Проблема з Keystone: 18 835 апаратних криптогаманців можуть знищити

Викрадений ключ автентифікації змушує Keystone утилізувати 18 835 гаманців

Те, що спочатку здавалося витоком інформації про клієнтів, переросло у значно серйознішу проблему безпеки. 26 жовтня 2026 року компанія Keystone повідомила, що зловмисники також отримали ключ аутентифікації, який використовується для перевірки справжності її апаратних гаманців.

Компанія встановила, що вторгнення сталося через вразливість у сторонньому інструменті моніторингу даних, яка дозволила зловмисникам розширити свої права доступу. 20 жовтня Keystone виявила підозрілу активність, вимкнула вразливі функції веб-сайту та розпочала криміналістичне розслідування.

Викрадений ключ WebAuth створює особливо серйозну проблему. Зловмисник, який ним володіє, може виготовляти підроблені пристрої, здатні пройти перевірки автентичності Keystone, що потенційно наражає нічого не підозрюючих покупців на ризик крадіжки активів.

Keystone пояснила, що ключ назавжди вбудовується під час виробництва і не може бути перезаписаний або стертий. Відповідно, виробник апаратних гаманців планує знищити всі 18 835 пристроїв у наявному запасі, що містять скомпрометований ключ. Нові гаманці отримають замісний ключ автентифікації. Тим часом Keystone призупинила відправку незавершених замовлень з веб-сайту та перейшла на попередні замовлення доти, доки не буде готове виробництво замісних пристроїв.

Майже 26 000 записів про покупців стали доступними через збій системи видалення даних

Розслідування також виявило серйозну помилку в управлінні даними клієнтів компанії Keystone. З 51 083 перевірених записів про покупців на Shopify у 25 964 зберігалася особиста інформація, зокрема імена, адреси доставки, контактні дані та історія покупок за період з 2024 по 2026 рік. Компанія Keystone визнала, що її автоматизована система видалення даних працювала з перебоями, через що інформація про клієнтів зберігалася довше, ніж передбачала політика зберігання даних (180 днів).

«Ми не виконали своє зобов’язання щодо своєчасного видалення даних клієнтів і беремо на себе відповідальність за цю помилку», — заявила компанія.

Слідчі також виявили 12 873 неоплачених записів про оформлення замовлень, що містять потенційно конфіденційну інформацію про клієнтів. Компанія Keystone включила ці записи до своєї відповіді та ініціювала додаткові запити на видалення. Виробник скоротив термін зберігання даних до 90 днів і очікує, що запити на видалення даних покупців, подані 24 жовтня, будуть виконані 3 листопада. Останній звіт Keystone про аналіз інциденту з’явився після оприлюднення інформації компанією Foundation — виробником апаратних гаманців із Бостона, який також зазнав витоку даних клієнтів.

Власники існуючих гаманців отримують нові рекомендації щодо безпеки

Keystone запевняє, що фрази відновлення, приватні ключі, облікові дані гаманців та платіжна інформація не були скомпрометовані. Клієнтам не рекомендується переносити свої криптовалюти виключно через цей інцидент. Пристрої, доставлені до 20 жовтня, залишаються безпечними для використання, якщо вони проходять аутентифікацію, заявляє компанія. Пристрої, отримані пізніше з використанням скомпрометованого ключа, потребують додаткової перевірки через службу підтримки клієнтів, навіть якщо аутентифікація пройде успішно.

Keystone також попередила клієнтів про шахрайські повідомлення з вимогою повернути пристрої. Компанія подала звіти до регуляторних органів у ЄС, Великій Британії та інших юрисдикціях, а також планує запровадити інструменти для перевірки випадків витоку даних та провести подальші аудити безпеки. Для виробника, який продає пристрої, призначені для усунення необхідності довіряти третім сторонам, втрата ключа, що забезпечує довіру до власного обладнання, є особливо серйозним протиріччям.