Il produttore di hardware wallet crypto Keystone ha reso noto un breach di sicurezza del proprio sito che ha esposto informazioni dei clienti ad attaccanti, sollevando preoccupazioni relative a truffe mirate e attacchi fisici.

L'azienda ha dichiarato sabato di aver rilevato un'attività sospetta durante la settimana e di aver confermato venerdì, dopo aver esaminato l'attività API con Shopify, che un terzo non autorizzato aveva avuto accesso alle informazioni di spedizione dei clienti. I dati esposti includevano nomi, dati di contatto, indirizzi di spedizione e altri dettagli degli ordini, come gli articoli acquistati.

"Abbiamo bloccato l'accesso, corretto la vulnerabilità, aperto un'indagine e stiamo inviando email ai clienti interessati", ha dichiarato l'azienda in una dichiarazione su X.

Keystone ha avvertito che le informazioni esposte potrebbero essere utilizzate per attacchi di phishing mirati. La ricercatrice di sicurezza Taylor Monahan ha sollevato ulteriori preoccupazioni, osservando che la fuga degli indirizzi di spedizione potrebbe esporre i clienti ad attacchi fisici e sequestri. L'episodio mette in luce un rischio specifico del possesso di hardware wallet: i dispositivi sono progettati per mantenere le chiavi private offline, ma i dati dei clienti detenuti dai produttori possono essere usati contro chi possiede il wallet.

La comunicazione arriva in un contesto di aumento dei cosiddetti "wrench attack" — reati in cui minacce o violenze fisiche vengono usate per costringere possessori di criptovalute a consegnare i propri asset. La società di sicurezza blockchain CertiK ne ha registrato 52 verificate a livello mondiale nel primo semestre del 2026, un aumento del 33% rispetto alle 39 dello stesso periodo dell'anno precedente.

"Ancora una volta, siamo davvero spiacenti con tutti gli interessati", ha dichiarato Keystone. L'azienda non ha divulgato quanti clienti siano stati coinvolti.

Keystone sotto interrogazione sulla promessa di cancellare i dati dei clienti

Il breach ha sollevato anche domande sulla gestione da parte di Keystone delle informazioni dei clienti più datate. In un post sul blog del 2023, l'azienda aveva dichiarato di aver ridotto a 180 giorni il periodo di conservazione dei dati dei clienti a seguito di incidenti di sicurezza che avevano coinvolto altri produttori di hardware wallet.

Tuttavia, alcuni clienti hanno affermato di aver ricevuto le notifiche del breach nonostante avessero acquistato i propri dispositivi più di due anni fa sollevando interrogativi su quali informazioni Keystone abbia conservato e su se le notifiche indichino che i record degli ordini più vecchi non siano stati cancellati come promesso.

Un utente X noto come "OG DEGEN" ha dichiarato di aver ricevuto una chiamata da un truffatore che sosteneva di far parte delle forze dell'ordine che indagavano su un caso di frode. In base alle informazioni personali riferite dal chiamante, l'utente sospettava che fossero state ottenute tramite un ordine Keystone effettuato nel 2024.

"Penso che il loro piano fosse convincermi che le mie chiavi private erano state esposte e poi inviarmi un link di phishing per ripristinarle", ha scritto su X l'utente. Quella combinazione di impersonificazione, urgenza e link per "sistemare" chiavi esposte segue uno schema di phishing noto, mirato a indurre gli utenti a inserire la propria frase di recupero — l'insieme di parole che può ripristinare ovunque il contenuto di un hardware wallet — su un sito controllato dall'attaccante.

Un altro utente X, trintaetres, ha affermato di aver ricevuto anch'esso la notifica via email nonostante avesse acquistato il dispositivo più di due anni fa.

Cointelegraph ha contattato Keystone per chiedere come le informazioni dei clienti relative ad acquisti effettuati oltre 180 giorni prima possano essere state esposte nonostante la politica di conservazione annunciata in precedenza, e quanti clienti siano stati coinvolti. L'azienda non ha risposto al momento della pubblicazione. Con l'indagine ancora in corso, clienti interessati e osservatori si chiederanno ora se Keystone spiegherà perché record oltre la finestra dei 180 giorni sembrano essere stati conservati, e quante persone siano state esposte.