоев в автоматизированном инструменте удаления записей. Keystone признала недостатки в организации обработки данных и сообщила, что сократит срок их хранения со 180 до 90 дней. Запросы на удаление просроченных данных были направлены Shopify 24 октября, а завершение процедуры ожидается 3 ноября.

Keystone обнаружила подозрительный доступ к сайту 20 октября 2026 года. По результатам расследования, злоумышленник использовал уязвимость в стороннем инструменте мониторинга данных, чтобы повысить привилегии и получить доступ к информации покупателей и ключу WebAuth.

Компания заявила, что инцидент не затронул сид-фразы, приватные ключи, другие учетные данные кошельков, банковскую платежную информацию или номера государственных документов. Поэтому, по рекомендации Keystone, пользователям не нужно переводить активы исключительно из-за этой утечки.

При этом компания рекомендует покупателям, получившим после 20 октября устройство со старым ключом, обратиться в поддержку для дополнительной проверки подлинности. Устройства, доставленные до этой даты, по заявлению производителя, не затронуты компрометацией механизма проверки. Keystone также предупредила о мошенниках, которые могут под видом помощи с инцидентом предлагать «миграцию активов» или требовать вернуть устройство.

Напомним, ущерб от компрометации аппаратных кошельков Ledger эксперты Bitquery оценили в $93,2 млн.