Keystone уничтожит 18 835 аппаратных кошельков из-за кражи ключа

Keystone сообщила, что злоумышленник, попавший на её сайт 20 октября, забрал ключ, которым устройства компании подтверждают свою подлинность. Такой ключ прошивают на производстве, и на уже собранных устройствах его не заменить. Keystone уничтожит 18 835 устройств со склада, остановила отгрузки и перешла на предзаказы, пока не выпустит партию с новым ключом.

“Эти устройства могут быть проданы или отправлены клиентам, которые, не зная того, станут пользоваться ими как подлинными”

— Keystone о том, что может собрать владелец украденного ключа, https://cointelegraph.com/news/keystone-breach-deepens-hackers-stole-key-used-to-verify-wallets-as-genuine

Устройства, собранные и доставленные до 20 октября, компания считает безопасными, их проверка подлинности по-прежнему работает. За всё, что доставлено после этой даты, Keystone не ручается и просит покупателей обращаться в поддержку. Подделок, сделанных на украденном ключе, пока не нашли. Сид-фразы, приватные ключи и учётные данные кошельков, по словам компании, не затронуты.

Политика хранения вычистила половину того, что покрывала

До клиентских данных злоумышленник добрался через уязвимость в стороннем инструменте мониторинга на сайте, который позволил повысить привилегии. Магазин Keystone на Shopify накопил 51 083 записи о покупателях. Политика хранения в 180 дней удалила 25 119 из них. Остальные 25 964 записи за 2024–2026 годы уцелели, потому что автоматический инструмент массового стирания не сработал, и именно их мог забрать злоумышленник. По нашему подсчёту политика вычистила 49% записей и оставила 51% на месте. Кроме того, злоумышленник мог получить 12 873 записи о незавершённых оформлениях заказа.

Утекли имена, контакты и адреса доставки. Chainalysis насчитала больше $30 млн, отобранных в ходе физических нападений на держателей криптовалюты за первое полугодие 2026 года. Список людей, которые купили аппаратный кошелёк и получили его по домашнему адресу, — это ровно те данные, по которым такие нападения и наводят, а адрес остаётся актуальным годами. На этой неделе корейская биржа потеряла данные сотрудников тем же способом: через систему, которую никто не считал парадной дверью.

Шесть производителей за один год

Coinkite предупредила пользователей Coldcard в конце июля: атакующие использовали баг, из-за которого сиды генерировались с меньшей энтропией, чем задумано, и люди потеряли миллионы долларов. В августе взлом у логистического партнёра Trezor раскрыл данные клиентов, и к сентябрю счёт перевалил за 80 тысяч. SafePal в том же месяце через дыру в отслеживании заказов раскрыл данные почти 40 тысяч покупателей. BitBox в сентябре попал под фишинговую кампанию через скомпрометированного почтового провайдера. Ledger в октябре попросила реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи из-за сообщений о закладках, способных перехватывать сид-фразы.

С Keystone получается шесть производителей за год, а трое, назвавшие цифры, дают в сумме минимум 145 964 записи о клиентах. BitBox и Ledger цифр не называли. У Ledger утечка июня 2020 года выложила наружу больше миллиона адресов почты, имена, телефоны и физические адреса, и фишинг по этому списку шёл годами. Аппаратные кошельки при этом сами по себе дешевле последствий: по цене $149, которую указывают каталоги для Keystone 3 Pro, 18 835 устройств — это примерно $2,8 млн товара под уничтожение, потому что один секрет нельзя сменить. Google на этой же неделе показала хранилище для банков, которое делит ключ между тремя разными средами, чтобы целиком его не держала ни одна машина. Один ключ на устройство — это чьё-то проектное решение.

Материал информационный и не является инвестиционной рекомендацией. Детали инцидента, число устройств и записей и цитата приведены по Keystone через Cointelegraph от 28 октября 2026 года. Цифра по физическим нападениям — подсчёт Chainalysis за первое полугодие. Доля в 49%, сумма 145 964 и стоимость склада — наша арифметика, а $149 взяты из стороннего каталога, а не с витрины Keystone.