Keystone, производитель аппаратных биткоин-кошельков, которые хранят приватные коды, управляющие криптовалютой пользователей, в офлайн-режиме, объявила в понедельник, что уничтожит 18 835 нераспроданных устройств после того, как злоумышленник получил постоянный заводской ключ, используемый для подтверждения подлинности её продукции. Компания также приостановила отправку всех невыполненных заказов, оформленных через её сайт.

Взлом, обнаруженный 20 октября, также затронул 25 964 записи покупателей из Shopify-магазина Keystone за 2024–2026 годы, включая имена, контактные данные и адреса доставки. Keystone сообщает, что секретные фразы восстановления и приватные ключи не были затронуты, а устройства, доставленные до 20 октября, не пострадали.

Для покупателей практический риск заключается в появлении поддельного кошелька, который выглядит совершенно новым и проходит собственную проверку Keystone, поскольку злоумышленник получил именно тот ключ, на котором основана эта проверка. Мошенник затем мог бы продать такое устройство человеку, который переведёт на него реальные сбережения.

«Если этот ключ раскрыт, злоумышленник может использовать его для производства поддельных устройств, проходящих проверку подлинности», — говорится в заявлении Keystone. «Такие устройства затем могут быть проданы или отправлены клиентам, которые по незнанию могут использовать их как оригинальные, что потенциально приведёт к краже активов».

Keystone называет скомпрометированный ключ ключом WebAuth — секретным кодом, записанным в каждое устройство на заводе, чтобы страница на сайте компании могла подтвердить подлинность оборудования. Его нельзя стереть или перезаписать, поэтому 18 835 единиц на складе, содержащих этот ключ, будут уничтожены, а не проданы, а будущие устройства будут построены вокруг нового ключа.

Впервые Keystone сообщила в субботу, что третья сторона получила информацию о доставке клиентов. В заявлении в понедельник были добавлены сведения о похищенном ключе и числе затронутых записей — 25 964, однако в нём не указано, кто несёт ответственность и когда злоумышленник впервые получил доступ.

Инцидент затронул записи из Shopify-магазина Keystone — платформы электронной коммерции, через которую осуществлялись онлайн-продажи. По данным Keystone, всего были задействованы 51 083 записи покупателей, но у 25 119 личные данные уже были удалены, в результате чего осталось 25 964 записи за 2024–2026 годы, всё ещё содержащих имена, контактные данные, адреса доставки и информацию о заказах. Покупки через Amazon и другие каналы не пострадали.

Часть этих данных должна была быть уже удалена, то есть часть утёкшей информации составляли записи, которые Keystone обязалась стереть. Политика компании предусматривала удаление записей покупателей через 180 дней, однако созданный для этого инструмент автоматического массового удаления работал ненадёжно.

«Некоторые задачи по удалению не были выполнены, и мы не выявили и не устранили эти сбои вовремя, в результате чего определённая личная информация хранилась дольше разрешённого периода», — заявила Keystone. «Мы не выполнили своё обязательство по своевременному удалению данных клиентов и принимаем ответственность за этот сбой».

Списки клиентов остаются постоянной уязвимостью для производителей аппаратных кошельков. Утечка данных Ledger в 2020 году в итоге затронула около 292 000 клиентов, и те, кто затем получал фишинговые письма, опасались стать жертвами ограблений с проникновением в жилище. В августе о взломах данных клиентов объявили также Trezor и SafePal, затронувшие 13 689 и около 39 798 клиентов соответственно.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Имена и адреса имеют значение из-за так называемых «гаечных атак» (wrench attacks), при которых преступники с помощью угроз или физического насилия заставляют владельцев отдать свою криптовалюту. По данным Chainalysis, в первом полугодии 2026 года произошло 46 таких нападений, в результате которых было похищено более 30 млн долларов.

Производитель также предупредил о мошенниках, предлагающих «перенос активов», «проверку кошелька» или «помощь в расследовании».

«Мы не будем просить вас вернуть устройство», — заявила компания. «Любого, кто обращается к вам под предлогом „отзыва“ и просит отправить устройство ему, следует считать мошенником».

Продажи на сайте Keystone перейдут в режим предзаказов до завершения производства устройств с новым ключом, и компания сообщает, что направила отчёты властям ЕС, Великобритании и других юрисдикций.

Keystone сократила срок хранения данных клиентов со 180 до 90 дней и 24 октября обратилась к Shopify с просьбой удалить все просроченные данные покупателей — процесс с десятидневным периодом ожидания. Компания ожидает завершения удаления к 3 ноября, что даёт затронутым клиентам конкретную дату.