Keystone Hardware Wallet подтвердила, что несанкционированный доступ к её официальному сайту привёл к раскрытию имён клиентов, адресов электронной почты, номеров телефонов, адресов доставки и данных о покупках. Вторжение было обнаружено 20 октября 2026 года и подтверждено три дня спустя, 23 октября, после проверки активности программного интерфейса Shopify, согласно раскрытию информации производителем аппаратных кошельков от 24 октября.

В своём сообщении компания заявила, что неавторизованная третья сторона получила доступ к информации о заказах. Keystone заблокировала доступ, устранила выявленную уязвимость и начала расследование. Злоумышленник не установлен, число затронутых клиентов не раскрывается. В объявлении не приводится и количество скомпрометированных транзакций.

Wu Blockchain, новостной аккаунт о криптоиндустрии, опубликовал это раскрытие в X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Раскрыты данные о заказах, учётные данные кошельков не затронуты

Инцидент привёл к раскрытию записей, связанных с покупкой устройств для хранения криптовалюты, а не информации, хранящейся внутри самих кошельков. Скомпрометированные записи содержали перечень купленных товаров и уплаченных цен, а также личности покупателей и адреса доставки. Таким образом, затронутая информация связывала покупки устройств с конкретными клиентами, однако компрометация учётных данных кошельков не сообщалась.

Поскольку аппаратные кошельки являются физическими товарами, требующими доставки, их производители хранят тот же объём розничных данных, что и любой интернет-магазин, — это структурная особенность рынка, при которой данные о личности клиентов оказываются в системах онлайн-витрин независимо от того, насколько надёжно работают сами устройства.

Keystone заявила, что номера платёжных карт, банковские реквизиты, пароли от кошельков, приватные ключи и seed-фразы раскрыты не были. Её кошельки выполняют подписание транзакций в автономном режиме, обмениваясь данными по QR-коду, а не через прямое подключение к устройствам с доступом в интернет.

Инфраструктура Shopify оставляет открытые вопросы

Согласно политике конфиденциальности компании, её онлайн-магазин работает на платформе Shopify, которая обрабатывает информацию о заказах. В этой политике также указано, что записи удаляются через 180 дней, если не оформил новый заказ. Положение об удалении не уточняет, какие исторические покупки вошли в данную утечку, а в раскрытии не указаны затронутые даты покупок.

В раскрытии также не установлено, как долго сохранялась возможность несанкционированного доступа. Следователи публично не установили источник вторжения и не объяснили точный способ проникновения на сайт. Пострадавшие клиенты уведомляются по электронной почте, и компания сообщила, что представит более полный отчёт об инциденте, не указав дату публикации.

Предупреждения клиентам о фишинге

Несмотря на заверения о безопасности кошельков, Keystone предупредила клиентов о мошеннических предложениях возврата средств, схемах с «заменой устройств» и сообщениях с обещанием помощи по заказам. Такие обращения могут поступать по электронной почте, по телефону или в текстовых сообщениях. Каждое из них связано с утверждениями о заказе или устройстве клиента — именно эти категории информации содержатся в раскрытых записях. Клиентам рекомендовано не передавать seed-фразы или приватные ключи, не вводить seed-фразы в неожиданно полученные устройства для замены и не переходить по подозрительным ссылкам. Компания призвала клиентов проверять все сообщения через её официальные каналы связи.

Часть более широкой картины для продавцов аппаратных кошельков

Эта утечка присоединяется к серии инцидентов с данными клиентов у продавцов аппаратных кошельков. В августе Trezor сообщил об утечке у своего логистического провайдера ShipMonk, позднее установив примерно 67 000 дополнительных затронутых клиентов из США. SafePal также раскрыла уязвимость авторизации в функции отслеживания заказов, затронувшую 39 798 клиентов, при которой личные данные и записи о покупках были раскрыты без прямой компрометации учётных данных кошельков.

В совокупности эти инциденты затрагивают разные звенья розничной цепочки — платформу онлайн-витрины у Keystone, логистического провайдера у Trezor и функцию отслеживания заказов у SafePal. Во всех случаях раскрытая информация находилась в системах заказов или выполнения заказов, а не в механизмах подписания транзакций кошельков. Keystone пока публично не раскрыла число затронутых клиентов, способ доступа и продолжительность окна утечки. Обещанный более полный отчёт об инциденте, дата которого не названа, стал объявленным источником ответов на эти вопросы.