Утечка Keystone: адреса и имена покупателей аппаратных кошельков ушли третьей стороне, включая заказы старше двух лет

Утечка Keystone ударила не по ключам, а по людям: производитель аппаратных кошельков признал, что посторонние получили доступ к данным доставки покупателей — именам, контактам, домашним адресам и составу заказов. Сид-фразы и приватные ключи, по словам компании, не пострадали, но адрес держателя крипты сам по себе ценная добыча.

Что произошло

24 октября Keystone опубликовала извинение: «Мы вам должны извинение». По данным crypto.news, утекли контакты, адреса доставки, заказанные товары и их цены. Данные банковских карт, банковские реквизиты, фразы восстановления, приватные ключи и пароли от кошельков, по словам компании, затронуты не были.

Как именно атакующие попали внутрь, Keystone не раскрыла. Неизвестно, был ли это украденный API-ключ, уязвимость в приложении или что-то ещё. Упоминание Shopify говорит лишь о том, какие логи изучали при проверке; это не доказывает, что взломана сама платформа Shopify. В первом заявлении компания также не назвала атакующих и не уточнила, когда именно начался доступ. Keystone пообещала выпустить подробный отчёт об инциденте — пока его нет, поэтому утечка Keystone остаётся историей с открытыми вопросами.

«Мы заблокировали доступ, исправили уязвимость, начали расследование и рассылаем письма затронутым клиентам», — заявила компания, процитированная Cointelegraph.

Почему утечка Keystone опаснее, чем кажется

Деньги на кошельке остаются в безопасности, пока ты не отдал сид. Проблема в том, что теперь у кого-то есть список людей, которые точно держат крипту и купили для неё отдельное устройство, — с адресами. Такие базы годами используют для адресного фишинга.

Пример уже есть. По данным Cointelegraph, пользователь X под ником OG DEGEN рассказал о звонке от человека, представившегося сотрудником правоохранительных органов. Звонивший знал его личные данные, и пострадавший связывает это с заказом в Keystone 2024 года. По его словам, план был убедить, что приватные ключи «скомпрометированы», а затем прислать фишинговую ссылку для их «сброса».

Монахан говорит о более жёстком сценарии. Утечка адресов доставки может подставить покупателей под ограбления и похищения — так называемые wrench attacks, когда владельца крипты силой заставляют перевести монеты. По подсчёту CertiK, в первой половине 2026 года таких подтверждённых атак было 52 по всему миру, на 33% больше, чем годом ранее (39). Подтверждений, что данные Keystone уже привели к нападениям, при этом нет.

Обещание удалять данные

Отдельный вопрос — почему вообще утекли старые заказы. В 2023 году Keystone писала в блоге, что сократила срок хранения клиентских данных до 180 дней после инцидентов у других производителей. Однако часть клиентов получила уведомления об утечке, хотя покупала устройства больше двух лет назад. Пользователь trintaetres написал именно об этом. Cointelegraph спросил компанию, как так вышло и сколько людей затронуто, но ответа к публикации не получил.

Параллель напрашивается. В июле 2020 года Ledger раскрыла утечку из e-commerce базы через API-ключ: около миллиона email-адресов и подробные данные примерно 9 500 клиентов. В декабре 2020 года база всплыла публично, и масштаб вырос до примерно 272 000 записей с именами, адресами и телефонами. В апреле 2025 года владельцам Ledger приходили бумажные письма с QR-кодом и просьбой ввести сид-фразу. Связана ли каждая такая рассылка со старой базой, не установлено, но эффект утечки длится годами. Похожий сюжет мы разбирали в материале про спор Карпелеса и Ledger.

Что делать, если ты покупал Keystone

Сама Keystone перечислила, чего ждать: мошенники могут выдавать себя за компанию по email, телефону, СМС и даже обычной почтой. Типовые легенды — возврат денег, замена устройства, «уточнение адреса доставки».

1. Никому не сообщай сид-фразу и приватные ключи. Ни один производитель их не спрашивает.
2. Не вводи фразу восстановления в устройство, которое ты не заказывал сам. Посылка с «новым кошельком» — классическая ловушка.
3. Получил письмо или звонок от «Keystone» или «полиции» — не переходи по ссылкам, а зайди на сайт компании вручную и напиши в официальную поддержку.
4. Подумай о физической безопасности: не светить суммы в соцсетях, по возможности использовать для доставки не домашний адрес.

Признаки поддельных уведомлений мы собрали в гайде как распознать фишинговое уведомление кошелька — он целиком применим к этой ситуации.

FAQ

Утечка Keystone затронула мои монеты? По словам компании, нет: сид-фразы, приватные ключи и пароли не утекли. Риск — фишинг и давление на тебя лично.

Какие данные утекли? Имена, контакты, адреса доставки, состав заказов и цены.

Сколько людей пострадало? Компания не раскрыла.

Нужно ли менять кошелёк? Если ты никому не вводил сид, монеты в безопасности. Главное — не реагировать на «срочные» сообщения от имени Keystone.

Итог: утечка Keystone — это не взлом кошельков, а список адресов людей с криптой в чужих руках. Ключи защищает устройство, а от звонков, писем и посылок с «заменой» защититься можешь только ты сам.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.