Производитель аппаратных криптокошельков Keystone сообщил, что атакующий взломал его сайт и получил ключ, которым устройства подтверждают подлинность при онлайн-проверке.
Как это случилось
Атакующий проэксплуатировал уязвимость в стороннем инструменте мониторинга данных на сайте и повысил привилегии. Несанкционированный доступ обнаружили и заблокировали 20 октября. Когда именно атакующий проник внутрь и где хранился ключ, компания не сообщает.
Масштаб
- Доступ получен к 25 964 записям покупателей за 2024–2026 годы: имена, контакты, адреса доставки, заказы. Ещё 12 873 неоплаченных заказа включены в уведомление на всякий случай.
- Платёжных данных, банковских реквизитов и документов в утечке нет.
- Ключ записывается при производстве и не меняется, поэтому 18 835 непроданных устройств со старым ключом будут уничтожены.
Чем это опасно
Ключ не участвует в сид-фразах, приватных ключах и подписи транзакций — средства на настоящих устройствах в безопасности. Но с ним можно выпустить подделку, которая пройдёт проверку подлинности. О фальшивках и кражах пока не сообщалось.
Что делать владельцам
- Устройство получено до 20 октября и проходит проверку — можно пользоваться.
- Получено после 20 октября со старым ключом — не используйте, пока поддержка (support@keyst.one) не подтвердит подлинность.
- Keystone никогда не просит вернуть устройство: письма и звонки о «отзыве», «замене» или «переводе средств» — мошенничество. Никогда не вводите сид-фразу в устройство, которое вы не заказывали.
Hardware crypto wallet maker Keystone says an attacker breached its website and obtained the key its devices use to prove they are genuine during the online authenticity check.
How it happened
The attacker exploited a vulnerability in a third-party data monitoring tool on the website and escalated privileges. The unauthorized access was detected and blocked on October 20. Keystone has not said when the attacker first got in or where the key was stored.
Scope
- 25,964 buyer records from 2024–2026 were accessed: names, contacts, shipping addresses and orders. Another 12,873 unpaid checkout records are included as a precaution.
- No payment card, bank or ID data was involved.
- The key is written at manufacturing and cannot be changed, so 18,835 unsold devices carrying the old key will be destroyed.
Why it is dangerous
The key plays no part in recovery phrases, private keys or transaction signing, so funds on genuine devices are safe. But it can be used to make counterfeits that pass the authenticity check. No counterfeits or thefts have been reported so far.
What owners should do
- Device delivered before October 20 and it passes the check: keep using it.
- Received after October 20 with the old key: don’t use it until support (support@keyst.one) confirms it is genuine.
- Keystone never asks you to return a device. Messages about recalls, replacements or moving funds are scams. Never enter a recovery phrase into a device you did not order.