Производитель аппаратных криптокошельков Keystone сообщил об утечке данных на сайте, в результате которой информация о клиентах попала к злоумышленникам, что вызвало опасения относительно целевого мошенничества и физических атак.

Компания сообщила в субботу, что обнаружила подозрительную активность в начале недели и в пятницу, после проверки API-активности совместно с Shopify, подтвердила, что неавторизованная третья сторона получила доступ к информации о доставке клиентов. Утекшие данные включали имена, контактные данные, адреса доставки и другие сведения о заказах, такие как купленные товары.

«Мы заблокировали доступ, устранили уязвимость, открыли расследование и рассылаем уведомления затронутым клиентам», — сообщила компания в заявлении в X.

Keystone предупредила, что утекшая информация может быть использована для целевых фишинговых атак. Исследователь безопасности Тейлор Монэхэн выразила дополнительные опасения, отметив, что утечка адресов доставки может подвергнуть клиентов риску физических нападений и похищений. Этот инцидент подчеркивает специфическую уязвимость владельцев аппаратных кошельков: устройства созданы для того, чтобы хранить приватные ключи в офлайне, но данные клиентов, которыми располагают производители, могут быть обращены против самого владельца кошелька.

Раскрытие информации произошло на фоне роста так называемых «гаечных атак» — преступлений, при которых физические угрозы или насилие используются, чтобы заставить держателей криптовалют отдать свои активы. Компания блокчейн-безопасности CertiK зафиксировала 52 подтвержденные «гаечные атаки» по всему миру в первом полугодии 2026 года, что на 33% больше, чем 39 случаев за аналогичный период прошлого года.

«Еще раз, мы искренне сожалеем о случившемся со всеми затронутыми», — заявила Keystone. Компания не раскрыла, сколько клиентов пострадало.

Keystone задается вопросами из-за обещания удалить данные клиентов

Утечка также подняла вопросы о том, как Keystone обращается со старыми данными клиентов. В записи в блоге за 2023 год компания сообщила, что сократила срок хранения данных клиентов до 180 дней после инцидентов безопасности, затронувших других производителей аппаратных кошельков.

Однако некоторые клиенты заявили, что получили уведомления об утечке, хотя приобрели свои устройства более двух лет назад, что вызвало вопросы о том, какую информацию Keystone хранила и не означают ли эти уведомления, что старые записи о заказах не были удалены, как обещано.

Пользователь X под ником «OG DEGEN» рассказал что получил звонок от мошенника, который представлялся сотрудником правоохранительных органов, расследующих дело о мошенничестве. Судя по персональным данным, на которые ссылался звонивший, пользователь предположил, что информация была получена через заказ в Keystone, оформленный в 2024 году.

«Думаю, их план состоял в том, чтобы убедить меня, что мои приватные ключи были скомпрометированы, а затем отправить мне фишинговую ссылку для их якобы сброса», — написал пользователь в X. Такое сочетание выдачи себя за другое лицо, создания срочности и ссылки на «исправление» скомпрометированных ключей следует знакомой фишинговой схеме, цель которой — заставить пользователей ввести свою сид-фразу — набор слов, позволяющий восстановить содержимое аппаратного кошелька где угодно — на подконтрольном злоумышленникам сайте.

Другой пользователь X, trintaetres, также сообщил, что получил уведомление об утечке, хотя купил устройство более двух лет назад.

Cointelegraph обратился в Keystone с вопросами о том, как информация о клиентах, совершивших покупки более 180 дней назад, могла быть раскрыта вопреки ранее объявленной политике хранения данных, и сколько клиентов пострадало. К моменту публикации компания не ответила. Пока расследование продолжается, затронутые клиенты и наблюдатели будут следить за тем, объяснит ли Keystone, почему записи за пределами 180-дневного окна, судя по всему, сохранились, и сколько человек подверглось утечке.