Keystone Hardware Wallet ha confermato che il suo sito ufficiale è stato oggetto di un accesso non autorizzato, esponendo nomi dei clienti, dati di contatto, indirizzi di spedizione e informazioni sugli ordini. L'azienda ha reso nota la violazione sabato, al termine di una revisione durata diversi giorni, dichiarando che i dati di pagamento e tutte le credenziali di sicurezza legate al wallet non sono state compromesse.

L'accesso non autorizzato si è verificato il 20 ottobre. Secondo Keystone, l'azienda ha rilevato un'attività sospetta e ha quindi esaminato l'attività API con Shopify, il suo provider di e-commerce. Entro il 23 ottobre, Keystone aveva confermato che una terza parte aveva ottenuto i dati dei clienti. L'azienda ha successivamente bloccato l'accesso non autorizzato e corretto la vulnerabilità alla base.

La notizia della conferma è stata condivisa su X dal media dedicato alla blockchain Wu Blockchain:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access

Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Quali dati sono stati esposti

Secondo la comunicazione dell'azienda, le informazioni esposte includono nomi dei clienti, dati di contatto e indirizzi di spedizione, oltre ai dettagli degli ordini, come gli articoli acquistati e i relativi prezzi. Keystone ha dichiarato che i dati delle carte di pagamento e bancari non sono stati compromessi, e che anche password dei wallet, chiavi private e frasi di recupero non sono state toccate. Queste credenziali sono ciò che in ultima analisi controlla l'accesso ai fondi nell'autocustodia, ed è per questo che la comunicazione ha tracciato una netta linea di demarcazione tra i record degli ordini e la sicurezza del wallet.

L'azienda non ha reso noto quanti clienti siano stati coinvolti, né ha specificato esattamente come si è verificato l'accesso non autorizzato. Keystone ha avviato un'indagine, definita accurata, e sta avvisando i clienti coinvolti via email.

Avvertenze sulle truffe per i clienti

Keystone ha messo in guardia sul fatto che truffatori potrebbero sfruttare l'accaduto spacciandosi per rappresentanti dell'azienda, offrendo potenzialmente rimborsi, dispositivi sostitutivi o assistenza con ordini e indirizzi di spedizione. L'azienda ha invitato i clienti a evitare link non richiesti e ha ribadito di non chiedere mai frasi di recupero o chiavi private. Ai clienti è stato inoltre consigliato di non inserire frasi di recupero in dispositivi che non hanno ordinato. Poiché i record esposti mostrano esattamente chi ha ordinato un dispositivo e dove è stato spedito, le avvertenze trattano l'incidente principalmente come un rischio di presa di mira dei clienti anziché come una minaccia diretta ai fondi conservati.

Un giorno prima della conferma ufficiale, un utente di X noto come OG Degen ha riferito di aver ricevuto una chiamata da un numero spoofato della SPVM di Montreal, affermando che il chiamante aveva tentato un'ingegneria sociale ai suoi danni. Anche il fondatore di Binance CZ ha commentato la violazione su X.

Informazioni su Keystone

Keystone è un brand di wallet con sede a Hong Kong, noto per il suo approccio air-gapped alla firma delle transazioni tramite codici QR, una soluzione che mantiene le chiavi private offline senza connessioni USB, Bluetooth o Wi-Fi. Nata con un focus su Bitcoin, l'azienda si è evoluta in un wallet multichain e ora supporta Ethereum, Solana, Polkadot e Cosmos tramite integrazioni con software wallet come MetaMask, Solflare, Keplr, Rabby e OKX Wallet.

Incidenti di sicurezza a livello di settore nel 2026

La comunicazione di Keystone si aggiunge a una serie di problemi di sicurezza che hanno coinvolto i produttori di hardware wallet nel 2026. Trezor ha reso noto ad agosto un data breach riguardante i dati dei clienti presso il suo fornitore logistico, ShipMonk. Ledger ha confermato all'inizio di questo mese che dei criminali avevano modificato wallet autentici per rubare le frasi di recupero, rivendendoli poi tramite rivenditori del Sud-est asiatico. Coldcard ha affrontato un bug relativo alla generazione debole dei seed, e Safepal ha comunicato una violazione delle informazioni dei clienti. Nel loro complesso, gli incidenti mostrano come i record dei clienti legati a ordini e spedizioni — dalle vetrine e-commerce ai partner logistici — siano diventati per i produttori di hardware wallet un punto di esposizione ricorrente quest'anno.

I prossimi passi

Keystone ha dichiarato di prevedere di pubblicare nei prossimi giorni una relazione dettagliata sulla propria indagine. L'azienda ha diffuso la comunicazione iniziale su X sabato alle 13:59 ET. Nel frattempo, i clienti coinvolti riceveranno le notifiche via email, e le indicazioni dell'azienda restano quelle di trattare i contatti non richiesti — in particolare qualsiasi richiesta di una frase di recupero — come un segnale d'allarme.

Fonte: CoinCentral