Keystone уничтожит 18 835 кошельков после кражи ключа аутентификации

Производитель аппаратных кошельков Keystone сообщил, что взломщики его сайта на прошлой неделе украли и ключ, которым компания подтверждает подлинность своих устройств, — поэтому 18 835 кошельков со склада будут уничтожены. Подробности Keystone опубликовала в обновлении по инциденту 26 октября, сообщают The Defiant и crypto.news.

Что получили злоумышленники

• Точка входа: 20 октября атакующие проникли на официальный сайт Keystone через уязвимость в стороннем инструменте мониторинга данных.
• Данные клиентов: 25 964 записи покупок с именами, контактами, адресами доставки и деталями заказов за 2024–2026 годы, а также 12 873 записи неоплаченных оформлений. Всего в магазине Keystone на Shopify нашли 51 083 записи покупок, но персональные данные из 25 119 из них уже были удалены.
• Ключ WebAuth: ключ аутентификации, который записывают в каждый кошелёк Keystone на заводе и проверяют, когда покупатель сверяет устройство на сайте компании.
• Не украдено, по словам Keystone: фразы восстановления, приватные ключи, учётные данные кошельков, платёжные данные и номера документов.

Почему кража ключа проверки важна

Ключ WebAuth не участвует ни в создании сид-фразы, ни в выводе ключей, ни в подписи транзакций. Но с ним можно изготовить поддельные кошельки, которые пройдут официальную проверку подлинности Keystone, — то есть именно тот шаг, который должен отсеивать подделки. Поскольку после производства ключ нельзя стереть или перезаписать, Keystone:

• уничтожит все 18 835 устройств на складе со старым ключом;
• переведёт производство на новый ключ и приостановит отправку невыполненных заказов с сайта, продавая по предзаказу, пока не будут готовы новые устройства;
• сократит срок хранения данных клиентов со 180 до 90 дней — к этому вопросу покупатели возвращались, когда в утечке оказались старые заказы.

Что делать владельцам

Кошельки, полученные до 20 октября и проходящие аутентификацию, остаются безопасными, заверяет Keystone, и переводить средства не нужно. Если же вы получили устройство со старым ключом после 20 октября, обратитесь в поддержку Keystone за дополнительной проверкой, прежде чем заводить на него средства, — даже если проверка на сайте прошла успешно. Отзыва устройств нет: любого, кто просит отправить кошелёк обратно, считайте мошенником. Другие признаки поддельного устройства — в нашей пошаговой инструкции как проверить, что аппаратный кошелёк подлинный. И никому не показывайте свою сид-фразу.