Keystone Hardware Wallet ha confermato che un accesso non autorizzato al suo sito ufficiale ha esposto nomi dei clienti, indirizzi email, numeri di telefono, indirizzi di spedizione e registri degli acquisti. L'intrusione è stata rilevata il 20 ottobre 2026 e confermata tre giorni dopo, il 23 ottobre, in seguito a una revisione dell'attività delle interfacce di programmazione (API) di Shopify, secondo una divulgazione del 24 ottobre da parte del produttore di hardware wallet.

Nella divulgazione, l'azienda ha dichiarato che una terza parte non autorizzata aveva ottenuto informazioni sugli ordini. Keystone ha bloccato l'accesso, corretto la vulnerabilità identificata e aperto un'indagine. L'azienda non ha identificato l'attaccante e il numero di clienti coinvolti resta non divulgato. Nessun conteggio delle transazioni compromesse ha accompagnato l'annuncio.

Wu Blockchain, un account di notizie del settore crypto, ha condiviso la divulgazione su X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Record degli ordini esposti, credenziali dei wallet illesi

L'incidente ha esposto record collegati agli acquisti di dispositivi di archiviazione di criptovalute, anziché informazioni conservate all'interno dei wallet stessi. I record compromessi elencavano i prodotti acquistati dai clienti e i prezzi pagati, insieme alle loro identità e ai luoghi di consegna. Le informazioni interessate collegavano quindi gli acquisti di dispositivi a clienti identificabili, ma non è stata segnalata alcuna compromissione delle credenziali dei wallet.

Poiché gli hardware wallet sono beni fisici che devono essere spediti, i loro produttori conservano la stessa categoria di registri commerciali di qualsiasi commerciante e-commerce, una caratteristica strutturale del mercato che colloca i dati identificativi dei clienti nei sistemi dei negozi online, indipendentemente dalla sicurezza operativa dei dispositivi stessi.

Keystone ha dichiarato che i numeri delle carte di pagamento, i dettagli bancari, le password dei wallet, le chiavi private e le frasi di recupero non sono stati esposti. I suoi wallet firmano le transazioni offline, comunicando tramite codice QR anziché tramite connessioni dirette a dispositivi connessi a internet.

L'infrastruttura Shopify lascia interrogativi aperti

Shopify gestisce il negozio online del produttore ed elabora le informazioni sugli ordini, secondo l'informativa sulla privacy dell'azienda. Tale informativa indica inoltre che i record vengono eliminati dopo 180 giorni quando un cliente non ha effettuato altri ordini. La clausola di eliminazione non identifica quali acquisti storici erano inclusi in questa violazione, e la divulgazione non ha specificato le date degli acquisti interessati.

La divulgazione non ha inoltre stabo per quanto tempo l'accesso non autorizzato è rimasto possibile. Gli investigatori non hanno attribuito pubblicamente l'intrusione né spiegato il metodo preciso utilizzato per entrare nel sito. I clienti coinvolti vengono informati via email, e l'azienda ha dichiarato che seguirà un rapporto più completo sull'incidente, pur senza fornire una data di pubblicazione.

Avvertenze sul phishing ai clienti

Nonostante le rassicurazioni sulla sicurezza dei wallet, Keystone ha avvertito i clienti di fare attenzione a offerte di rimborso fraudolente, schemi di sostituzione dei dispositivi e messaggi che sostengono di fornire assistenza sugli ordini. Tali approcci possono arrivare tramite email, telefonate o messaggi di testo. Ciascuno coinvolge affermazioni relative all'ordine o al dispositivo di un cliente — le categorie di informazioni contenute nei record esposti. Ai clienti è stato consigliato di non condividere frasi di recupero o chiavi private, di non inserire frasi di recupero in dispositivi di sostituzione inattesi e di non seguire link sospetti. L'azienda ha esortato i clienti a verificare ogni comunicazione tramite i suoi canali ufficiali.

Parte di un modello più ampio per i venditori di hardware wallet

La violazione si aggiunge a una serie di incidenti sui dati dei clienti che coinvolgono venditori di hardware wallet. Ad agosto, Trezor ha divulgato una violazione presso il suo fornitore di spedizioni ShipMonk, identificando successivamente circa 67.000 ulteriori clienti statunitensi coinvolti. Anche SafePal ha divulgato un difetto di autorizzazione nel tracciamento degli ordini che ha coinvolto 39.798 clienti, nel quale i record personali e degli acquisti sono stati esposti senza compromissione diretta delle credenziali dei wallet.

Nel loro insieme, gli incidenti interessano diversi livelli della catena di vendita al dettaglio — una piattaforma di negozio online per Keystone, un fornitore di spedizioni per Trezor e una funzione di tracciamento degli ordini per SafePal. In questi incidenti, le informazioni esposte si trovavano nei sistemi di ordinazione o di evasione anziché nei meccanismi di firma dei wallet. Keystone deve ancora divulgare pubblicamente il numero di clienti coinvolti, il metodo di accesso sottostante o la finestra di esposizione. Il rapporto più completo sull'incidente, per il quale non è stata fornita alcuna data, è la via annunciata per ottenere queste risposte.