Keystone обещал удалять данные клиентов - утечка показала, что обещание не выполнялось

Холодный кошелек Keystone должен был защищать владельцев криптовалюты от злоумышленников, но подвела не сама железка, а интернет-магазин компании. Производитель признал, что в его базе на Shopify произошла утечка данных клиентов, а часть пострадавших пользователей утверждает, что их информация должна была быть удалена задолго до инцидента, потому что компания сама обещала стирать такие записи. Keystone годами заявляла клиентам, что данные о доставке удаляются через 180 дней после заказа, однако некоторые пользователи на X пишут, что их личные данные из куда более старых заказов все равно оказались в руках третьих лиц.

Что именно произошло с сайтом Keystone

Производитель аппаратного холодного кошелька сообщил, что третья сторона получила доступ к данным клиентов через его интернет-магазин на платформе Shopify, включая имена, контакты, адреса доставки и подробности заказов, вплоть до названий купленных товаров и их цен. Keystone заявила, что обнаружила несанкционированный доступ к своему официальному сайту 20 октября, а три дня спустя, "после проверки активности API с Shopify", подтвердила, что неустановленная третья сторона получила конфиденциальные данные клиентов. Публично компания извинилась в субботу, 24 октября, в посте на X.

"Вы доверили нам эти данные, и нам жаль, что мы не смогли их сохранить в безопасности" - написала Keystone.

По словам компании, инцидент затронул имена клиентов, контактные данные, адреса доставки и информацию о заказах, включая названия и цены товаров, но не включал данные банковских карт или счетов, сид-фразы, приватные ключи или пароли от кошельков. То есть сам холодный кошелек как устройство и его криптографическая защита не пострадали ни на секунду - проблема вылезла ровно там, где обычно и вылезает, в обычном интернет-магазине.

Обещание удалить данные и то, как в него не поверили

Самое неприятное в этой истории не сама утечка, а расхождение между словами компании и тем, что обнаружили пострадавшие. Keystone утверждала, что удаляет данные клиентов через 180 дней после их заказов, но несколько клиентов Keystone заявили в X, что их данные были раскрыты, хотя их заказы были старше 180 дней. Политика конфиденциальности компании действительно описывает именно такой срок хранения. Shopify управляет интернет-магазином производителя и обрабатывает информацию о заказах, согласно политике конфиденциальности компании, которая также гласит, что записи удаляются через 180 дней, если клиент не оформлял новый заказ.

Если жалобы пользователей подтвердятся, получится не просто взлом, а история о том, что компания хранила личные данные дольше заявленного срока - а значит, под удар попали люди, которые давно забыли, что вообще когда-то заказывали холодный кошелек у этого бренда. Сколько именно клиентов затронула утечка, Keystone до сих пор не раскрыла. Компания заявила, что заблокировала вторжение, устранила уязвимость и начала уведомлять пострадавших клиентов, однако не сообщила, сколько покупателей пострадало и как именно произошел несанкционированный доступ.

Холодный кошелек это не только про железо - при чем тут вообще интернет-магазин

Холодный кошелек это устройство или способ хранения, где приватные ключи никогда не подключаются к интернету, поэтому украсть монеты удаленно практически невозможно. Именно поэтому холодный криптокошелек вроде Keystone считается куда надежнее горячих онлайн-решений - блокчейн кошелек в браузере или на бирже постоянно на связи с сетью, а значит теоретически уязвим для атаки через вредоносный код или фишинг. Бумажный кошелек биткоин работает по схожей логике: ключ существует только на физическом носителе и не хранится ни на одном сервере.

Но покупка любого устройства для холодного хранения криптовалюты требует доставки, а значит и ввода настоящего имени и адреса в обычный интернет-магазин на обычной платформе вроде Shopify. Получается забавный парадокс: биткоин кошелек защищен сильнее банковского сейфа, а данные о том, кто и куда его заказал, лежат в базе данных, уязвимой точно так же, как любой другой онлайн-магазин. Кастодиальный кошелек это совсем другая история - там провайдер хранит ключи сам и несет ответственность за их сохранность, тогда как холодный кошелек для криптовалюты оставляет ключи у владельца, но его персональные данные все равно проходят через чужие серверы при покупке.

2026-й год выдался тяжелым для производителей аппаратных кошельков

Keystone Hardware Wallet - далеко не первая и явно не последняя компания в этом списке. Этот инцидент пополняет растущий список производителей аппаратных кошельков, столкнувшихся с проблемами безопасности в 2026 году, включая Ledger, Trezor, Safepal и Coldcard. У Coldcard ранее обнаружили серьезный баг со слабой генерацией случайных чисел для сид-фраз, а Ledger столкнулся с сообщениями о подмененных устройствах, которые распространялись через стороннего реселлера. В августе того же года утечка через провайдера доставки Trezor также раскрыла информацию о клиентах, продемонстрировав, как логистические и e-commerce системы создают риски помимо самих устройств.

Похожая история с холодным кошельком Ledger уже случалась и раньше, причем именно поэтому ее сейчас вспоминают журналисты чаще всего. В ходе первоначального расследования Ledger выявила около миллиона скомпрометированных адресов электронной почты и подробные личные данные примерно 9500 клиентов. Эта утечка 2020 года до сих пор аукается владельцам тех устройств фишинговыми письмами и поддельными звонками от "поддержки".

Что делать владельцам Keystone прямо сейчас

Keystone официально предупредила, что злоумышленники могут выдавать себя за представителей компании по телефону, в сообщениях, письмах или даже обычной почтой, предлагая возврат средств, замену устройства или исправление заказа и адреса. Главный совет компании прост и звучит почти как мантра всех разработчиков холодных кошельков.

• Никогда не сообщайте сид-фразу или приватные ключи никому, даже если звонящий называет точный номер вашего заказа.
• Не вводите сид-фразу в устройство, которое вы лично не заказывали и не распаковывали сами.
• Проверяйте любые письма от компании только через официальный сайт, а не по ссылкам из входящих сообщений.
• Если получили подозрительный звонок или письмо, лучше просто игнорировать его, а не вступать в переписку.

Утечка не затронула ключи и сид-фразы напрямую, но дала злоумышленникам ровно то, что нужно для убедительного обмана, настоящие имена, адреса и список купленных товаров. Та же логика применима и к программным кошелькам. Например, Electrum кошелек подвел пользователей, когда обычное повышение комиссии превращалось в кражу BTC, а чуть позже разработчики выпустили патч, о котором стоит знать каждому держателю биткоина. Если вы давно не обновляли программное обеспечение своего кошелька, самое время заглянуть в материал о том, как Bitcoin Core меняет правила безопасности из-за ИИ и что нужно проверить, чтобы не остаться с устаревшей и уязвимой версией софта.

Keystone пообещала выпустить подробный отчет о расследовании в ближайшие дни, но пока ни точное число пострадавших, ни детали взлома компания не раскрыла. История с 180 днями хранения данных, которые на деле могли храниться куда дольше, напоминает простую вещь. Холодный кошелек надежен ровно настолько, насколько надежна вся инфраструктура вокруг него, от прошивки устройства до самого обычного интернет-магазина, где вы его когда-то купили.

Автор

Barbados