Producent portfeli sprzętowych Keystone potwierdził wyciek danych klientów, w którym ujawniono imiona i nazwiska, dane kontaktowe, adresy dostawy oraz historię zakupów po tym, jak nieuprawniona osoba trzecia uzyskała dostęp do jego strony internetowej.

Firma wykryła podejrzaną aktywność 20 października 2026 roku, a 23 października potwierdziła kradzież danych po zbadaniu aktywności API Shopify. Naruszone rekordy obejmowały zakupione produkty i ich ceny — szczegóły, które mogły posłużyć do zidentyfikowania właścicieli portfeli sprzętowych i ich adresów zamieszkania. Ponieważ portfele sprzętowe przechowują klucze prywatne kontrolujące kryptowaluty poza internetem, rekordy powiązujące konkretne urządzenie z adresem domowym są traktowane jako wrażliwe, nawet jeśli same urządzenia nie zostały naruszone.

Keystone ujawnił incydent publicznie 24 października w oświadczeniu na X, potwierdzając, że dane kart płatniczych, informacje bankowe, frazy odzyskiwania, klucze prywatne i hasła do portfeli nie zostały ujawnione.

Producent zablokował następnie nieuprawniony dostęp, załatał lukę i rozpoczął powiadamianie klientów, których dotyczy incydent, e-mailem. Nie podał, ilu klientów zostało objętych wyciekiem ani w jaki sposób atakujący uzyskał dane.

Aktywność API Shopify ujawniła historię zakupów

Śledztwo Keystona wykazało, że nieuprawniony dostępu dotyczył infrastruktury e-commerce obsługującej jego stronę internetową, a nie naruszenia urządzeń portfeli sprzętowych. Ujawnione dane łączą tożsamość klientów i adresy dostawy z konkretną historią zakupów, tworząc możliwości podszywania się przez atakujących pod producenta przy użyciu prawdziwych szczegółów transakcji.
Atakujący mógł powoływać się na rzeczywiste zamówienie klienta, zakupione urządzenie lub adres dostawy, próbując wyłudzić dalsze informacje poprzez fałszywe telefony, e-maile lub wiadomości. Keystone ostrzegł, że oszuści mogą oferować zwroty pieniędzy, wymienne portfele sprzętowe lub pomoc w rzekomych problemach z dostawą, a takie kontakty mogą przychodzić e-mailem, SMS-em, telefonicznie lub listownie.

Firma nie zidentyfikowała atakującego, nie ustaliła, ile rekordów pozyskano, ani nie ujawniła, czy włamanie wiązało się z naruszonymi danymi uwierzytelniającymi API, luką w aplikacji czy inną metodą dostępu. Zaangażowanie Shopify w badanie API nie oznacza, że szersza infrastruktura Shopify została naruszona.

Najnowszy w serii wycieków u producentów portfeli

Incydent nastąpił po serii podobnych wycieków dotyczących producentów portfeli kryptowalutowych i ich partnerów e-commerce.

We wrześniu Trezor rozszerzył śledztwo w sprawie wycieku danych w ShipMonk po odkryciu, że dane osobowe około 67 000 dodatkowych amerykańskich klientów zostały ujawnione. Naruszone rekordy obejmowały imiona i nazwiska, numery telefonów, adresy e-mail, dane dostawy i historię zamówień sięgającą 2019 roku, co znacząco rozszerzyło incydent, który początkowo obejmował 13 689 klientów.

W sierpniu SafePal ujawniło lukę w śledzeniu zamówień, która ujawniła dane osobowe i informacje o zakupach należące do 39 798 klientów. Firma wyśledziła incydent do luki autoryzacyjnej we wtyczce służącej do uzyskiwania informacji o przesyłkach.

W styczniu klienci Ledger stali się celem ukierunkowanych prób phishingu po włamaniu do partnera e-commerce Global-e, a fałszywe wiadomości rozchodziły się przy użyciu danych klientów ujawnionych przez tego zewnętrznego dostawcę — sekwencja podobna do późniejszych prób scamów, przed którymi Keystone ostrzega obecnie swoich klientów.

Chociaż przyczyny techniczne i dotknięta infrastruktura były różne, w każdym przypadku chodziło o dane klientów przechowywane w systemach handlowych lub realizacji zamówień.

Ostrzeżenie przed fałszywymi urządzeniami zastępczymi

Keystone wezwał klientów, aby unikali klikania linków w nieoczekiwanych wiadomościach i w razie potrzeby uzyskiwania wsparcia kierowali się bezpośrednio do oficjalnej strony internetowej. Producent szczególnie ostrzegł przed wpisywaniem fraz odzyskiwania do niechcianych urządzeń zastępczych oraz przed udostępnianiem kluczy prywatnych nikomu, kto podaje się za przedstawiciela jego działu obsługi klienta.

Klienci, którzy już ujawnili frazę odzyski podejrzanemu oszustowi, powinni uznać ten portfel za naruszony i przenieść pozostałe aktywa do nowego portfela wygenerowanego z nową frazą odzyskiwania.

Keystone kontynuuje śledztwo i planuje w najbliższych dniach opublikować szczegółowy raport techniczny. Firma nie ujawniła żadnych dowodów na kradzież kryptowalut w wyniku wycieku ani nie potwierdziła harmonogramu zakończenia powiadamiania klientów. Oczekuje się, że nadchodzący raport przyniesie dalsze szczegóły dotyczące włamania i naruszonych rekordów klientów.