Производитель аппаратных кошельков Keystone призвал пользователей обновить приложение Nexus до версии 1.3.7 после того, как кибератака нарушила работу части сервисов приложения. Об этом было объявлено в пятницу, 6 ноября, и это уже третье предупреждение о безопасности, выпущенное компанией примерно за две недели — после утечки клиентских данных в её интернет-магазине и кражи ключа, используемого для подтверждения подлинности её устройств.

Атака на приложение Nexus и исправление v1.3.7

В посте в X Keystone сообщила, что часть сервисов Nexus App была скомпрометирована в результате кибератаки, и ряд пользователей в течение некоторого времени не мог запустить приложение. По данным компании, её команда отреагировала на инцидент и усилила защиту серверов. В объявлении Keystone не уточнила, какие именно сервисы были затронуты, и не назвала исполнителей атаки.

После расследования Keystone написала, что «не нашла признаков того, что пользовательские активы или личная информация были затронуты». Компания принесла извинения за перерыв в работе и призвала пользователей обновить приложение до v1.3.7. Также она посоветовала убедиться, что в любом загружаемом приложении разработчиком указана «Yanssie HK Limited», добавив, что приложение без указанного разработчика не принадлежит Keystone.

Взлом магазина, раскрывший 25 964 записи покупателей

Первое предупреждение касалось проникновения злоумышленника в интернет-магазин Keystone на базе Shopify. Согласно более раннему репортажу Cryptopolitan, несанкционированный доступ был обнаружен 20 октября, а 23 октября компания подтвердила, что третья сторона извлекла данные клиентов о доставке, и обнародовала эту информацию на следующий день.

Украденные записи содержали имена, контактные данные, адреса доставки и информацию о заказах, включая сведения о приобретённых устройствах. Компания сообщила, что платёжные карты, банковские реквизиты, seed-фразы и приватные ключи не были раскрыты.

Сообщалось, что среди украденных данных были 25 964 записи покупателей за покупки с 2024 по 2026 год. Keystone также в качестве меры предосторожности учла 12 873 записи незавершённых платежей.

Поскольку в утечку попали домашние адреса, исследователь безопасности Тейлор Монэhan (Taylor Monahan) указала, что это может подвергнуть владельцев риску «удара гаечным ключом» — физических угроз, применяемых для принуждения владельцев к передаче криптовалюты. Платформа крипто-безопасности Certik зафиксировала 52 подобные атаки в первом полугодии 2026 года против 39 инцидентов за предыдущий год.

18 835 кошельков отправятся на уничтожение

Через несколько дней после сообщения о краже клиентских данных Keystone снова оказалась в новостях: по словам компании, тот же злоумышленник, ответственный за первую атаку, также похитил ключ WebAuth, которым устройства доказывают свою подлинность. По имеющимся данным, злоумышленник использовал уязвимость в стороннем инструменте мониторинга на сайте компании для повышения привилегий, а затем захватил как клиентские данные, так и ключ.

Проблема существенна, потому что ключ прошивается в каждое устройство при производстве и не может быть переписан. Любой, кто обладает ключом, мог бы изготовить поддельное устройство, проходящее собственную проверку подлинности Keystone. В ответ Keystone решила уничтожить все 18 835 нераспроданных устройств со скомпрометированным ключом.

Компания сообщила, что кошелёк, доставленный до 20 октября и проходящий проверку, является подлинным. Для устройств со старым ключом, полученных после этой даты, она «не может полностью исключить вероятность того, что оно поддельное», и посоветовала их владельцам обратиться в поддержку перед использованием. Признаков подделок или краж до сих пор не зафиксировано.

Срок хранения сокращён до 90 дней после сбоя инструмента удаления

Keystone заявляла, что удаляет данные о доставке через 180 дней после заказа, однако клиенты сообщали о получении уведомлений об утечке по покупкам двухлетней давности, как сообщал Cryptopolitan. Автоматический инструмент удаления компании не сработал, и старые записи остались на месте.

Впоследствии Keystone сократила срок хранения данных до 90 дней и попросила Shopify удалить личные данные старше этого срока; просроченные записи, как ожидается, будут удалены к 3 ноября. Конкурент OneKey также ограничил собственный срок хранения 30 днями после инцидента с Keystone.

Криптовалютные проекты в 2026 году переживают непростой период кибератак, и провайдеры аппаратных кошельков не остались в стороне. В августе утечка данных в ShipMonk, логистическом партнёре Trezor, затронула около 81 000 клиентов. SafePal раскрыла данные около 39 798 пользователей из-за уязвимости в системе отслеживания заказов, а Ledger обнаружила скрытые чипы в перепроданных устройствах, которые ончейн-исследователи связали с потерями свыше 86 млн долларов. Серия предупреждений Keystone за две недели отражает этот масштаб: инциденты затронули её магазин, инструменты на сайте, запас нераспроданных устройств и сервисы приложения.