BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Производитель аппаратных кошельков Keystone Wallet признал, что злоумышленники получили несанкционированный доступ к его официальному сайту и утащили данные клиентов. Неприятность случилась в на редкость неудачный момент: индустрия холодных кошельков и так переживает не лучшие времена, поскольку с лета похожие истории происходят с Ledger и Trezor.
Что именно произошло с Keystone Wallet
Компания сообщила о проблеме на выходных, хотя сам инцидент случился заметно раньше. По словам представителей бренда, несанкционированный доступ к сайту был зафиксирован ещё 20 октября. После этого команда начала разбирать логи активности API на платформе Shopify, на которой работает интернет-магазин компании, и спустя несколько дней подтвердила худшие опасения - посторонний действительно вытащил данные о доставке заказов.
В утёкшем массиве оказались имена покупателей, контактные данные, адреса доставки, а также информация о самих заказах - какие именно устройства приобретались и по какой цене. Keystone Wallet отдельно подчеркнул, что платёжные данные, банковские реквизиты, пароли от кошельков, сид-фразы и приватные ключи затронуты не были. То есть теоретически деньги пользователей напрямую не под угрозой, но это не повод расслабляться.
После обнаружения взлома компания заблокировала доступ злоумышленника, закрыла уязвимость, начала внутреннее расследование и приступила к рассылке уведомлений пострадавшим клиентам. Keystone Wallet пообещал опубликовать более детальный отчёт в ближайшие дни, когда расследование продвинется дальше.
Почему утечка адресов опаснее, чем кажется
Казалось бы, ну украли адрес и телефон, с кем не бывает. Но в случае с владельцами аппаратных кошельков это куда серьёзнее обычной утечки интернет-магазина. Если у злоумышленника на руках есть подтверждённый факт, что конкретный человек по конкретному адресу купил именно Keystone Wallet, это готовый сценарий для прицельного фишинга или социальной инженерии.
Keystone Wallet прямо предупредил клиентов, что мошенники могут представляться сотрудниками компании по телефону, в смс, по почте и даже обычными письмами, предлагая возврат средств, замену устройства или "срочное исправление уязвимости". Схема банальная, но именно поэтому она работает: человек видит сообщение с реальными деталями своего заказа и теряет бдительность.
Злоумышленники могут использовать утёкшие данные для имитации официальных обращений Keystone Wallet, предлагая возврат средств, замену устройств или исправления, которых на самом деле не существует.
Если вы получаете подобное сообщение якобы от Keystone Wallet, безопаснее всего не переходить по ссылкам и не вводить сид-фразу нигде, кроме самого устройства. Ни один легитимный производитель холодного кошелька никогда не попросит продиктовать или ввести recovery-фразу через сайт, почту или звонок.
Ledger: скрытый имплант в устройствах из Юго-Восточной Азии
История с Keystone Wallet стала далеко не единственной за последние месяцы. Ранее в этом месяце Ledger признал, что злоумышленники модифицировали часть подлинных устройств, которые распространялись через отдельных реселлеров в Юго-Восточной Азии. В корпус встраивался скрытый аппаратный имплант, способный считывать 24-словную фразу восстановления прямо во время первоначальной настройки и передавать её через LTE-соединение.
Ledger подчеркнул, что речь идёт о локальной атаке на конкретный канал сбыта, а не о взломе инфраструктуры компании. Secure Element, операционная система устройств и внутренние серверы якобы не были затронуты. Тем не менее по предварительным оценкам с этими модифицированными устройствами связывают кражи на сумму свыше 86 миллионов долларов, хотя сама компания эту цифру официально не подтвердила.
Стоит напомнить, что линейка Ledger включает в себя разные модели, от бюджетных до флагманского Ledger Nano X, который работает с десктопными приложениями на Windows, macOS и Linux, а также интегрируется с популярными софтверными кошельками вроде MetaMask. Кстати, если вы только разбираетесь, как связать аппаратный кошелёк с софтверным интерфейсом, у нас есть подробный гайд по MetaMask, который заодно объясняет логику связки metamask ledger для повседневных операций с USDT и другими токенами.
Trezor: утечка через логистического партнёра разрослась в разы
Проблемы есть и у второго гиганта рынка холодных кошельков. Ещё этим летом Trezor столкнулся с утечкой через логистического партнёра ShipMonk, из-за которой наружу попали имена клиентов, электронные адреса, телефоны, адреса доставки и данные о заказах. Изначально компания заявляла, что пострадали данные свыше 13 тысяч пользователей в США, но по мере расследования эта цифра выросла до более чем 80 тысяч клиентов.
Напомним, Trezor производит несколько моделей, включая бюджетную Trezor One и более новые устройства линейки Trezor Model, и давно позиционирует себя как альтернативу trezor ledger на рынке холодного хранения. Купить устройство можно напрямую через trezor shop или на официальном сайте trezor com, и именно оформление заказа через сторонний логистический сервис в итоге обернулось проблемой - утечка произошла не из-за уязвимости в самом аппарате, а через подрядчика, который обрабатывал доставку.
Поддержка кошельком trezor coin довольно широкая, устройство работает с десятками сетей и токенов, поэтому даже частичная утечка клиентской базы потенциально затрагивает немалую аудиторию держателей trezor crypto активов по всему миру.
Что это значит для рынка холодных кошельков
Три крупных инцидента за полгода у трёх разных производителей - это уже не случайность, а тревожный тренд. Проблема в том, что аппаратные кошельки продавались рынку как максимально надёжная альтернатива биржевому хранению именно потому, что приватные ключи никогда не покидают устройство. Keystone Wallet, Ledger и Trezor действительно сохранили эту гарантию во всех трёх случаях - ключи и сид-фразы не пострадали. Но сам факт, что слабым звеном оказывается не сам чип, а обвязка вокруг него - сайт на Shopify, логистический подрядчик, канал поставок через реселлеров - заставляет пересмотреть представление о безопасности.
На фоне всех этих историй неудивительно, что регуляторы начинают внимательнее присматриваться к крипто-инфраструктуре в целом, не только к биржам. Про ужесточение правил для криптобирж в Британии мы недавно писали в материале о проверках FCA, и логика там похожая: доверие пользователей к self-custody и к сервисам вокруг него нужно заслуживать постоянно, а не один раз на старте.
Для обычного держателя крипты практический вывод простой. Сам факт утечки данных Keystone Wallet не означает, что ваши средства в опасности напрямую, но означает, что следующие недели стоит быть особенно настороженным к любым звонкам, письмам и сообщениям якобы от производителя устройства. Проверяйте адрес сайта вручную, никогда не вводите сид-фразу по запросу извне и держите в уме, что даже самый надёжный холодный кошелёк не защищает от социальной инженерии, если вы сами откроете дверь.
