Взлом Keystone: утекли адреса покупателей кошельков

Производитель аппаратных кошельков Keystone сообщил, что посторонний получил из его официального интернет-магазина имена клиентов, контактные данные, домашние адреса доставки и детали заказов, пишет Crypto Briefing со ссылкой на заявление компании в X от 24 октября. Keystone подчёркивает, что сами кошельки не пострадали: платёжные и банковские данные, сид-фразы, приватные ключи и пароли кошельков в утечку не попали.

Что раскрыла Keystone

• 20 октября: компания обнаружила несанкционированный доступ к своему сайту.
• 23 октября: проверив API-активность вместе с Shopify, своей e-commerce-платформой, она подтвердила, что третья сторона получила данные доставки клиентов.
• Что похищено: имена, контакты, адреса доставки и детали заказов — какие товары куплены и за сколько.
• Реакция: компания говорит, что заблокировала доступ, закрыла уязвимость, начала расследование и рассылает письма пострадавшим клиентам. Подробный отчёт обещан в ближайшие дни.

Сколько клиентов затронуто, каких дат заказов это касается и как именно злоумышленник попал внутрь, Keystone не уточнила. Упоминание журналов API Shopify не означает, что взломана сама платформа Shopify.

Почему «безобидная» утечка всё равно опасна

Список адресов не открывает ни одного кошелька, но подсказывает преступникам, кто хранит крипту самостоятельно и где живёт. Это делает подделку куда убедительнее: звонок, в котором называют ваш реальный заказ, или посылка с «устройством на замену» выглядят правдоподобно. Keystone сама предупреждает, что мошенники могут выдавать себя за компанию по телефону, в SMS, письмах или по почте, предлагая возврат денег, новые устройства или «исправление» заказа либо адреса.

Keystone не первая. В августе Trezor сообщил об утечке данных клиентов у своего логистического партнёра, а утечка маркетинговой базы Ledger в 2020 году годами оборачивалась фишинговыми письмами и даже поддельными устройствами, присланными по почте. Как аппаратные кошельки защищают ключи и почему само устройство — это ещё не всё, объясняем в отдельном материале.

Что делать клиентам Keystone

• Никогда не вводите сид-фразу на сайте, в приложении, форме или на устройстве, которое вы не заказывали сами. Настоящая поддержка её не просит — почему это так важно, читайте в гайде что такое сид-фраза.
• Не переходите по ссылкам из неожиданных сообщений. Вводите адрес компании вручную.
• Считайте незаказанные посылки враждебными. Не подключайте и не настраивайте устройство, пришедшее без вашего заказа.
• Остерегайтесь «срочных» историй о замороженных средствах, сорванной доставке или возврате денег. Типичные сценарии собраны в гайде как распознать криптомошенничество.