Производитель аппаратных кошельков Keystone уничтожит 18 835 собственных устройств

Этот ключ записывается в кошельки на этапе производства, его нельзя стереть или перезаписать. Компания заверила, что ключ не используется для генерации сид-фраз, создания приватных ключей или подписания транзакций.

Однако, завладев ключом, атакующий может создать поддельные устройства, которые успешно пройдут проверку подлинности на сайте Keystone. Если такие фальшивые устройства попадут к клиентам, которые примут их за оригинальную продукцию Keystone, эти клиенты лишатся своих криптоактивов.

Keystone полностью прекращает использование старого ключа. Все новые устройства будут выпускаться с новым ключом аутентификации. 18 835 аппаратных кошельков на складе, содержащих скомпрометированный ключ, будут уничтожены и не поступят в продажу, пообещала компания. Keystone приостановила отправку всех неоплаченных устройств, заказанных через официальный сайт, и перевела продажи в режим предзаказов — до тех пор, пока не будет налажено производство устройств с новым ключом.

20 октября системы мониторинга Keystone зафиксировали подозрительную активность на сайте. Неизвестный воспользовался уязвимостью в инструменте мониторинга данных. В результате инцидента были скомпрометированы персональные данные 25 964 покупателей, совершивших заказы на платформе Shopify с 2024 по 2026 год. В открытом доступе оказались имена, контактные данные, адреса доставки и информация о заказах. К счастью, злоумышленник не получил доступ к сид-фразам, приватным ключам и платежным данным пользователей.

Согласно внутренней политике Keystone, данные покупателей должны удаляться через 180 дней, однако автоматизированный инструмент для массового удаления сработал некорректно, оправдываются представители компании. Они признали, что скомпрометированные данные не были удалены вовремя. Хакер получил доступ к 12 873 записям о незавершенных заказах, где тоже содержались имена, контактные данные и адреса доставки.

Устройства, доставленные до 20 октября, производитель предлагает считать пригодными к использованию — если они пройдут проверку на подлинность. Покупателям, получившим кошелек со старым ключом после 20 октября, рекомендуется обратиться в службу поддержки для дополнительной проверки. Даже если устройство проходит аутентификацию, нельзя исключать вероятность того, что это подделка. 

Компания объявила, что не будет просить владельцев кошельков вернуть устройства. Любой, кто потребует отправить кошелек для замены, объявлен мошенником.

Ранее еще один крупный производитель аппаратных криптокошельков, компания Ledger признала, что группа хакеров специально скупала устройства. Злоумышленники вскрывали кошельки и устанавливали скрытые модули для перехвата сид‑фраз. Кошельки со шпионскими модулями появились даже на российском маркеплейсе Ozon.