Взлом сайта Keystone оказался серьёзнее из-за кражи ключа для проверки подлинности кошельков

Производитель аппаратных кошельков Keystone раскрыл новые детали взлома своего сайта. Изначально компания сообщила только об утечке клиентских данных, но в заявлении на этой неделе признала, что атакующий получил и ключ, который используется для проверки подлинности устройств. Это расширяет масштаб инцидента и создаёт прямую угрозу для покупателей.

Как именно произошёл взлом, компания описала в том же заявлении. Сбой в безопасности обнаружили 20 октября. Хакер использовал уязвимость в стороннем инструменте мониторинга, который применялся на сайте Keystone, и с его помощью повысил свои привилегии в системе. Это дало ему доступ к части клиентской информации и к ключу проверки подлинности. После обнаружения активности Keystone заблокировала несанкционированный доступ и отключила чувствительные функции сайта, после чего начала криминалистическое расследование.

Сам ключ не даёт доступа к средствам напрямую, но позволяет обойти проверку подлинности.

Эти устройства затем могли быть проданы или отправлены клиентам, которые могли бы использовать их как настоящие продукты, что потенциально может привести к краже активов, — говорится в заявлении Keystone.

Проще говоря, злоумышленник мог выпустить поддельный кошелёк, который выглядел бы как оригинал при проверке. Этот ключ вшивается в устройство на заводе и не может быть стёрт или изменён, поэтому компания решила уничтожить 18,835 устройств на складе и приостановила их отгрузку.

Отдельно в Keystone раскрыли объём утечки. Магазин на Shopify сгенерировал 51,083 записи о покупателях. Из них 25,119 удалили в рамках 180-дневной политики хранения данных, но оставшиеся 25,964 записи за 2024–2026 годы могли попасть к хакеру. Причина в сбое автоматического инструмента удаления, так как часть задач не выполнилась, а компания не заметила этого вовремя. Кроме того, злоумышленние мог получить доступ к 12,873 записям оформления заказов, которые Shopify хранил по незавершённым покупкам.

Инцидент продолжает серию атак на производителей аппаратных кошельков в 2026 году. В начале октября Ledger попросила реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи после сообщений о несанкционированных имплантах в устройствах, способных считывать seed-фразы. В конце июля Coinkite, производитель Coldcard, предупредил пользователей об ошибке, из-за которой устройства генерировали seed-фразы с недостаточной защитой, что привело к краже миллионов долларов в криптовалюте.