Keystone уничтожит 18 835 кошельков после кражи ключа проверки
Keystone уничтожит 18 835 непроданных аппаратных криптокошельков после того, как злоумышленник получил ключ проверки подлинности устройств. Компания сообщила, что сид-фразы и приватные ключи владельцев не были затронуты, однако украденный ключ способен помочь создать подделку, проходящую онлайн-проверку.
Несанкционированный доступ Keystone обнаружила 20 октября и заблокировала его в тот же день. 26 октября компания заявила, что все новые устройства получат другой ключ, а уже выпущенные экземпляры со старым ключом нельзя перевести на новый.
Почему проверка подлинности перестала быть достаточной
Владельцу Keystone предлагается отсканировать QR-код на странице проверки и ввести на сайте код, показанный устройством. В открытой прошивке компании QR-код содержит этот код в зашифрованном виде, а кошелёк расшифровывает его записанным ключом. Совпадение кода должно подтверждать наличие ключа в устройстве.
Но копия ключа позволяет изготовить контрафактный кошелёк, который выдаст корректный код и успешно пройдёт эту процедуру. Keystone отмечает, что такое устройство может быть продано или отправлено покупателю и использовано для кражи криптоактивов. На момент заявления компания не сообщала о выявленных подделках или хищениях.
Ключ применяется только для этой проверки: он не участвует в генерации фразы восстановления, создании приватных ключей и подписании транзакций. Проблема в том, что ключ записывается при производстве в память однократной записи. Прошивка не принимает второй ключ, поэтому выпущенные устройства нельзя обновить для работы с новой проверкой.
Какие данные получили злоумышленники
По версии Keystone, атакующий использовал уязвимость стороннего инструмента мониторинга данных на сайте компании, повысил привилегии и получил клиентские данные вместе с ключом. Уязвимость устранена, однако Keystone не уточнила, когда именно злоумышленник впервые получил доступ и где хранился ключ.
Инцидент затронул 25 964 записи покупателей, оформивших заказы через сайт Keystone в 2024–2026 годах. В них содержались имена, контакты, адреса доставки и сведения о заказах. Интернет-магазин работает на Shopify, которая хранила и обрабатывала эти данные. Реквизиты карт, банковские данные и номера удостоверений личности, по заявлению Keystone, не пострадали.
Компания также включила в меры реагирования 12 873 записи незавершённых заказов с именами, контактами и информацией о доставке. Keystone обещала удалять такие сведения через 180 дней после заказа, но созданный ею инструмент массового удаления работал ненадёжно: часть удалений не выполнялась, и это не было вовремя замечено.
Что делать владельцам устройств
Keystone сократила срок хранения персональных данных со 180 до 90 дней и попросила Shopify удалить данные покупателей старше 90 дней; завершение этой операции ожидается 3 ноября. Компания уведомляет затронутых клиентов по электронной почте и планирует запустить страницу проверки затронутой информации.
Устройство, доставленное до 20 октября и успешно прошедшее проверку, Keystone разрешает использовать как обычно. Владельцам кошельков, полученных после этой даты со старым ключом, следует не использовать устройство до подтверждения подлинности службой поддержки. Поставка заказов с сайта приостановлена до выпуска устройств с новым ключом; правило относится и к покупкам через Amazon или авторизованных реселлеров, поскольку зависит от даты доставки.
Компания отдельно предупреждает о мошенниках: звонки, сообщения или письма о возврате средств, замене, отзыве, проверке кошелька либо помощи с переводом криптоактивов следует считать мошенничеством. Keystone не будет просить вернуть устройство. Для бизнеса этот случай показывает, что защита ключей, вшиваемых в оборудование, должна рассматриваться как часть безопасности цепочки поставок: компрометация такого ключа подрывает доверие к проверке подлинности, даже когда пользовательские секреты не раскрыты.