Keystone Hardware Wallet potwierdził, że nieautoryzowany dostęp do oficjalnej strony firmy ujawnił imiona i nazwiska klientów, adresy e-mail, numery telefonów, adresy wysyłki oraz rejestry zakupów. Włamanie wykryto 20 października 2026 r., a potwierdzono je trzy dni później, 23 października, po analizie aktywności interfejsu API Shopify, zgodnie z komunikatem producenta portfeli sprzętowych z 24 października.

W komunikacie firma oświadczyła, że nieautoryzowana osoba trzecia uzyskała informacje o zamówieniach. Keystone zablokował dostęp, usunął zidentyfikowaną lukę i wszczął śledztwo. Firma nie zidentyfikowała sprawcy, a liczba poszkodowanych klientów pozostaje nieujawniona. Ogłoszeniu nie towarzyszyła also suma zagrożonych transakcji.

Wu Blockchain, konto branżowe poświęcone kryptowalutom, udostępniło komunikat na X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Ujawnione rejestry zamówień, dane logowania do portfeli nietknięte

Incydent ujawnił rejestry związane z zakupami urządzeń do przechowywania kryptowalut, a nie informacje przechowywane w samych portfelach. Zagrożone rejestry zawierały listę kupionych produktów i cen, jakie klienci zapłacili, wraz z ich danymi osobowymi i miejscami dostawy. Informacje te powiązały zatem zakupy urządzeń z konkretnymi klientami, jednak nie odnotowano naruszenia danych logowania do portfeli.

Ponieważ portfele sprzętowe są towarami fizycznymi, które trzeba wysyłać, ich producenci przechowują tę samą kategorię rejestrów sprzedaży co każdy sklep internetowy — jest to strukturalna cecha rynku, która umieszcza dane osobowe klientów w systemach sklepów niezależnie od tego, jak bezpiecznie działają same urządzenia.

Keystone oświadczył, że numery kart płatniczych, dane kont bankowych, hasła portfeli, klucze prywatne i frazy odzyskiwania nie zostały ujawnione. Jego portfele podpisują transakcje offline, komunikując się za pomocą kodów QR zamiast przez bezpośrednie połączenia z urządzeniami podłączonymi do internetu.

Infrastruktura Shopifyostawia otwarte pytania

Shopify obsługuje sklep internetowy producenta i przetwarza informacje o zamówieniach, zgodnie z polityką prywatności firmy. Polityka ta stanowi również, że rejestry są usuwane po 180 dniach, jeśli klient nie złożył kolejnego zamówienia. Zapis o usuwaniu nie wskazuje, które historyczne zakupy zostały objęte tym wyciekiem, a komunikat nie określił dat zakupów, których dotyczy incydent.

Komunikat nie ustalił również, jak długo możliwy był nieautoryzowany dostęp. Śledczy nie przypisali publicznie włamania ani nie wyjaśnili dokładnej metody, jaką użyto, aby dostać się na stronę. Poszkodowani klienci są powiadamiani e-mailem, a firma zapowiedziała pełniejszy raport z incydentu, podając jednak datę jego publikacji.

Ostrzeżenia klientów przed phishingiem

Mimo zapewnień o bezpieczeństwie portfeli Keystone ostrzegł klientów przed fałszywymi ofertami zwrotu pieniędzy, schematami związanymi z wymianą urządzeń oraz wiadomościami rzekomo udzielającymi pomocy w sprawie zamówień. Takie kontakty mogą pojawiać się w e-mailach, telefonach lub SMS-ach. Każdy z nich odnosi się do zamówienia lub urządzenia klienta — czyli kategorii informacji zawartych w ujawnionych rejestrach. Klienci zostali ostrzeżeni, aby nie udostępniać fraz odzyskiwania ani kluczy prywatnych, nie wpisywać fraz odzyskiwania do nieoczekiwanych urządzeń zastępczych i nie klikać podejrzanych linków. Firma wezwała klientów do weryfikacji całej komunikacji poprzez swoje oficjalne kanały.

Część szerszego wzorca wśród sprzedawców portfeli sprzętowych

Ten wyciek dołącza do serii incydentów z danymi klientów dotyczących sprzedawców portfeli sprzętowych. W sierpniu Trezor ujawnił wyciek u swojego dostawcy wysyłki ShipMonk, później identyfikując około 67 000 dodatkowych poszkodowanych klientów z USA. SafePal również ujawnił lukę w autoryzacji śledzenia zamówień, która dotknęła 39 798 klientów, w ramach której dane osobowe i rejestry zakupów zostały ujawnione bez bezpośredniego naruszenia danych logowania do portfeli.

Razem te incydenty obejmują różne warstwy łańcucha sprzedaży — platformę sklepową w przypadku Keystone, dostawcę wysyłki w przypadku Trezor oraz funkcję śledzenia zamówień w przypadku SafePal. We wszystkich tych incydentach ujawnione informacje znajdowały się w systemach zamówień lub realizacji wysyłek, a nie w mechanizmach podpisywania transakcji portfeli. Keystone nie ujawnił jeszcze publicznie liczby poszkodowanych klientów, wykorzystanej metody dostępu ani okresu ekspozycji. Obiecany pełniejszy raport z incydentu, bez podanej daty, jest zapowiedzianą drogą do uzyskania tych odpowiedzi.