У Keystone украли ключ, которым устройства доказывают, что они настоящие

Производитель аппаратных кошельков Keystone признал, что история с утечкой данных на его сайте оказалась куда серьезнее, чем выглядела неделю назад. Теперь выясняется, что злоумышленники украли ключ, которым подтверждается подлинность устройств, а это ставит под вопрос доверие не только к Keystone, но и ко всей нише холодных кошельков, где привычно упоминают такие популярные модели, как Ledger Nano X.

Что обнаружил Keystone после повторной проверки

Изначально компания сообщила лишь об утечке клиентских данных через свой сайт. Но в понедельник Keystone опубликовала новое заявление, в котором признала: атакующий, взломавший сайт на прошлой неделе, получил доступ не только к базе покупателей, но и к ключу верификации устройств.

Эти устройства затем могут быть проданы или отправлены клиентам, которые будут неосознанно использовать их как оригинальные продукты, что потенциально приведет к краже активов, - заявили в Keystone.

Проще говоря, располагая этим ключом, можно собрать поддельный кошелек, который при включении пройдет стандартную проверку подлинности и ничем не будет отличаться от настоящего устройства - пока пользователь не введет туда сид-фразу и не потеряет средства. Мы уже подробно разбирали эту историю, когда стало известно, что у Keystone украли ключ проверки подлинности и как в такой ситуации вообще проверить аппаратный кошелек на подлинность.

18 835 устройств отправят под нож

Атака, по словам Keystone, стала возможна из-за уязвимости в стороннем инструменте мониторинга, который использовался на сайте компании для повышения привилегий. Через эту дыру злоумышленник и добрался до ключа.

Компания объявила, что уничтожит 18 835 единиц товара на складе, в которых использовался скомпрометированный ключ, и приостановила отгрузку всех устройств с ним. Поставки возобновятся только после того, как производство перейдет на новый ключ аутентификации.

Keystone уточнила: устройства, изготовленные и доставленные до инцидента 20 октября, можно считать безопасными, их проверка подлинности по-прежнему заслуживает доверия. А вот за устройства, отправленные после этой даты, компания поручиться уже не может и просит пострадавших клиентов связаться со службой поддержки для дополнительной верификации.

Утечка затронула почти 26 000 покупателей

Отдельно Keystone раскрыла масштаб утечки персональных данных. Магазин компании на Shopify сгенерировал 51 083 записи о покупателях. Из них 25 119 должны были быть удалены в соответствии с политикой хранения данных в 180 дней.

Но оставшиеся 25 964 записи за 2024-2026 годы атакующий все же украл - они не были удалены из-за сбоя в автоматизированном инструменте массового стирания данных.

Инструмент работал ненадежно. Некоторые задачи удаления завершались с ошибкой, и мы не отследили и не устранили эти сбои вовремя, из-за чего часть персональной информации хранилась дольше разрешенного срока, - признали в компании.

Вдобавок атакующий получил доступ еще к 12 873 записям о незавершенных заказах, которые сохранял сам Shopify - то есть информации о покупках, которые так и не были оплачены до конца. Keystone заявила, что обратилась к Shopify с требованием удалить персональные данные из таких записей, хранившихся дольше 30 дней.

Год, когда производители холодных кошельков посыпались один за другим

История с Keystone далеко не единичный случай в 2025 году. Ранее в этом месяце Ledger попросил реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи после сообщений о том, что в устройствах из этого региона обнаружили несанкционированные имплантаты, способные перехватывать сид-фразы.

В конце июля производитель Coldcard, компания coinkite, предупредила пользователей об уязвимости, из-за которой устройства генерировали сиды с меньшей энтропией, чем нужно. Этим воспользовались злоумышленники, и в итоге пострадавшие лишились криптоактивов на миллионы долларов. История во многом похожа на ту, что мы разбирали вокруг кражи 16 миллионов долларов у CoinDCX - там тоже все началось с недооцененной технической уязвимости, а закончилось публичным признанием масштабного ущерба.

В августе Trezor сообщил о взломе у своего партнера по доставке, из-за чего утекли данные клиентов - к сентябрю число пострадавших выросло до более чем 80 000 человек. SafePal в том же августе признал уязвимость в системе отслеживания заказов, затронувшую почти 40 000 клиентов, а BitBox в сентябре стал мишенью фишинговой кампании через скомпрометированного стороннего почтового провайдера.

Если смотреть на всю эту цепочку, появляется ощущение, что связка trezor ledger, которая десятилетиями считалась эталоном холодного хранения, вместе с остальными игроками рынка переживает не лучший год. И это не говоря о куда более раннем прецеденте - утечке данных у Ledger в июне 2020 года, когда наружу утекло более миллиона email-адресов вместе с именами, телефонами и физическими адресами клиентов. Те данные годами подпитывали фишинговые атаки на пользователей.

Что делать владельцам аппаратных кошельков прямо сейчас

Если вы владелец Keystone и получали устройство после 20 октября, стоит обратиться в поддержку компании для дополнительной проверки подлинности, а не полагаться только на встроенный механизм верификации - его как раз и скомпрометировали.

Владельцам других брендов тоже не помешает проверить происхождение устройства, особенно если оно куплено не напрямую у производителя, а через стороннего продавца. Это касается и тех, кто пользуется Ledger Nano X - несмотря на то что сам инцидент к этой модели напрямую не относится, схема атаки с подменой устройства универсальна для всей индустрии. Если вы покупали Ledger Nano X на вторичном рынке или у неофициального реселлера, разумно свериться с официальными каналами проверки подлинности перед тем, как заводить на устройство реальные средства.

Отдельный момент касается тех, кто настраивает устройство через ledger linux - при работе на Linux стоит убедиться, что используется актуальная версия Ledger Live и проверены контрольные суммы прошивки, а не просто визуальный вид коробки и голограммы. То же касается связки metamask ledger, которую многие держат для подписания транзакций в DeFi - если физическое устройство подделано, то даже безупречно настроенный MetaMask не защитит от перехвата сид-фразы на этапе инициализации кошелька.

Стоит помнить и о программных кошельках - там своя история рисков. Например, разработчики Electrum в свое время закрывали дыру, через которую деньги утекали злоумышленникам из-за подмены транзакций. Аппаратное устройство снижает часть рисков, но не отменяет необходимость проверять весь путь, от покупки до первой транзакции.

Что это значит для рынка холодных кошельков

Главный вывод из истории с Keystone прост и неприятен одновременно. Весь смысл аппаратного кошелька заключается в том, что ему можно доверять больше, чем софту на компьютере или телефоне, именно потому что у производителя есть механизм подтверждения подлинности устройства. Когда этот механизм ломают, обесценивается вся идея холодного хранения для конкретной партии устройств.

При этом индустрия параллельно переживает и другие тревожные тенденции - например, кастодиальные и полукастодиальные сервисы начинают экспериментировать со списанием средств за неактивность, как это случилось с Blink Wallet, что заставляет пользователей еще внимательнее выбирать, кому и чему доверять хранение своих монет.

Для обычного держателя крипты вывод один: ни один бренд, будь то Keystone, Coinkite, Trezor или Ledger Nano X, не застрахован от инцидентов такого рода. Разница лишь в том, насколько быстро и честно компания сообщает о проблеме и насколько прозрачно объясняет, что делать дальше. Keystone хотя бы не стал замалчивать масштаб происшествия - а это уже немало на фоне того, как некоторые игроки рынка предпочитают отмалчиваться до последнего.

Автор

Barbados