Violazione dati Keystone Wallet: indirizzi acquirenti esposti ai truffatori

La violazione dei dati dei clienti di Keystone espone gli acquirenti a truffe mirate

Un portafoglio hardware progettato per conservare offline le chiavi delle criptovalute ha riscontrato un problema di sicurezza in un ambito completamente diverso: il proprio negozio online. Sabato, alle 13:59 ET, Keystone ha reso noto che un soggetto non autorizzato aveva ottenuto le informazioni di spedizione dei clienti tramite il proprio sito web, fornendo potenzialmente ai truffatori i dati personali necessari per spacciarsi per l’azienda.

Keystone sostiene che le frasi di recupero, le chiavi private e le informazioni di pagamento non siano state compromesse, ma l’incidente solleva una domanda scomoda su quanto sia efficace la protezione offerta da un portafoglio offline quando l’identità e l’indirizzo del suo proprietario vengono esposti.

Keystone conferma l’accesso non autorizzato

Keystone ha reso noto su X di aver rilevato un accesso sospetto il 20 ottobre e di aver successivamente esaminato l’attività dell’interfaccia di programmazione dell’applicazione (API) con Shopify, il proprio fornitore di servizi di e-commerce. Entro il 23 ottobre, l’azienda aveva confermato che una terza parte non autorizzata aveva ottenuto nomi dei clienti, informazioni di contatto, indirizzi di spedizione e dettagli sugli acquisti.

L’azienda afferma di aver bloccato l’intrusione, corretto la vulnerabilità e iniziato a informare i clienti interessati. Tuttavia, Keystone non ha rivelato quanti acquirenti siano stati coinvolti né come si sia verificato esattamente l’accesso non autorizzato.

I truffatori trovano una potenziale falla

Il pericolo immediato non è necessariamente che qualcuno svuoti da remoto un portafoglio hardware. È piuttosto che qualcuno utilizzi le informazioni legittime dei clienti per mettere in atto una truffa convincente. Keystone ha messo in guardia i clienti da offerte fraudolente di rimborso, dispositivi sostitutivi e messaggi non richiesti in cui vengono richieste informazioni sensibili. L’azienda ha sottolineato che non richiede mai frasi di recupero o chiavi private.

Un utente di X ha scritto in merito alla questione il giorno prima che Keystone confermasse l’attacco. «Voglio solo sensibilizzare l’opinione pubblica perché sono convinto al 99% che il vostro database clienti possa essere trapelato. Ho ricevuto una chiamata da un numero falsificato dello SPVM di Montreal e il tizio ha cercato di manipolarmi con tecniche di ingegneria sociale», ha scritto l’utente OG Degen dell’account X. I clienti dovrebbero verificare autonomamente le comunicazioni tramite il sito web ufficiale di Keystone, anziché seguire link inattesi.

La sicurezza dei portafogli hardware subisce un altro duro colpo nel 2026

La rivelazione di Keystone segue un anno difficile per i produttori di portafogli hardware. Coldcard ha dovuto affrontare un grave bug legato alla scarsa casualità nella generazione dei seed e a perdite stimate ingenti, mentre Ledger ha dovuto fare i conti con segnalazioni di dispositivi manomessi distribuiti tramite un rivenditore.

Anche Trezor e Safepal hanno reso note violazioni dei dati dei clienti che hanno coinvolto sistemi di evasione degli ordini o di gestione delle spedizioni di terze parti. A differenza degli incidenti che hanno comportato la compromissione delle frasi di recupero, tali violazioni hanno creato principalmente opportunità di phishing e di usurpazione d’identità. Per quanto riguarda Keystone, secondo quanto riferito, le difese crittografiche hanno tenuto. La domanda preoccupante è se le informazioni personali dei clienti abbiano ricevuto una protezione analoga.