Keystone сообщила о кибератаке на приложение Nexus — третье раскрытие инцидента безопасности за две недели

Keystone порекомендовала пользователям обновить приложение Nexus до версии 1.3.7 после кибератаки, нарушившей работу некоторых функций приложения.

Это уже третье сообщение о безопасности от производителя аппаратных кошельков, опубликованное примерно за две недели.

Атака на приложение Nexus и исправление v1.3.7

Keystone Securitize в пятницу, 6 ноября, о том, что некоторые сервисы приложения Nexus подверглись взлому в результате кибератаки и что ряд пользователей не могли использовать приложение в течение определенного времени.

Компания сообщила, что команда отреагировала и усилила защиту серверов. В отчете указано, что «по результатам расследования не обнаружено признаков воздействия на активы пользователей или их личную информацию».

Keystone принесла извинения за сбой и порекомендовала пользователям обновить приложение до версии 1.3.7. Также компания указала, что необходимо убедиться: разработчиком загружаемого приложения указано «Yanssie HK Limited». Любые другие приложения без указания этого разработчика не являются официальными продуктами Keystone.

Утечка данных, затронувшая 25,964 записей покупателей

Первое сообщение об инциденте появилось, когда Keystone признала факт проникновения злоумышленника в её онлайн-магазин на платформе Shopify.

Несанкционированный доступ был обнаружен 20 октября. Компания подтвердила, что третья сторона выгрузила данные о доставке клиентов 23 октября, а на следующий день опубликовала эту информацию публично.

В похищенных записях содержались имена, контактные данные, адреса доставки и информация о заказах, включая модели приобретённых устройств.

Компания заявила, что данные платёжных карт, банковские реквизиты, фразы для восстановления доступа и приватные ключи не были раскрыты.

Сообщалось, что среди похищенных записей оказались данные 25 964 покупателей, совершивших покупки в период с 2024 по 2026 год. В качестве меры предосторожности компания также учла 12 873 незавершённых чека.

В утечку попали домашние адреса, и это побудило исследователя безопасности Тейлора Монахана указать на риск «атак с гаечным ключом» (wrench attacks) — физических угроз, используемых для принуждения владельцев к передаче криптовалюты.

Платформа безопасности Certik зафиксировала 52 подобных атаки в первой половине 2026 года. За предыдущий год было зарегистрировано лишь 39 таких инцидентов.

18,835 кошельки обречены на уничтожение

Спустя несколько дней после раскрытия факта кражи пользовательских данных Keystone снова оказалась в центре внимания: компания сообщила, что тот же злоумышленник, ответственный за первую атаку, также похитил ключ WebAuth, который используется её устройствами для подтверждения подлинности.

По сообщениям, злоумышленник эксплуатировал уязвимость в стороннем инструменте мониторинга на сайте, чтобы повысить привилегии, после чего получил доступ как к данным клиентов, так и к ключу.

Основная проблема заключается в том, что ключ прошивается в каждое устройство на этапе производства и не может быть перезаписан.

Любой обладатель этого ключа мог бы создать поддельное устройство, проходящее проверку подлинности самой Keystone. В результате компания приняла решение утилизировать все 18 835 непроданных единиц оборудования, содержащих скомпрометированный ключ.

Компания заявила, что кошелёк, доставленный до 20 октября и прошедший проверку, является подлинным. Для устройств со старым ключом, полученных после этой даты, она «не может полностью исключить вероятность того, что он является поддельным», и порекомендовала владельцам связаться с поддержкой перед использованием.

На данный момент не сообщалось о случаях обнаружения поддельных устройств или краж.

Срок хранения сокращён до 90 дней после сбоя инструмента удаления

Keystone заявляла, что стирает данные доставки через 180 дней после оформления заказа. Однако клиенты сообщили о получении уведомлений об утечке данных для покупок, сделанных более двух лет назад.

Автоматизированный инструмент стирки данных компании дал сбой, в результате чего старые записи остались на месте.

Затем Keystone сократила свой срок хранения данных увеличен до 90 дней в результате. Она также попросила Shopify удалить личные данные старше этого срока, при этом ожидаемое удаление просроченных записей должно произойти к 3 ноября.

Конкурент OneKey также ограничила свой срок хранения до 30 дней после инцидента с Keystone.

Многие криптопроекты столкнулись с трудностями в 2026 году из-за кибератак. Поставщики аппаратных кошельков также не остались в стороне.

В августе утечка данных затронула ShipMonk, одного из логистических партнёров Trezor, и повлияла примерно на 81 000 клиентов.

SafePal из-за уязвимости в отслеживании заказов раскрыл данные около 39 798 пользователей, а в перепроданных устройствах Ledger были обнаружены скрытые чипы, которые исследователи блокчейна связывают с убытками свыше 86 миллионов долларов.