По данным Keystone, несанкционированный доступ к сайту обнаружили 20 октября. Спустя три дня компания вместе с Shopify, на платформе которой работает магазин, проверила активность в API и подтвердила утечку.
Разработчики заблокировали доступ, устранили уязвимость, начали внутреннее расследование и стали рассылать пострадавшим уведомления по электронной почте.
Представители фирмы утверждают, что платежные и банковские реквизиты, сид-фразы, приватные ключи, а также пароли от кошельков не пострадали. Однако независимого подтверждения пока нет.
Keystone не раскрыла число пострадавших и способ проникновения в систему. Неизвестно и то, удалось ли идентифицировать злоумышленника. Подробный отчет компания пообещала опубликовать в ближайшие дни.
Вопросы к политике хранения данных
После инцидента часть покупателей усомнилась, что Keystone соблюдала собственные правила конфиденциальности.
На официальном сайте производителя указано, что сведения о доставке автоматически удаляются через 180 дней после оформления заказа. Клиенты также могут попросить удалить их сразу после получения устройства. Компания неоднократно подчеркивала это преимущество.
Another reason to choose Keystone 🫡 We don’t just protect your crypto, we protect your privacy. 180 days after your order, your shipping data is permanently deleted. Choose privacy. #ChooseKeystone3Pro
— Keystone Hardware Wallet (@KeystoneWallet) January 5, 2026
Однако несколько пользователей сообщили в X, что получили уведомления об утечке, хотя с момента оформления их заказов прошло более 180 дней. Клиент под ником trintaetres_33 рассказал, что купил кошелек более двух лет назад. Другой юзер сообщил, что промежуток между его последним заказом и взломом составил 214 дней.
Еще один покупатель под псевдонимом $PEPE_Whale69 забил тревогу до официального заявления производителя. По его словам, ему позвонили с подмененного номера полиции Монреаля и спросили, говорят ли ему что-то названия Amazon, eBay или Keystone.
Cc @KeystoneWallet , just raising awareness here because I’m 99% convinced your customer database may have been leaked. I received a call from a spoofed Montreal SPVM number, and the guy tried to social-engineer me. He started by claiming they had arrested 200 people involved in a fraud case and that one of the suspects had my information stored in a database, divided into three categories: Personal information Banking information Email address Then he asked me if Amazon, eBay, or Keystone meant anything to me. That’s when I immediately knew something was off lmao. He even started asking whether Ledger, Trezor, or cryptocurrency sounded familiar to me. Thankfully, I never use my personal email or real information when ordering online, precisely because I know things like this can happen. But here’s the interesting part: I went back and checked my Keystone order from 2024, and the information matched exactly what the caller had mentioned. That’s when I realized where he might have gotten my details. Obviously, the whole call was a scam, but the fact that he specifically mentioned Keystone and had matching information from my old order is extremely suspicious. Not claiming a breach is confirmed, but I think @KeystoneWallet should seriously investigate this. Just sharing this so others are aware. Stay safe out there.
— OG DEGEN (@$PEPE_Whale69) October 23, 2026
Звонивший располагал сведениями, которые совпадали с данными заказа $PEPE_Whale69 в Keystone от 2024 года. В ответ компания заявила, что начала срочное расследование. Публично на вопрос о соблюдении правила 180 дней представители не ответили.
При этом в действующей политике конфиденциальности, обновленной 7 июля 2026 года, срок отсчитывается не от даты заказа, а от последней покупки. Согласно документу, компания удаляет данные только тех клиентов, которые ничего не заказывали в течение 180 дней. Если покупатель сделал новый заказ, информация о предыдущих сохраняется.
Такая же оговорка есть в статье справочного центра, последний раз обновленной в феврале 2023 года.
Напомним, в августе производитель аппаратных кошельков Trezor сообщил об утечке данных почти 14 000 клиентов после взлома логистического партнера ShipMonk.
В сентябре компания рассказала еще о 67 000 пострадавших, в результате чего общее число затронутых инцидентом пользователей приблизилось к 81 000. В скомпрометированной базе оказались имена, телефоны, электронные адреса и адреса доставки.
forklog.com
