Ключ Keystone для проверки подлинности украден: компания уничтожит 18 835 кошельков, а данные почти 26 тысяч покупателей утекли
Взломщик сайта Keystone унёс не только данные покупателей, но и ключ, которым устройства подтверждают подлинность. Компания уничтожит 18 835 кошельков со склада и остановила отгрузки.
- По данным Keystone, атакующий получил записи 25 964 покупателей за 2024–2026 годы и ещё мог видеть 12 873 незавершённых оформления заказа в Shopify.
- Сид-фразы, приватные ключи, банковские данные и номера документов, по словам компании, не скомпрометированы — украденный ключ не участвует в генерации фраз и подписи транзакций.
- Устройства, доставленные до 20 октября и прошедшие проверку, Keystone считает безопасными; тем, кто получил кошелёк позже, советуют написать в поддержку для дополнительной верификации.
Ключ Keystone для проверки подлинности устройств тоже оказался у взломщика: производитель аппаратных кошельков признал, что инцидент 20 октября был шире, чем «просто утечка адресов». С этим ключом можно собрать поддельный кошелёк, который пройдёт официальную проверку, поэтому компания уничтожит 18 835 устройств со склада и остановила отгрузки.
Что произошло
Вчера мы писали про утечку Keystone: тогда компания говорила о данных доставки — именах, адресах, составе заказов. В понедельник, 26 октября, вышло обновление, и картина стала хуже. По данным Cointelegraph, атакующий воспользовался уязвимостью в стороннем инструменте мониторинга, который стоял на сайте Keystone, и повысил себе права доступа.
«Это позволило атакующему получить часть информации о клиентах и ключ, который используется для проверки подлинности наших устройств», — говорится в заявлении Keystone.
По данным crypto.news, речь о так называемом WebAuth-ключе. Его зашивают в кошелёк на производстве, и именно он отвечает, когда покупатель проверяет устройство на официальном сайте проверки подлинности. Стереть или перезаписать этот ключ после установки нельзя — отсюда и радикальное решение.
Почему ключ Keystone — это серьёзно
Сам по себе ключ Keystone не даёт доступа к твоим монетам: он не генерирует сид-фразу, не выводит приватные ключи и не подписывает транзакции. Проблема в другом. Проверка подлинности — это то, чем покупатель защищается от подделки. Если злоумышленник может сделать устройство, которое эту проверку проходит, он может продать или отправить фальшивку, а владелец будет уверен, что держит оригинал.
Компания сама описала сценарий: такие устройства могут продаваться или отправляться клиентам, которые по незнанию будут пользоваться ими как настоящими, а это потенциально ведёт к краже активов.
Поэтому Keystone перестала использовать скомпрометированный ключ на производстве, перешла на новый, а все 18 835 устройств на складе со старым ключом уничтожит. Отгрузки неисполненных заказов с сайта приостановлены, продажи идут по предзаказу, пока не появятся кошельки с новым ключом.
Сколько данных утекло
Теперь у компании есть цифры. В её магазине на Shopify нашли 51 083 записи о покупках. Из них 25 119 уже были удалены по правилу хранения данных 180 дней. Оставшиеся 25 964 записи с 2024 по 2026 год атакующий мог забрать: имена, контакты, адреса доставки, состав заказов. Плюс 12 873 записи о брошенных корзинах — люди ввели данные, но не оплатили.
Почему старые записи вообще лежали на сервере? Keystone призналась, что автоматический инструмент массового удаления «работал ненадёжно», часть задач падала, и этого вовремя не заметили. После расследования срок хранения сократили до 90 дней, а 24 октября отправили в Shopify запросы на удаление просроченных записей. По данным crypto.news, у Shopify действует 10-дневный период ожидания, удаление ожидается к 3 ноября.
История не уникальная. Cointelegraph напоминает: в августе Trezor раскрыл взлом своего логистического партнёра, и число затронутых клиентов в сентябре выросло до 80 с лишним тысяч; SafePal в августе сообщил об уязвимости в отслеживании заказов, задевшей почти 40 000 клиентов. А в октябре Ledger просил реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи после сообщений об импланте в устройствах, который перехватывал сид-фразы.
Что делать, если у тебя Keystone
Главное — без паники и без резких движений по ссылкам из писем.
- Если кошелёк куплен и доставлен до 20 октября и проходит проверку подлинности, по словам компании, его можно использовать.
- Если устройство пришло после 20 октября, свяжись с поддержкой Keystone через официальный сайт и пройди дополнительную верификацию до того, как заводить туда деньги. Как проверить железо, мы разбирали в гайде про проверку холодного кошелька.
- Keystone не просит возвращать кошельки. Любой «отзыв устройств», «миграция кошелька» или «проверка активов» в письме или звонке — признак мошенника: компания прямо об этом предупредила.
- Никому не вводи сид-фразу — ни на сайте, ни в форме «верификации», ни в чате поддержки.
Компания обещает разослать персональные письма затронутым клиентам и запустить страницу, где можно проверить, попали ли твои данные в утечку. Отчёты регуляторам и полиции уже поданы в ЕС, Великобритании и других юрисдикциях.
FAQ
Что украли у Keystone? Данные 25 964 покупателей, доступ к 12 873 незавершённым заказам и ключ Keystone для проверки подлинности устройств.
Могут ли украсть мои монеты через этот ключ? Напрямую нет: ключ не участвует в сид-фразе и подписи. Риск в поддельных устройствах, которые пройдут проверку.
Сколько устройств уничтожат? 18 835 штук со склада, все со старым ключом.
Нужно ли переводить монеты на новый кошелёк? Компания говорит, что инцидент не требует от владельцев переводить крипту. Предложения «перенести активы» — повод насторожиться.
Итог: ключ Keystone превратил историю про утёкшие адреса в историю про доверие к самому железу. Кошельки, полученные до 20 октября, компания считает безопасными, а вот всё, что пришло позже, стоит перепроверить через официальную поддержку.
Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.
