Keystone утечка данных: подтверждена компрометация сведений клиентов магазина на Shopify

Keystone подтвердила утечку данных покупателей аппаратных криптокошельков из своего магазина на Shopify. Неавторизованный доступ к сайту был обнаружен 20 октября 2026 года, подтвержден 23 октября после анализа логов API и публично объявлен 24 октября через аккаунт компании в X.

Пострадали имена клиентов, адреса электронной почты, номера телефонов, адреса доставки и сведения о заказах, включая названия товаров и цены. Данные карт, seed-фразы и приватные ключи не были затронуты.

Подробности инцидента и объем затронутых данных

Компания не раскрыла точное количество пострадавших клиентов, продолжительность доступа злоумышленников и их возможную идентификацию. Некоторые пользователи получили уведомления о заказах, совершенных более 180 дней назад, а в отдельных случаях — более двух лет назад. Ранее Keystone заявляла об удалении данных доставки по истечении 180 дней.

Доступ произошел исключительно к электронной коммерции на Shopify. Системы самих аппаратных кошельков, включая прошивку и механизмы подписи, остались незатронутыми. Аналогичные инциденты ранее фиксировались у других производителей, в частности через партнеров Ledger.

Покупатели, чьи данные были скомпрометированы, получили уведомления по электронной почте. Компания предупредила о возможных фишинговых атаках и рекомендовала использовать только официальные каналы связи.

Меры, принятые Keystone, и дальнейшие шаги

После обнаружения инцидента Keystone заблокировала доступ, устранила уязвимость и запустила внутреннее расследование. Компания принесла извинения клиентам и пообещала опубликовать подробный отчет об инциденте в ближайшее время.

Пользователям advised мониторить официальный аккаунт @KeystoneWallet в X и проверять все входящие сообщения. Keystone подчеркнула, что не запрашивает seed-фразы или данные карт по телефону, электронной почте или через мессенджеры.

Расследование продолжается. Компания планирует представить дополнительные технические детали и меры по усилению защиты данных клиентов. Покупателям рекомендуется сохранять бдительность при получении любых предложений, связанных с заказами или возвратами.

Риски для владельцев аппаратных кошельков и отраслевой контекст

Утечка адресов доставки и сведений о покупках повышает вероятность targeted-фишинга и физических угроз. Злоумышленники могут использовать подтверждение покупки для более убедительных схем обмана.

Keystone позиционирует свои устройства как air-gapped решения, однако инцидент показал уязвимость сопутствующей инфраструктуры электронной коммерции. Политика удаления данных через 180 дней не сработала в полном объеме, что вызвало дополнительные вопросы у части клиентов.

В отрасли аппаратных кошельков подобные случаи уже происходили. Пользователям рекомендуется регулярно проверять официальные источники и избегать передачи любых персональных данных третьим лицам без предварительной верификации.