Keystone, produttore di hardware wallet Bitcoin che mantengono offline i codici segreti che controllano le criptovalute degli utenti, ha dichiarato lunedì che distruggerà 18.835 dispositivi invenduti dopo che un attaccante ha ottenuto la chiave permanente di fabbrica utilizzata per verificare l'autenticità dei suoi prodotti. L'azienda ha inoltre sospeso la spedizione di tutti gli ordini non ancora evasi effettuati tramite il suo sito web.

La violazione, rilevata il 20 ottobre, ha inoltre interessato 25.964 record di acquirenti dello store Shopify di Keystone, relativi al periodo 2024-2026 e contenenti nomi, dati di contatto e indirizzi di spedizione. Keystone precisa che le frasi di recupero e le chiavi private non sono state coinvolte e che i dispositivi consegnati prima del 20 ottobre non sono interessati.

Per gli acquirenti, il rischio concreto è un wallet contraffatto che sembra nuovo di zecca e supera il controllo di verifica di Keystone stesso, poiché l'attaccante ha ottenuto proprio la chiave su cui si basa il controllo. Un criminale potrebbe quindi vendere tale dispositivo a qualcuno che vi trasferisce risparmi reali.

"Se viene esposta, un attaccante potrebbe utilizzarla per produrre dispositivi contraffatti che superano i controlli di autenticazione", ha dichiarato Keystone nel suo comunicato. "Questi dispositivi potrebbero poi essere venduti o spediti a clienti, che potrebbero utilizzarli inconsapevolmente come prodotti autentici, con potenziale furto di asset".

Keystone definisce la credenziale compromessa una chiave WebAuth, un codice segreto scritto in ogni dispositivo in fabbrica affinché una pagina del sito dell'azienda possa confermare che l'hardware è autentico. Non può essere cancellata o riscritta, ed è per questo che le 18.835 unità in magazzino che la contengono saranno distrutte anziché vendute — e perché i dispositivi futuri dovranno essere costruiti attorno a una nuova chiave.

Keystone aveva comunicato sabato che una terza parte aveva ottenuto le informazioni di spedizione dei clienti. Il comunicato di lunedì ha aggiunto la chiave rubata e il conteggio di 25.964 record di acquirenti coinvolti, ma non indica chi sia il responsabile né quando l'attaccante abbia ottenuto l'accesso.

L'incidente ha interessato i record dello store Shopify di Keystone, la piattaforma di e-commerce che gestiva le vendite online dell'azienda. Keystone dichiara che erano coinvolti in totale 51.083 record di acquirenti, ma 25.119 erano già stati privati delle informazioni personali, lasciando 25.964 record dal 2024 al 2026 che contenevano ancora nomi, dati di contatto, indirizzi di spedizione e informazioni sugli ordini. Gli acquisti effettuati tramite Amazon e altri canali non sono stati interessati.

Una parte di quei dati sarebbe già dovuta essere eliminata, il che significa che una parte di ciò che la violazione ha esposto consisteva in record che Keystone si era impegnata a cancellare. La politica dell'azienda prevedeva la cancellazione dei record degli acquirenti dopo 180 giorni, ma lo strumento automatizzato di eliminazione di massa creato a tal fine non funzionava in modo affidabile.

"Alcune attività di cancellazione sono fallite e non abbiamo rilevato e affrontato tempestivamente questi guasti, con il risultato che alcune informazioni personali sono state conservate oltre il periodo consentito", ha dichiarato Keystone. "Non abbiamo mantenuto l'impegno di cancellare i dati dei clienti nei tempi previsti e ci assumiamo la responsabilità di questo fallimento".

Gli elenchi di clienti sono un punto debole ricorrente per i produttori di hardware wallet. La fuga di dati di Ledger nel 2020 ha finito per coinvolgere circa 292.000 clienti, e coloro che hanno successivamente ricevuto e-mail di phishing temevano di diventare bersaglio di rapine domestiche. Trezor e SafePal hanno ciascuna segnalato violazioni dei dati dei clienti ad agosto, interessando rispettivamente 13.689 clienti e circa 39.798 clienti.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Nomi e indirizzi sono importanti a causa dei cosiddetti attacchi "wrench", in cui i criminali ricorrono a minacce o violenza fisica per costringere i proprietari a consegnare le proprie criptovalute. Chainalysis ha conteggiato 46 attacchi violenti nella prima metà del 2026, con oltre 30 milioni di dollari rubati.

Il produttore ha inoltre avvertito della presenza di truffatori che offrono "migrazione di asset", "verifica del wallet" o "assistenza alle indagini".

"Non ti chiederemo mai di restituire il tuo dispositivo", ha affermato l'azienda. "Chiunque ti contatti con il pretesto di un 'ritiro' chiedendoti di spedire il tuo dispositivo va considerato un truffatore".

Le vendite sul sito di Keystone passeranno ai preordini fino al completamento della produzione di dispositivi con una nuova chiave, e l'azienda dichiara di aver presentato segnalazioni alle autorità dell'UE, del Regno Unito e di altre giurisdizioni.

Keystone ha ridotto il periodo di conservazione dei dati dei clienti da 180 a 90 giorni e ha chiesto a Shopify il 24 ottobre di cancellare tutti i dati scaduti degli acquirenti, un processo che prevede un periodo di attesa di 10 giorni. L'azienda prevede che la cancellazione si concluderà il 3 novembre, offrendo ai clienti coinvolti una data concreta su cui contare.