Что произошло
Производитель аппаратных кошельков Keystone 26 октября 2026 года опубликовал итоги расследования взлома своего сайта, и они хуже первых оценок. Кроме данных покупателей, атакующий получил ключ WebAuth, которым компания подтверждает, что устройство настоящее. Keystone уничтожит 18 835 кошельков со старым ключом со склада и не исключает подделки среди устройств, полученных после 20 октября.
Детали
Ключ WebAuth прошивается в устройство на заводе, и стереть или заменить его потом нельзя. Сид-фразу он не создаёт, приватные ключи не выводит и транзакции не подписывает: его единственная роль — проверка подлинности на официальной странице компании. С этим ключом злоумышленник теоретически может собрать подделку, которая пройдёт эту проверку.
Вход, по данным компании, нашли через уязвимость в стороннем инструменте мониторинга данных на сайте; доступ закрыли 20 октября. Утекли 25 964 записи о покупках 2024–2026 годов (имя, контакты, адрес, состав заказа) и ещё 12 873 незавершённых оформления. Сид-фразы, приватные ключи, банковские данные и документы, по словам Keystone, не затронуты. Отгрузки заказов с сайта остановлены до выпуска партии с новым ключом, срок хранения данных о доставке сокращают со 180 до 90 дней.
Что это значит
Кого касается: владельцев Keystone. Если кошелёк доставили до 20 октября и он проходит проверку на keyst.one/authentication, Keystone считает его подлинным. Если устройство со старым ключом пришло после 20 октября, зелёный результат проверки больше ничего не гарантирует.
Что делать купившим после 20 октября: не создавать кошелёк и не вводить сид-фразу, пока поддержка не подтвердит устройство. Писать на support@keyst.one, адрес набирать вручную. Риск конкретный: поддельный кошелёк может выдать заранее известную злоумышленнику сид-фразу, и всё, что вы на него положите, уйдёт. Общие признаки подмены мы разбирали в материале о том, как проверить аппаратный кошелёк на подлинность.
Чего ждать: Keystone не будет отзывать устройства и не попросит переводить средства. Любой «официальный отзыв», «миграция активов» или «верификация кошелька» в письме, звонке или СМС — мошенничество. Волна такого фишинга по 25 964 утёкшим адресам — риск ближайших недель.
Контекст
О самой утечке данных покупателей мы писали 25 октября: Keystone раскрыл утечку адресов доставки и состава заказов. Тогда компания не называла ни число пострадавших, ни способ атаки; сегодняшнее заявление закрывает оба вопроса.
