Злам Keystone: витекли адреси покупців гаманців

Виробник апаратних гаманців Keystone повідомив, що стороння особа отримала з його офіційного інтернет-магазину імена клієнтів, контактні дані, домашні адреси доставки й деталі замовлень, пише Crypto Briefing з посиланням на заяву компанії в X від 24 жовтня. Keystone наголошує, що самі гаманці не постраждали: платіжні й банківські дані, сід-фрази, приватні ключі та паролі гаманців у витік не потрапили.

Що розкрила Keystone

• 20 жовтня: компанія виявила несанкціонований доступ до свого сайту.
• 23 жовтня: перевіривши API-активність разом із Shopify, своєю e-commerce-платформою, вона підтвердила, що третя сторона отримала дані доставки клієнтів.
• Що викрали: імена, контакти, адреси доставки та деталі замовлень — які товари куплено і за скільки.
• Реакція: компанія каже, що заблокувала доступ, закрила вразливість, почала розслідування й розсилає листи постраждалим клієнтам. Детальний звіт обіцяє за кілька днів.

Скільки клієнтів зачепило, яких дат замовлень це стосується і як саме нападник потрапив усередину, Keystone не уточнила. Згадка про журнали API Shopify не означає, що зламано саму платформу Shopify.

Чому «нешкідливий» витік усе одно небезпечний

Список адрес не відкриває жодного гаманця, але підказує злочинцям, хто тримає крипту в самостійному зберіганні та де живе. Це робить підробку значно переконливішою: дзвінок, у якому називають ваше справжнє замовлення, або посилка з «пристроєм на заміну» виглядають правдоподібно. Keystone сама попереджає, що шахраї можуть видавати себе за компанію телефоном, у SMS, листом чи поштою, пропонуючи повернення коштів, нові пристрої чи «виправлення» замовлення або адреси.

Keystone не перша. У серпні Trezor повідомив про витік даних клієнтів у свого логістичного партнера, а витік маркетингової бази Ledger у 2020 році роками обертався фішинговими листами й навіть підробленими пристроями, надісланими поштою. Як апаратні гаманці захищають ключі і чому сам пристрій — це ще не все, пояснюємо в окремому матеріалі.

Що робити клієнтам Keystone

• Ніколи не вводьте сід-фразу на сайті, у застосунку, формі чи на пристрої, який ви не замовляли самі. Справжня підтримка її не просить — чому це так важливо, читайте в гайді що таке сід-фраза.
• Не переходьте за посиланнями з несподіваних повідомлень. Вводьте адресу компанії вручну.
• Вважайте непрохані посилки ворожими. Не підключайте й не налаштовуйте пристрій, який прийшов без вашого замовлення.
• Остерігайтеся «термінових» історій про заморожені кошти, зірвану доставку чи повернення грошей. Типові сценарії зібрано в гайді як розпізнати криптошахрайство.