Що сталося
Виробник апаратних гаманців Keystone 26 жовтня 2026 року оприлюднив підсумки розслідування злому свого сайту, і вони гірші за перші оцінки. Окрім даних покупців, зловмисник отримав ключ WebAuth, яким компанія підтверджує, що пристрій справжній. Keystone знищить 18 835 гаманців зі старим ключем зі складу й не виключає підробок серед пристроїв, отриманих після 20 жовтня.
Деталі
Ключ WebAuth записують у пристрій на заводі, і стерти чи замінити його згодом неможливо. Сід-фразу він не створює, приватні ключі не виводить і транзакцій не підписує: його єдина роль — перевірка справжності на офіційній сторінці компанії. Маючи цей ключ, зловмисник теоретично може зібрати підробку, яка пройде таку перевірку.
Вхід, за даними компанії, знайшли через вразливість у сторонньому інструменті моніторингу даних на сайті; доступ закрили 20 жовтня. Витекли 25 964 записи про покупки 2024–2026 років (ім’я, контакти, адреса, склад замовлення) і ще 12 873 незавершені оформлення. Сід-фрази, приватні ключі, банківські дані та документи, за словами Keystone, не постраждали. Відвантаження замовлень із сайту зупинено до випуску партії з новим ключем, термін зберігання даних про доставку скорочують зі 180 до 90 днів.
Що це означає
Кого стосується: власників Keystone. Якщо гаманець доставили до 20 жовтня і він проходить перевірку на keyst.one/authentication, Keystone вважає його справжнім. Якщо пристрій зі старим ключем надійшов після 20 жовтня, зелений результат перевірки більше нічого не гарантує.
Що робити тим, хто купив після 20 жовтня: не створювати гаманець і не вводити сід-фразу, доки підтримка не підтвердить пристрій. Писати на support@keyst.one, адресу набирати вручну. Ризик конкретний: підроблений гаманець може видати сід-фразу, наперед відому зловмиснику, і все, що ви на нього покладете, зникне. Загальні ознаки підміни ми розбирали в матеріалі про те, як перевірити апаратний гаманець на справжність.
Чого чекати: Keystone не відкликатиме пристрої й не проситиме переказувати кошти. Будь-яке «офіційне відкликання», «міграція активів» чи «верифікація гаманця» в листі, дзвінку або SMS — шахрайство. Хвиля такого фішингу за 25 964 адресами, що витекли, — ризик найближчих тижнів.
Контекст
Про сам витік даних покупців ми писали 25 жовтня: Keystone розкрив витік адрес доставки та складу замовлень. Тоді компанія не називала ні кількості постраждалих, ні способу атаки; сьогоднішня заява закриває обидва питання.
