Виробник біткоїн-гаманців Keystone відкликає пристрої: викрадений ключ відкриває шлях підробкам

Keystone, виробник апаратних гаманців для Bitcoin, які зберігають секретні коди, що контролюють вашу криптовалюту, в офлайні, повідомила в понеділок, що знищить 18 835 непроданих пристроїв після того, як зловмисники отримали ключ, який підтверджує справжність її обладнання. Компанія також призупинила відправлення всіх невідправлених замовлень зі свого вебсайту.

Для покупців ризик полягає в підробленому гаманці, який виглядає як новий і проходить власну перевірку Keystone, оскільки зловмисник отримав ключ, на якому ця перевірка ґрунтується. Злочинець міг би потім продати такий пристрій комусь, хто завантажить на нього реальні заощадження.

«Якщо його буде викрито, зловмисник може використати його для виробництва підроблених пристроїв, які пройдуть перевірку автентифікації», — заявила Keystone у своїй заяві. «Потім ці пристрої можна буде продати або відправити клієнтам, які можуть несвідомо використовувати їх як справжні продукти, що потенційно може призвести до крадіжки активів».

Keystone називає це ключем WebAuth — секретним кодом, записаним у кожен пристрій на заводі, щоб сторінка на вебсайті компанії могла підтвердити, що обладнання справжнє. Його неможливо стерти або перезаписати, і 18 835 одиниць на складі, які його містять, знищуються, а не продаються.

У суботу Keystone вперше повідомила, що третя сторона отримала інформацію про доставку клієнтів. У заяві від понеділка додано викрадений ключ і кількість у 25 964 постраждалих записи покупців, але не вказано, хто несе відповідальність або коли зловмисник уперше отримав доступ.

Інцидент торкнувся записів із магазину Keystone на Shopify — платформи електронної комерції, яка обслуговувала його онлайн-продажі. Keystone повідомляє, що було задіяно 51 083 записи покупців, але в 25 119 з них персональну інформацію вже було видалено, тож залишилося 25 964 записи за 2024–2026 роки, які досі містили імена, контактні дані, адреси доставки та інформацію про замовлення. Покупки через Amazon та інші канали не постраждали.

BitcoinBTC · USD

$80,605−2.34%

20 жовт22 жовт24 жовт26 жовт27 жовт

$84.8k$83.1k$81.3k$79.6k

24г МаксимумМаксимум$80,573

24г МінімумМінімум$79,416

ОбсягОбсяг$1.0B

→

Купити Bitcoin за USDT

Працює на Jupiter

Дані про ціни від CoinGeckoCoinGeckoБільше Bitcoin новин та прогнозів →

Частина цих даних уже мала бути видалена. Політика Keystone передбачала знищення записів покупців через 180 днів, а автоматизований інструмент масового видалення, який вона створила для цього завдання, не працював надійно.

«Деякі завдання з видалення не вдалися, і ми не виявили та не усунули ці збої вчасно, внаслідок чого певна особиста інформація зберігалася довше за дозволений термін», — заявила Keystone. «Ми не виконали своє зобов’язання вчасно видаляти дані клієнтів і беремо на себе відповідальність за цю невдачу».

Списки клієнтів є постійною слабкою ланкою для виробників гаманців. Витік даних Ledger у 2020 році зрештою торкнувся близько 292 000 клієнтів, і ті, хто згодом отримав фішингові електронні листи, побоювалися, що можуть стати цілями вторгнень у їхні домівки.

Trezor і SafePal окремо повідомили про порушення даних клієнтів у серпні, що торкнулися 13 689 клієнтів та близько 39 798 клієнтів відповідно.

Імена та адреси мають значення через атаки «гайковим ключем», коли злочинці використовують погрози або насильство, щоб змусити власників передати їхню криптовалюту. Chainalysis нарахувала 46 насильницьких атак у першій половині 2026 року, під час яких було викрадено понад 30 мільйонів доларів.

Виробник також попередив про шахраїв, які пропонують «міграцію активів», «перевірку гаманця» або «допомогу в розслідуванні».

Продажі на вебсайті Keystone перейдуть на попередні замовлення, доки не завершиться виробництво пристроїв із новим ключем, і компанія заявляє, що подала звіти до органів влади в ЄС, Великій Британії та інших юрисдикціях.

Keystone скоротив термін зберігання даних клієнтів зі 180 до 90 днів і 24 жовтня попросив Shopify видалити всі прострочені дані покупців — процес із 10-денним періодом очікування. Компанія очікує, що видалення завершиться 3 листопада.