Основатель OneKey Иши Ван пообещал удалять данные клиентов в течение 30 дней после того, как конкурирующий производитель аппаратных кошельков Keystone признал неэффективность своей системы удаления данных через 180 дней. Это признание последовало за утечкой, в результате которой оказались раскрыты данные почти 26 000 покупателей.

В справочном центре Keystone отмечается, что окончательное удаление пользовательских данных выполняет Shopify. Это раскрытие указывает на уязвимость в системах магазинов Shopify и логистических компаний, которые не подконтрольны производителям кошельков, таким как OneKey и Keystone, несмотря на обещание OneKey удалять данные в течение 30 дней.

Почему OneKey сокращает срок хранения данных

Во вторник Ван Иши из OneKey сообщил, что производитель аппаратных кошельков проводит аудит собственной системы безопасности после недавних утечек и атак на цепочки поставок, выявивших уязвимости в сфере, где работает компания.

Ван подчеркнул, что это предупредительная мера, и написал: «В OneKey НЕ было инцидентов, связанных с безопасностью». Решение ограничить срок хранения данных 30 днями — прямой ответ на то, что пошло не так у других компаний.

Причина сокращения срока хранения данных в том, что чем дольше поставщик хранит данные клиентов, тем больше их объём может быть раскрыт в результате утечки.

Что привело к утечке данных Keystone?

Keystone сообщила, что система, которая автоматически удаляла данные клиентов по истечении 180-дневного срока хранения, перестала работать, но никаких тревожных сигналов об этом не поступало. «Мы не выполнили своё обязательство своевременно удалить данные клиентов и берём на себя ответственность за эту ошибку», — заявила компания.

При проверке 51 083 записей о покупателях Shopify Keystone обнаружила, что в 25 964 из них по-прежнему содержались персональные данные: имена, адреса доставки, контактные данные и история покупок. Похоже, данные за 2024 год и более поздние периоды всё ещё хранились, хотя 180-дневный срок уже давно истёк. Компания назвала этот срок после того, как в январе 2026 года клиенты Ledger узнали об утечке у партнёра по электронной коммерции Global-e.

Следователи также обнаружили конфиденциальные данные в 12 873 незавершённых заказах, за которые не была произведена оплата.

В ответ Keystone сократила срок хранения данных до 90 дней.

26 октября Keystone также сообщила, что злоумышленники похитили ключ WebAuth, с помощью которого устройства доказывают свою подлинность. Причиной взлома стала уязвимость в стороннем инструменте мониторинга, позволившая злоумышленникам повысить уровень доступа. Keystone впервые обнаружила подозрительную активность 20 октября.

Поскольку ключ записывается в каждое устройство при производстве и его невозможно перезаписать, Keystone планирует уничтожить все 18 835 устройств с этим ключом, имеющиеся на складе. В новые кошельки будет встроен ключ-замена.

Компания приостановила отправку уже оформленных заказов на сайте и перешла на предварительные заказы.

Обещания удалить данные надёжны лишь настолько, насколько надёжны партнёры, которые их хранят

Важно отметить, что данные клиентов хранят не только производители аппаратных кошельков. Имена, адреса и история заказов клиентов также попадают к платформам электронной коммерции и партнёрам по доставке. Именно на этом уровне произошло большинство недавних утечек.

Утечка данных у Trezor затронула 81 000 клиентов после того, как партнёр по доставке ShipMonk не удалил записи, несмотря на неоднократные письменные заверения. Из-за уязвимости в системе отслеживания заказов SafePal раскрыла данные примерно 39 798 клиентов и с тех пор сократила срок хранения до 90 дней. Ledger подтвердила, что в перепроданных устройствах от CryptoBilis были спрятаны чипы, записывавшие фразы восстановления. Издание Cryptopolitan со ссылкой на исследователей блокчейна оценило убытки более чем в 86 миллионов долларов.

Если вы читаете это, значит, вы уже на шаг впереди. Не отставайте — подпишитесь на нашу рассылку.