Даже успешная проверка не всегда доказывает, что криптокошелёк Keystone настоящий. Производитель 26 октября сообщил, что при взломе сайта злоумышленник похитил заводской WebAuth-ключ, которым подтверждается происхождение устройств. Компания решила уничтожить 18 835 ещё не проданных кошельков, чтобы не отправлять покупателям устройства с ненадёжной проверкой.
Ключ WebAuth записывают в кошелёк при производстве, поэтому удалить или заменить секрет на готовом устройстве нельзя. Получив ключ, атакующий теоретически способен изготовить подделку, которая пройдёт официальную проверку Keystone. Сведений о выпуске подобных устройств пока нет. Недавние случаи подмены кошельков Trezor уже показали опасность аппаратных модификаций.
Похищенный ключ не участвует в создании сид-фраз, получении приватных ключей или подписании транзакций, уточнила Keystone. Поэтому утечка WebAuth сама по себе не даёт преступнику доступа к криптовалюте действующих владельцев. Угроза связана с потенциальной продажей поддельных устройств, которые могут выглядеть настоящими и использоваться для последующей кражи средств.
Keystone прекратила выпуск устройств со старым ключом и перевела производство на новый. Все 18 835 кошельков со склада подлежат уничтожению, а отправку ещё не выполненных заказов через официальный сайт приостановили. До поступления новой партии компания принимает предварительные заказы. Срок возобновления обычных поставок пока не объявлен.
Посторонний доступ к сайту обнаружили 20 октября, а 23 октября подтвердили утечку после проверки операций через Shopify. Расследование показало, что злоумышленник воспользовался уязвимостью стороннего инструмента мониторинга данных и повысил привилегии. Полученные полномочия позволили похитить не только WebAuth-ключ, но и сведения о покупателях.
В Shopify хранились 51 083 записи о покупках. К моменту взлома персональные сведения удалили из 25 119 записей, но ещё 25 964 заказа за 2024–2026 годы содержали имена, контакты, адреса доставки и сведения о товарах. Дополнительно под угрозой оказались 12 873 записей о незавершённых покупках с контактными данными. Количество записей не равно числу пострадавших людей.
Keystone обещала удалять сведения о доставке спустя 180 дней, однако инструмент массового удаления работал с перебоями. Часть запросов завершалась ошибкой, а сотрудники не замечали сбоев, поэтому старые записи сохранились. Компания сократила срок хранения данных до 90 дней. Платёжные реквизиты, сид-фразы, приватные ключи и пароли кошельков, по словам Keystone, не пострадали.
Устройства, полученные до 20 октября, Keystone считает безопасными при успешной проверке подлинности. Владельцам кошельков со старым ключом, доставленных позднее, производитель рекомендует обратиться в поддержку даже при положительной проверке. Возвращать устройства не требуется. Компания предупреждает о мошеннических предложениях замены, напоминающих фишинговые рассылки для клиентов Trezor.