Keystone сообщила об утечке данных покупателей кошельков

Злоумышленник получил доступ к интернет-магазину производителя аппаратных криптокошельков Keystone и похитил персональные данные покупателей. В скомпрометированной системе находились имена, контактные данные, адреса доставки, сведения о заказанных устройствах и их стоимости.

Keystone обнаружила несанкционированный доступ 20 октября. Через три дня компания вместе с Shopify, на платформе которой работает магазин, проверила активность в программном интерфейсе API и подтвердила утечку.

Keystone заблокировала доступ к скомпрометированной системе, устранила уязвимость и начала внутреннее расследование. Клиентам, которых могла затронуть утечка, направляют уведомления по электронной почте.

По данным компании, платежные и банковские реквизиты, сид-фразы, приватные ключи и пароли от криптокошельков не пострадали. Независимого подтверждения этой информации нет. Keystone не раскрыла число затронутых клиентов и способ проникновения в систему. Неизвестно, удалось ли установить личность злоумышленника. Подробный отчет компания планирует опубликовать в ближайшие дни.

После инцидента несколько покупателей сообщили, что получили уведомления об утечке, хотя с момента их заказов прошло больше 180 дней. Один из клиентов приобрел кошелек более двух лет назад. Другой сообщил, что между его последним заказом и взломом прошло 214 дней.

На сайте Keystone указано, что данные о доставке автоматически удаляются через 180 дней после оформления заказа. Покупатель также может запросить их удаление сразу после получения устройства.

В действующей политике конфиденциальности Keystone, обновленной 7 июля 2026 года, срок хранения отсчитывается от последней покупки, а не от даты конкретного заказа. Согласно документу, данные удаляются, если клиент не совершал покупок в течение 180 дней. После нового заказа сведения о предыдущих покупках могут сохраняться. Аналогичное положение содержится в статье справочного центра, обновленной в феврале 2023 года.

Один из покупателей сообщил о звонке с подменного номера полиции Монреаля. Звонивший спросил, знакомы ли ему названия Amazon, eBay и Keystone, и располагал сведениями, совпадавшими с данными заказа в Keystone от 2024 года. Компания начала расследование, но публично не уточнила, соблюдалось ли в этом случае правило о 180 днях. После утечки персональных данных особенно важно соблюдать правила безопасности при использовании аппаратных кошельков.

В августе производитель аппаратных кошельков Trezor сообщил об утечке данных почти 14 000 клиентов после взлома логистического партнера ShipMonk. В сентябре компания добавила к оценке еще 67 000 пользователей. В скомпрометированной базе находились имена, номера телефонов, электронные адреса и адреса доставки.