Keystone подтвердила утечку данных покупателей аппаратных кошельков

Компания Keystone, выпускающая аппаратные криптокошельки, опубликовала заявление о взломе своего онлайн-магазина и компрометации персональной информации клиентов. Злоумышленнику удалось завладеть именами, контактными данными и адресами доставки покупателей, наряду со сведениями о купленных устройствах и потраченных на них суммах.

Проникновение на площадку было зафиксировано 20 октября. Через три дня производитель в сотрудничестве с сервисом Shopify, обеспечивающим функционирование витрины, проанализировал операции через API и удостоверился в факте кражи. В ответ специалисты перекрыли доступ к уязвимому контуру, ликвидировали брешь, запустили внутреннюю проверку и приступили к информированию пострадавших заказчиков по e-mail.

В компании заверяют, что утечка никоим образом не затронула банковскую и платежную информацию, пароли от кошельков, сид-фразы и приватные ключи, хотя независимых подтверждений этим заявлениям к текущему моменту не представлено. Масштабы инцидента, точное количество затронутых лиц, личность преступника и вектор проникновения Keystone пока держит в секрете, обещая представить исчерпывающий отчет в ближайшие дни.

Происшествие вызвало у части клиентов подозрения в нарушении производителем собственных правил приватности. Ресурс компании гласит, что адресная информация стирается в автоматическом режиме спустя 180 дней после того, как заказ был оформлен, либо же по запросу сразу после доставки устройства — этот пункт Keystone не раз называла своим плюсом. Тем не менее в соцсети X ряд пользователей заявили об оповещениях об утечке вопреки тому, что установленные 180 дней давно истекли. Например, покупатель под ником trintaetres_33 совершил покупку свыше двух лет назад, а у другого пользователя с момента приобретения до взлома прошло 214 дней.

Пользователь PEPE_Whale69 обратил внимание на проблему еще до того, как компания выступила с официальным заявлением. Ему поступил звонок с поддельного номера монреальской полиции: неизвестный поинтересовался, знакомы ли клиенту площадки Amazon, eBay или бренд Keystone. При этом звонивший владел точной информацией о заказе пользователя в Keystone от 2024 года. Представители бренда отреагировали обещанием провести срочное разбирательство, однако публичных комментариев по поводу исполнения правила 180 дней так и не дали.

В то же время актуальный текст политики конфиденциальности, датированный 7 июля 2026 года, определяет отсчет времени не от момента размещения конкретного заказа, а от последнего факта покупки: удалению подлежат только сведения тех, кто не проявлял покупательской активности на протяжении 180 дней, тогда как свежий заказ сохраняет данные и о предыдущих транзакциях. Аналогичное условие фигурирует и в материале справочного раздела, датированном февралем 2023 года.

Ранее в августе с компрометацией сведений около 14 000 клиентов столкнулся производитель аппаратных кошельков Trezor из-за инцидента у логистического подрядчика ShipMonk. В сентябре фирма уведомила об утечке данных еще 67 000 человек, в результате чего совокупное количество пострадавших приблизилось к 81 000; украденная база содержала имена, телефонные номера, email-адреса и адреса доставки.