Производитель аппаратных биткоин-кошельков Keystone сообщил об изъятии из продажи 18,835 несостоявшихся заказов и приостановлении отправки новых устройств. Причиной стало получение злоумышленниками секретного ключа, использующегося для проверки подлинности продукции компании.
Получив этот ключ, преступники способны создать поддельные устройства, которые пройдут стандартную проверку подлинности на сайте Keystone. Пользователь, купивший такой кошелек и загрузивший туда реальные средства, рискует потерять свои активы.
По словам представителей компании, похищенный злоумышленниками ключ представляет собой уникальный WebAuth-код, прошиваемый в каждый кошелек на этапе производства. Этот код нельзя изменить или удалить, поэтому компания приняла решение уничтожить всю продукцию с этим ключом вместо выпуска в обращение.
Кроме утраты ключа, инцидент привел к раскрытию информации о покупателях. Согласно заявлению Keystone, пострадали 25,964 записей клиентов, приобретавших устройства через магазин на платформе Shopify с 2024 по 2026 годы. Данные включали имена, адреса доставки и информацию о заказах. Ранее компания обещала удалять персональные сведения спустя 180 дней хранения, однако автоматическая система очистки работала некорректно, и часть данных осталась доступной дольше установленного срока.
Keystone уведомила правоохранительные органы Евросоюза, Великобритании и других стран, а также сообщила покупателям о возможных попытках мошенничества. Злоумышленники могут предлагать фальшивые услуги вроде "проверки" или "перевода активов", пытаясь получить контроль над устройствами клиентов.
Для предотвращения дальнейших инцидентов компания сократила срок хранения персональных данных до 90 дней и обратилась к Shopify с требованием удаления просроченных записей. Ожидается, что процесс завершится к 3 ноября 2026 года. Продажи на официальном сайте Keystone переведены в режим предзаказов до завершения выпуска новой партии устройств с обновленной системой аутентификации.