Взлом Keystone: утечка данных 26 тыс. клиентов и уничтожение кошельков

Производитель аппаратных криптокошельков Keystone сообщил о взломе официального сайта. Злоумышленник получил доступ к данным 26 тыс. покупателей и к ключу проверки подлинности устройств. Инцидент выявили 20 октября. Компания отказалась от скомпрометированного ключа и уничтожает складские запасы, чтобы исключить появление подделок.

Для владельцев кошельков Keystone это значит, что их устройства могут быть уязвимы для подмены. Злоумышленник с ключом проверки теоретически способен создать фальшивое ПО или устройство, которое система примет за оригинал. При этом, как сообщает компания, защита Seed-фраз и приватных ключей осталась нетронутой. Средства на кошельках остаются в безопасности, если владелец не передавал секретные фразы третьим лицам.

Как произошёл взлом и что попало к злоумышленнику

По данным Keystone, атака стала возможна из-за уязвимости во внешнем сервисе мониторинга, который компания использовала для наблюдения за работой сайта. Через эту брешь злоумышленник получил доступ к инфраструктуре сайта и базе заказов на платформе Shopify. Утекли записи о заказах за 2024–2026 годы: имена, адреса доставки и контактные данные покупателей.

Отдельно злоумышленник завладел ключом проверки подлинности устройств. Этот ключ используется в прошивке, чтобы подтвердить, что устройство произведено Keystone. С его помощью можно создать подделку, неотличимую от оригинала для систем проверки. Поэтому компания аннулировала старый ключ и уничтожает 18 тыс. устройств на складе, чтобы они не попали к покупателям.

Производители аппаратных кошельков уже сталкивались с утечками — ранее подобные инциденты были у Ledger и Trezor. Злоумышленники обычно используют украденные данные для фишинговых атак. В России регулятор ужесточает правила обращения с криптовалютой, поэтому вопросы безопасности актуальны и для российских пользователей.

Какие меры приняла Keystone и чем рискуют владельцы кошельков

Keystone приостановила отгрузки новых устройств до запуска производства с новым ключом. Покупатели, оформившие заказы, но ещё не получившие товар, столкнутся с задержкой. Компания обещает возобновить поставки, когда будет налажен выпуск с обновлённой системой проверки подлинности.

Владельцам устройств Keystone стоит проверить подлинность через официальные каналы — компания обещает опубликовать инструкции дополнительно. Пока их нет, но риск игнорировать не стоит: злоумышленники могут рассылать фишинговые письма от имени Keystone и пытаться выманить Seed-фразу. Минфин предлагает создать инфраструктуру для защиты граждан на крипторынке, но пока каждый пользователь действует на свой страх и риск.

Специалисты по безопасности советуют не переходить по ссылкам из подозрительных писем, не сообщать Seed-фразу никому и не вводить её на незнакомых сайтах. Если есть сомнения в подлинности устройства, лучше временно не использовать его для крупных сумм. Сами средства на блокчейн-адресах не пострадали: приватные ключи не были скомпрометированы.

Компания не раскрывает, кто мог стоять за атакой, и не называет сумму ущерба. Расследование продолжается, Keystone обещает информировать клиентов о дальнейших шагах.