Компания Keystone уничтожит 18 835 непроданных аппаратных криптокошельков после того, как злоумышленник получил ключ проверки подлинности устройств. Взлом Keystone не дал атакующему доступ к seed-фразам и приватным ключам владельцев, но сделал возможной куда более неприятную схему: выпуск поддельного кошелька, который успешно пройдет штатную онлайн-проверку.
Несанкционированный доступ Keystone обнаружила 20 октября, сообщает The Hacker News. Атакующий воспользовался уязвимостью в стороннем инструменте мониторинга данных, применявшемся на сайте компании, повысил привилегии и получил не только клиентские данные, но и ключ верификации устройств. Доступ был заблокирован в день обнаружения, уязвимость, по заявлению компании, устранена. Когда именно злоумышленник проник в инфраструктуру и где хранился ключ, Keystone не раскрывает.
Этот ключ не участвует в генерации фразы восстановления, выводе приватных ключей или подписании транзакций. Он нужен для одной операции: владелец сканирует QR-код на странице проверки, устройство расшифровывает заложенный в код вызов и показывает ответный код. Если введенный на сайте код совпадает, сервис считает устройство подлинным. Проблема в том, что копия похищенного ключа позволит собрать контрафактный кошелек с тем же корректным ответом. Для покупателя проверка будет выглядеть убедительно, а само устройство потенциально сможет направить криптоактивы злоумышленникам.
Именно поэтому компания не пытается «обновить» уже произведенные устройства. Ключ записывается в память при производстве, а прошивка допускает эту запись только один раз и не принимает замену. Весь нераспроданный тираж со старым ключом отправят на уничтожение, а новые устройства будут выпускаться с новым. Для производителей hardware-кошельков это показательный случай: даже ключ, который формально не защищает пользовательские средства, становится критическим элементом цепочки поставки, если на нем держится доверие к железу.
Инструкции для владельцев зависят от даты получения устройства. Кошелек, доставленный до 20 октября и успешно прошедший проверку, Keystone разрешает использовать в обычном режиме. Устройства, полученные после этой даты и содержащие старый ключ, нельзя считать гарантированно оригинальными даже при успешной проверке: владельцам предлагают обратиться в поддержку до начала использования. Компания не сообщила, как покупателю самостоятельно определить версию ключа, а также не описала отдельный порядок действий для тех, кто уже перевел активы на такое устройство.
Утечка затронула почти 26 тысяч покупателей
Взлом Keystone имеет и обычную, менее технически изящную, но не менее опасную часть — персональные данные. По данным компании, инцидент затронул 25 964 записи покупателей, оформивших заказы на сайте Keystone в 2024–2026 годах. В них содержатся имена, контакты, адреса доставки и сведения о заказах. Банковские карты, реквизиты и государственные идентификаторы, по утверждению Keystone, не пострадали. Покупки через Amazon и другие каналы продаж также не затронуты.
Дополнительно компания включает в расследование 12 873 незавершенных заказа. Эти записи содержат те же базовые контактные и адресные данные, хотя покупки так и не были оплачены. Здесь всплыла отдельная проблема: Keystone обещала удалять данные доставки спустя 180 дней, но ее инструмент массового удаления работал ненадежно, а сбои вовремя не заметили. Срок хранения сократили до 90 дней; Keystone также запросила у Shopify удаление более старых данных и рассчитывает завершить его 3 ноября.
Для владельцев криптоактивов особенно важен ожидаемый всплеск мошенничества. Адрес доставки аппаратного кошелька — ценный сигнал для фишеров: такой человек с высокой вероятностью хранит криптовалюту и знаком с термином seed-фразы. Keystone предупреждает, что звонки, письма и сообщения о возврате, замене устройства, «обязательной верификации» или помощи с переводом средств следует считать мошенничеством. Компания не просит отправлять устройство назад; фразу восстановления нельзя вводить в кошелек, который пользователь не заказывал сам.
Взлом Keystone показывает неприятную границу между безопасностью криптографии и безопасностью продукта. Можно надежно защитить seed-фразу и механизм подписи транзакций, но проиграть на сайте, стороннем сервисе или производственном ключе. Открытым остается вопрос, успел ли кто-то изготовить поддельные устройства до блокировки доступа: Keystone пока не сообщала ни о контрафакте, ни о кражах средств. Но для рынка аппаратных кошельков этот инцидент уже стал аргументом в пользу более жесткого разделения ключей, контроля поставок и проверки того, действительно ли данные клиентов удаляются тогда, когда компания обещает.
