Взлом сайта Keystone затронул данные покупателей и ключ проверки подлинности устройств, но не приватные ключи на кошельках. Другая компания, Foundation, сообщила о фишинговых письмах, выглядевших как отправленные с её доменов. Оба инцидента затронули системы компаний и данные клиентов.
Keystone обнаружила посторонний доступ к своему сайту 20 октября. Через три дня компания проверила активность API вместе с Shopify и подтвердила утечку сведений о доставке заказов. Keystone сообщила, что атакующий использовал уязвимость стороннего инструмента мониторинга данных на сайте и повысил свои права доступа.
Среди полученных злоумышленником данных оказались имена покупателей, контакты, адреса доставки, купленные товары и цены. Персональная информация сохранилась в 25 964 записях о покупках за 2024—2026 годы. Ещё 12 873 записей о неоплаченных заказах содержали имена, контакты и адреса доставки. Всего в Shopify хранились 51 083 записи о покупателях, но сведения более чем в 25 000 из них компания удалила или обезличила до взлома.
Атакующий также получил ключ WebAuth, который Keystone использует на странице проверки подлинности устройств. Его записывают в кошельки при производстве, а затем нельзя стереть или заменить. Поэтому компания уничтожит 18 835 устройств на складе со старым ключом и не станет их продавать или отправлять покупателям.
Устройства, доставленные до 20 октября, Keystone разрешает проверять обычным способом. Если кошелёк со старым ключом пришёл после этой даты, успешная онлайн-проверка не позволяет компании полностью исключить подделку. Таким покупателям Keystone предлагает обратиться в поддержку для дополнительной проверки.
Компания признала и сбой в хранении клиентских данных. По её правилам сведения должны удаляться через 180 дней, но инструмент массового удаления работал ненадёжно. Keystone не обнаружила часть неудачных попыток удаления вовремя.
Foundation сообщила о письмах, которые выглядели как отправленные с доменов компании. В них утверждалось, что поставщик изменил модули дисплея некоторых кошельков, деньги с затронутых устройств уже похищают, а получателю требуется срочно отозвать свой кошелёк. Компания назвала предупреждение ложным.
Сначала Foundation связала рассылку с компрометацией одного или нескольких API-ключей Cloudflare. Она отозвала все такие ключи и отключила вредоносный домен из писем. Позже сооснователь и глава компании Зак Герберт сообщил, что злоумышленники получили доступ к части серверной инфраструктуры через уязвимость в приложении, которое Foundation размещала самостоятельно. По его оценке, атакующие, вероятно, смогли попасть в почтовый ящик поддержки и отправлять письма, выглядевшие подлинными.
Foundation заявила, что лишила злоумышленников возможности отправлять письма и удалила их из своих систем в течение 10 минут после первых сообщений пользователей. В некоторых письмах были почтовые адреса или номера телефонов. Герберт предположил, что эти сведения могли поступить из переписки с поддержкой, недавних заказов в новом магазине Foundation на Shopify либо при сопоставлении с другими недавними утечками в криптоиндустрии. Компания заверила, что устройства Passport безопасны.
Правила Foundation предусматривают удаление имени, адреса, телефона и электронной почты через 60 дней после отправки заказа. Однако пользователи сообщали о письмах с персональными данными, связанными со старыми покупками; такие сообщения получили и некоторые люди, ранее просившие удалить их сведения. При дополнительной проверке компания выяснила, что после переноса базы данных копии старых заказов остались в устаревших таблицах прежнего магазина на WooCommerce. Панель администратора не показывала, что там всё ещё есть личная информация.
В январе производитель аппаратных кошельков Ledger сообщал об утечке имён и контактов части покупателей после взлома стороннего платёжного оператора. Trezor сталкивалась с утечками через поставщиков услуг доставки и электронной рассылки: инцидент у ShipMonk затронул около 80 000 клиентов, а взлом Brevo позволил отправить фишинговые письма подписчикам рассылки. Инцидент у Brevo затронул и производителя кошельков BitBox.
Другие инциденты с аппаратными кошельками приводили к прямой потере средств: с уязвимостью прошивки Coldcard и атакой на цепочку поставок Ledger связывают более $200 млн (около 16 млрд ₽) предполагаемых потерь пользователей. Ошибка Coldcard снижала случайность при создании сид-фраз на некоторых устройствах. В кошельки Ledger до доставки покупателям устанавливали скрытые компоненты, которые перехватывали ключи при первоначальной настройке.