Keystone, producent sprzętowych portfeli Bitcoin, które przechowują kody prywatne kontrolujące kryptowaluty użytkowników offline, poinformował w poniedziałek, że zniszczy 18 835 niesprzedanych urządzeń po tym, jak atakujący uzyskał stały klucz fabryczny używany do weryfikacji autentyczności produktów. Firma wstrzymała również wysyłkę wszystkich niewysłanych zamówień złożonych za pośrednictwem swojej strony internetowej.

Włamanie, wykryte 20 października, objęło także 25 964 rekordy klientów ze sklepu Shopify firmy Keystone, obejmujące lata 2024–2026 i zawierające imiona i nazwiska, dane kontaktowe oraz adresy wysyłkowe. Keystone zapewnia, że frazy odzyskiwania i klucze prywatne nie zostały naruszone, a urządzenia dostarczone przed 20 października są bezpieczne.

Dla kupujących realne ryzyko stanowi podrobiony portfel, który wygląda na nowy i przechodzi weryfikację samego Keystone, ponieważ atakujący zdobył właśnie klucz, na którym opiera się ta weryfikacja. Przestępca mógłby następnie sprzedać takie urządzenie osobie, która przechowa na nim prawdziwe oszczędności.

„Jeśli zostanie ujawniony, atakujący mógłby użyć go do produkcji podrobionych urządzeń, które przechodzą kontrole uwierzytelniania” — powiedział Keystone w oświadczeniu. „Takie urządzenia mogłyby następnie zostać sprzedane lub wysłane klientom, którzy mogą nieświadomie używać ich jako oryginalnych produktów, co może skutkować kradzieżą aktywów”.

Keystone nazywa naruszone dane uwierzytelniające kluczem WebAuth — tajnym kodem zapisanym w każdym urządzeniu w fabryce, dzięki któremu strona internetowa firmy może potwierdzić autentyczność sprzętu. Nie można go wymazać ani nadpisać, dlatego 18 835 jednostek w magazynie, które go zawierają, zostanie zniszczonych zamiast sprzedanych — a przyszłe urządzenia będą musiały zostać zbudowane wokół nowego klucza.

Keystone po raz pierwszy poinformował w sobotę, że strona trzecia uzyskała dane wysyłkowe klientów. Poniedziałkowe oświadczenie dodało informację o skradzionym kluczu oraz liczbę 25 964 dotkniętych rekordów klientów, ale nie wskazuje, kto odpowiada za atak ani kiedy atakujący uzyskał dostęp po raz pierwszy.

Incydent objął rekordy ze sklepu Shopify firmy Keystone, platformy e-commerce obsługującej jej sprzedaż internetową. Według Keystone zaangażowanych było łącznie 51 083 rekordów klientów, ale 25 119 z nich miało już usunięte dane osobowe, co pozostawia 25 964 rekordy z lat 2024–2026 zawierające nadal imiona i nazwiska, dane kontaktowe, adresy wysyłkowe oraz informacje o zamówieniach. Zakupy dokonane przez Amazon i inne kanały nie zostały objęte incydentem.

Część tych danych powinna już zostać usunięta, co oznacza, że część tego, co ujawniło włamanie, stanowiły rekordy, które Keystone zobowiązał się wykreślić. Zgodnie z polityką firmy dane klientów miały być usuwane po 180 dniach, ale zbudowane w tym celu zautomatyzowane narzędzie do masowego usuwania nie działało niezawodnie.

„Niektóre zadania usuwania nie powiodły się, a nie wykryliśmy i nie usunęliśmy tych awarii w odpowiednim czasie, w wyniku czego pewne dane osobowe były przechowywane dłużej niż dozwolony okres” — powiedział Keystone. „Nie dotrzymaliśmy zobowiązania do terminowego usunięcia danych klientów i ponosimy odpowiedzialność za tę porażkę”.

Listy klientów to powtarzający się słaby punkt producentów portfeli sprzętowych. Wyciek z 2020 roku w firmie Ledger dotyczył ostatecznie około 292 000 klientów, a osoby, które otrzymały później wiadomości phishingowe, obawiały się, że mogą stać się celem napadów włamaniowych. Trezor i SafePal każda ujawniły w sierpniu naruszenia danych klientów, dotykające odpowiednio 13 689 i około 39 798 klientów.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Imiona, nazwiska i adresy mają znaczenie ze względu na tzw. ataki kluczem, w których przestępcy używają gróźb lub przemocy fizycznej, aby zmusić właścicieli do wydania kryptowalut. Według Chainalysis w pierwszej połowie 2026 roku odnotowano 46 ataków z użyciem przemocy, a skradziono ponad 30 milionów dolarów.

Producent ostrzegł również przed oszustami oferującymi „migrację aktywów”, „weryfikację portfela” lub „pomoc w dochodzeniu”.

„Nie poprosimy Cię o odesłanie urządzenia” — zapewniła firma. „Każda osoba kontaktująca się z Tobą pod pretekstem „akcji przywoławczej” i prosząca o odesłanie urządzenia powinna być traktowana jako oszust”.

Sprzedaż na stronie Keystone przejdzie w tryb przedsprzedaży do czasu zakończenia produkcji urządzeń z nowym kluczem, a firma poinformowała, że złożyła zgłoszenia organom w UE, Wielkiej Brytanii i innych jurysdykcjach.

Keystone skrócił okres przechowywania danych klientów ze 180 do 90 dni i zwrócił się do Shopify 24 października z prośbą o usunięcie wszystkich zaległych danych klientów — proces ten wiąże się z 10-dniowym okresem oczekiwania. Firma oczekuje, że usunięcie zakończy się 3 listopada, dając dotkniętym klientom konkretną datę do obserwowania.