Производитель аппаратных кошельков Keystone подтвердил утечку клиентских данных, в результате которой были раскрыты имена, контактная информация, адреса доставки и сведения о покупках после того, как неавторизованная третья сторона получила доступ к сайту компании.

Компания обнаружила подозрительную активность 20 октября 2026 года, а 23 октября, изучив активность в API Shopify, подтвердила кражу данных. В скомпрометированных записях содержались сведения о купленных товарах и их ценах — данные, которые могут быть использованы для установления личности владельцев аппаратных кошельков и их физических адресов. Поскольку аппаратные кошельки хранят приватные ключи, управляющие криптовалютными активами, в автономном режиме, записи, связывающие конкретное устройство с домашним адресом, считаются конфиденциальными, даже если сами устройства не были скомпрометированы.

Keystone публично раскрыла инцидент 24 октября в заявлении в X, подтвердив, что данные платежных карт, банковская информация, Seed-фразы, приватные ключи и пароли кошельков раскрыты не были.

С тех пор производитель заблокировал несанкционированный доступ, устранил уязвимость и начал уведомлять затронутых клиентов по электронной почте. Компания не сообщила, сколько клиентов затронула утечка и каким образом злоумышленник получил информацию.

Активность в API Shopify раскрыла данные о покупках

Расследование Keystone выявило несанкционированный доступ к инфраструктуре электронной коммерции, поддерживающей сайт компании, а не компрометацию самих аппаратных кошельков. Раскрытые данные объединяют личность клиентов и адреса доставки с конкретной историей покупок, создавая злоумышленникам возможности выдавать себя за производителя, используя подлинные детали транзакций.

Злоумышленник может ссылаться на реальный заказ клиента, приобретенное устройство или адрес доставки, пытаясь выманить дополнительную информацию с помощью мошеннических звонков, писем или сообщений. Keystone предупредила, что мошенники могут предлагать возврат средств, замену аппаратного кошелька или помощь в решении мнимых проблем с доставкой, причем такие обращения могут поступать по электронной почте, в SMS, по телефону или обычной почтой.

Компания не установила личность злоумышленника, не определила, сколько записей было похищено, и не раскрыла, была ли утечка связана с скомпрометированными учетными данными API, уязвимостью приложения или иным способом доступа. Участие Shopify в расследовании инцидента с API не означает, что более широкая инфраструктура Shopify была скомпрометирована.

Очередная утечка среди производителей кошельков

Инцидент стал продолжением серии похожих утечек с участием производителей криптовалютных кошельков и их партнеров по электронной коммерции.

В сентябре Trezor расширил расследование утечки данных у ShipMonk, обнаружив, что личная информация еще примерно 67 000 американских клиентов была раскрыта. В затронутые записи входили имена, номера телефонов, адреса электронной почты, детали доставки и история заказов вплоть до 2019 года, что значительно расширило масштабы инцидента, изначально затронувшего 13 689 клиентов.

В августе SafePal сообщила об уязвимости в отслеживании заказов, раскрывшей личную информацию сведения о покупках 39 798 клиентов. Компания связала инцидент с ошибкой авторизации в плагине, использовавшемся для доступа к информации об отправлениях.

В январе клиенты Ledger столкнулись с целевыми фишинговыми атаками после утечки у партнера по электронной коммерции Global-e: мошеннические сообщения распространялись с использованием клиентских данных, раскрытых через стороннего провайдера — последовательность, схожая с последующими мошенническими обращениями, о которых Keystone теперь предупреждает собственных клиентов.

Хотя технические причины и затронутая инфраструктура различались, в каждом случае речь шла о клиентской информации, хранившейся в коммерческих или логистических системах.

Предупреждение о поддельных устройствах для замены

Keystone призвала клиентов не переходить по ссылкам в неожиданных сообщениях и обращаться за поддержкой непосредственно на официальный сайт. Производитель особо предупредил о недопустимости ввода Seed-фраз на несанкционированно присланных устройствах для замены и передачи приватных ключей кому-либо, утверждающему, что он представляет службу поддержки компании.

Клиенты, которые уже раскрыли Seed-фразу подозреваемому мошеннику, должны считать этот кошелек скомпрометированным и перевести оставшиеся активы в новый кошелек, созданный с использованием новой Seed-фразы.

Keystone продолжает расследование и в ближайшие дни планирует опубликовать подробный технический отчет. Компания не раскрыла доказательств хищения криптовалюты в результате утечки и не подтвердила сроки завершения уведомления клиентов. В готовящемся отчете ожидается дополнительная информация об атаке и затронутых клиентских записях.