Il produttore di hardware wallet Keystone ha confermato un data breach che ha esposto nomi, informazioni di contatto, indirizzi di spedizione e registri degli acquisti dei clienti dopo che un terzo non autorizzato ha ottenuto l'accesso al suo sito web.

L'azienda ha rilevato attività sospetta il 20 ottobre 2026 e ha confermato il furto di dati il 23 ottobre dopo aver esaminato l'attività delle API di Shopify. I registri compromessi includevano i prodotti acquistati dai clienti e i relativi prezzi — dettagli che potrebbero essere utilizzati per identificare i proprietari di hardware wallet e i loro indirizzi fisici. Poiché gli hardware wallet conservano offline le chiavi private che controllano le criptovalute, i registri che collegano un dispositivo specifico a un indirizzo residenziale sono considerati sensibili anche nei casi in cui i dispositivi stessi non siano stati compromessi.

Keystone ha divulgato pubblicamente l'incidente il 24 ottobre in una dichiarazione su X, confermando che i dati delle carte di pagamento, le informazioni bancarie, le frasi di recupero, le chiavi private e le password dei wallet non sono stati esposti.

Il produttore ha successivamente bloccato l'accesso non autorizzato, corretto la vulnerabilità e iniziato a notificare via email i clienti coinvolti. Non ha dichiarato quanti clienti siano stati esposti né come l'attaccante abbia ottenuto le informazioni.

L'attività delle API di Shopify ha esposto i registri degli acquisti

Le indagini di Keystone hanno rintracciato l'accesso non autorizzato nell'infrastruttura e-commerce che supporta il suo sito web, e non in un compromissione dei suoi dispositivi hardware wallet. I dati esposti combinano le identità dei clienti e gli indirizzi di consegna con storie di acquisto specifiche, creando opportunità per gli attaccanti di impersonare il produttore utilizzando dettagli transazionali autentici.

Un attaccante potrebbe fare riferimento a un ordine reale di un cliente, al dispositivo acquistato o all'indirizzo di spedizione nel tentativo di estrarre ulteriori informazioni tramite chiamate, email o messaggi fraudolenti. Keystone ha avvertito che i truffatori potrebbero offrire rimborsi, hardware wallet sostitutivi o assistenza per presunti problemi di consegna, con contatti che potrebbero arrivare via email, messaggio di testo, telefono o posta fisica.

L'azienda non ha identificato l'attaccante, stabilito quanti registri siano stati sottratti né divulgato se l'intrusione abbia coinvolto credenziali API compromesse, una vulnerabilità applicativa o un altro metodo di accesso. Il coinvolgimento di Shopify nelle indagini sulle API non indica che l'infrastruttura più ampia di Shopify sia stata compromessa.

L'ultima di una serie di violazioni presso produttori di wallet

L'incidente segue una serie di violazioni simili che hanno coinvolto produttori di wallet per criptovalute e i loro partner e-commerce.

A settembre, Trezor ha ampliato le proprie indagini su un data breach di ShipMonk dopo aver scoperto che circa 67.000 ulteriori clienti americani avevano avuto le proprie informazioni personali esposte. I registri coinvolti includevano nomi, numeri di telefono, indirizzi email, dettagli di spedizione e storie degli ordini risalenti al 2019, ampliando notevolmente un incidente che inizialmente riguardava 13.689 clienti.

Ad agosto, SafePal ha divulgato una vulnerabilità nel tracciamento degli ordini che ha esposto informazioni personali e di acquisto appartenenti a 39.798 clienti. L'azienda ha rintracciato l'incidente in un difetto di autorizzazione in un plug-in utilizzato per accedere alle informazioni di spedizione.

A gennaio, i clienti di Ledger hanno affrontato tentativi di phishing mirati dopo una violazione presso il partner e-commerce Global-e, con messaggi fraudolenti diffusi utilizzando i dati dei clienti esposti tramite il fornitore terzo — una sequenza simile ai contatti truffaldini successivi di cui Keystone sta ora avvertendo i propri clienti.

Sebbene le cause tecniche e le infrastrutture coinvolte fossero diverse, ciascun caso riguardava informazioni sui clienti detenute da sistemi commerciali o di evasione ordini.

Avvertenza contro dispositivi sostitutivi contraffatti

Keystone ha esortato i clienti a evitare di cliccare sui link in comunicazioni inattese e a raggiungere direttamente il sito ufficiale quando cercano assistenza. Il produttore ha specificamente avvertito di non inserire frasi di recupero in dispositivi sostitutivi non richiesti e di non condividere le chiavi private con chiunque affermi di rappresentare il suo team di assistenza clienti.

I clienti che hanno già divulgato una frase di recupero a un presunto truffatore dovrebbero considerare quel wallet come compromesso e spostare gli eventuali asset rimanenti in un nuovo wallet generato con una frase di recupero completamente nuova.

Keystone sta proseguendo le indagini e prevede di pubblicare un rapporto tecnico dettagliato nei prossimi giorni. L'azienda non ha divulgato alcuna prova di furto di criptovalute derivante dalla violazione, né ha confermato un calendario per il completamento delle notifiche ai clienti. Il rapporto atteso dovrebbe fornire ulteriori dettagli sull'intrusione e sui registri dei clienti coinvolti.