Производитель аппаратных кошельков Keystone изъял из продаваемых запасов почти 19 000 устройств и приостановил все невыполненные заказы, оформленные через его сайт, после того как злоумышленник получил криптографический ключ, которым компания проверяет подлинность кошельков Keystone. Кража создаёт риск того, что поддельные устройства смогут пройти собственную проверку подлинности Keystone.

В заявлении, опубликованном в X, компания сообщила, что злоумышленник получил ключ WebAuth, на котором работает страница проверки подлинности устройств — механизм, с помощью которого покупатели убеждаются, что кошелёк был отправлен непосредственно производителем. Попав в чужие руки, этот ключ теоретически позволяет опытному злоумышленнику сделать поддельное устройство легитимным в глазах любого, кто проходит стандартную процедуру проверки.

Keystone уничтожает запасы и замораживает отправки

Вместо того чтобы отправлять товар, который больше нельзя надёжно проверить на подлинность, Keystone заявила, что уничтожит 18 835 устройств на складе, содержащих старый ключ WebAuth, и не будет продавать или пересылать покупателям ни один неотправленный заказ с сайта.

Утилизация почти 19 000 устройств — необычный шаг для производителя аппаратных кошельков, который свидетельствует о том, насколько серьёзно Keystone относится к проблеме аутентификации. Компания подчеркнула, что ключ WebAuth не используется для генерации мнемофраз, извлечения приватных ключей или подписания транзакций, а значит, кошельки, уже находящиеся у пользователей, остаются функционально защищёнными для управления криптоактивами.

Keystone также подтвердила, по данным Decrypt, что устройства, доставленные до 20 октября, не затронуты. Компания сообщила, что подала отчёты об инциденте в ЕС, Великобритании и других юрисдикциях, хотя это инициированные самой компанией раскрытия информации, а не выводы или принудительные меры со стороны регуляторов. Пока в официальном поле присутствуют только заявления самой Keystone; любая отдельная оценка со стороны этих органов стала бы новым событием, за которым стоит следить.

Инцидент затронул и данные клиентов

Помимо проблемы с проверкой подлинности устройств, инцидент также привёл к раскрытию персональной информации, связанной с историей заказов Keystone. По данным Decrypt, 25 964 записи покупателей по-прежнему содержат персональные данные о покупках, совершённых с 2024 по 2026 год.

Unchained приводит более широкую цифру: всего были затронуты 51 083 записи покупателей Shopify, хотя из них 25 119 записей уже были очищены от персональных данных. Цифры двух изданий арифметически согласуются: 51 083 минус 25 119 очищенных записей даёт 25 964 — ровно столько, сколько Decrypt указывает как записи, всё ещё содержащие персональные данные. Ещё 12 873 записи неоплаченных заказов также хранят имена, контактную информацию и данные доставки.

Утечка данных добавляет отдельную проблему конфиденциальности к проблеме подлинности устройств, особенно с учётом того, что клиенты аппаратных кошельков зачастую идентифицируемы как владельцы криптовалюты.

Почему кража ключа аутентификации важна с точки зрения риска подделок

Аппаратные кошельки занимают особое место доверия в криптоэкосистеме: предполагается, что это защищённые от вскрытия устройства с воздушным зазором, которые никогда не раскрывают приватные ключи компьютеру с доступом в интернет. Это обещание отчасти зависит от возможности покупателей убедиться, что они получили подлинное устройство, а не перехваченный или подменённый в пути девайс.

Ключ WebAuth на странице проверки подлинности Keystone был именно тем механизмом, который предназначался для противодействия рискам цепочки поставок. Если ключ находится у злоумышленника, любое произведённое им поддельное устройство может выдавать правдоподобный результат проверки, лишая покупателя надёжного способа отличить легитимное устройство от подделки с помощью стандартной проверки. Реакция Keystone — замена ключа и уничтожение старых запасов — согласуется с трактовкой этого пути проверки как скомпрометированного, а не поддающегося ремонту на месте.

Стоит отметить, что в публичных публикациях об инциденте не появилось ни одного подтверждённого поддельного устройства Keystone. Раскрытия компании описывают риск, созданный кражей ключа, а не доказательства того, что поддельные устройства уже дошли до покупателей.

Что делать пользователям кошельков Keystone сейчас

Для пользователей, у которых уже есть устройство Keystone, наиболее важна информация о том, что ключ WebAuth не участвует в генерации мнемофраз, извлечении приватных ключей или подписании транзакций. Существующие кошельки у легитимных владельцев напрямую не скомпрометированы кражей ключа аутентификации, а правильно сохранённые мнемофразы остаются защищёнными. Для получения рекомендаций по конкретным продуктам разумнее всего следовать официальным каналам Keystone, а не полагаться на пересказы третьих сторон.

Для покупателей, оформивших заказы на сайте, которые ещё не отправлены, Keystone сообщила, что эти заказы приостанавливаются. Компания пока публично не раскрыла сроки замены или повторной отправки, поэтому затронутым клиентам следует отслеживать официальные коммуникации Keystone. Тем, кто рассматривает покупку устройства Keystone на вторичном рынке или у реселлера, следует проявлять особую осторожность, пока компания не выпустит новые устройства с новым ключом аутентификации, поскольку устройства со старым ключом, находящиеся в обороте, невозможно проверить через прежнюю страницу подлинности.

Инцидент напоминает, что аутентификация цепочки поставок — это активная поверхность атаки для производителей аппаратных кошельков, особенно по мере роста стоимости активов, находящихся в самостоятельном хранении. Общие настроения на крипторынке находятся на уровне «Нейтрально» (48) по Индексу страха и жадности, а Bitcoin торгуется около $80,646 — это показатели того, насколько значительной стала аудитория пользователей самостоятельного хранения с существенными активами и насколько прямыми могут быть финансовые последствия компрометации устройства.

Ключевой вопрос для Keystone сейчас — как быстро она сможет выпустить устройства с новым, нескомпрометированным ключом WebAuth и предоставить покупателям надёжный альтернативный путь проверки подлинности. Пока этот процесс не завершён и не получил независимого подтверждения, механизм проверки подлинности, созданный компанией для защиты покупателей от поддельных устройств, остаётся недоступным.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительными рисками. Всегда проводите собственное исследование перед принятием решений.