Keystone рекомендовала пользователям обновить приложение Nexus до версии 1.3.7 после того, как кибератака нарушила работу некоторых его сервисов.
Это уже третье сообщение производителя аппаратных кошельков об инциденте безопасности примерно за две недели.
Атака на приложение Nexus и исправление в версии 1.3.7
В пятницу, 6 ноября, Keystone сообщила в X, что некоторые сервисы приложения Nexus подверглись кибератаке и что ряд пользователей не мог пользоваться приложением в течение некоторого времени.
Компания заявила, что команда отреагировала на инцидент и усилила защиту серверов. По итогам расследования компания написала, что «не обнаружила доказательств того, что активы или личная информация пользователей пострадали».
Keystone извинилась за перебои и рекомендовала пользователям обновить приложение до версии 1.3.7. Компания также попросила убедиться, что разработчиком приложения, которое вы скачиваете, указана «Yanssie HK Limited». Все остальные приложения, разработчиком которых не является эта компания, выпущены не Keystone.
Утечка из магазина раскрыла данные 25 964 покупателей
О первой утечке стало известно, когда Keystone признала, что злоумышленник получил доступ к её интернет-магазину на платформе Shopify.
Несанкционированный доступ обнаружили 20 октября. Компания подтвердила, что 23 октября третья сторона похитила данные о доставке клиентов, и уже на следующий день публично сообщила об этом.
В украденных записях содержались имена, контактные данные, адреса доставки и информация о заказах, например о том, какие устройства приобрели покупатели.
Компания заявила, что данные платёжных карт и банковских счетов, фразы для восстановления доступа и закрытые ключи не пострадали.
Сообщалось, что среди украденных записей были данные о 25 964 покупках, совершённых в период с 2024 по 2026 год. Кроме того, в качестве меры предосторожности компания учла 12 873 неоплаченных заказа на этапе оформления.
В утечку попали домашние адреса. Это побудило исследовательницу в области безопасности Тейлор Монахан отметить, что владельцы криптовалют могут подвергнуться «атакам с применением физического насилия» — угрозам, цель которых заставить их передать криптовалюту.
Платформа безопасности криптовалют Certik зафиксировала 52 подобных нападения в первой половине 2026 года. За предыдущий год было зарегистрировано лишь 39 таких случаев.
18 835 кошельков отправят на уничтожение
Через несколько дней после раскрытия кражи пользовательских данных Keystone снова оказалась в новостях: компания сообщила, что тот же злоумышленник, который стоял за первой атакой, похитил ключ WebAuth, используемый устройствами для подтверждения их подлинности.
По сообщениям, злоумышленник воспользовался уязвимостью в стороннем инструменте мониторинга сайта, чтобы повысить свои привилегии, а затем похитил и данные клиентов, и ключ.
Главная проблема в том, что ключ записывается в каждое устройство при производстве и не подлежит перезаписи.
Обладая этим ключом, любой мог бы создать поддельное устройство, которое прошло бы фирменную проверку подлинности Keystone. Компания решила уничтожить все 18 835 непроданных устройств с скомпрометированным ключом
Компания заявила, что кошелёк, доставленный до 20 октября и прошедший проверку, подлинный. В отношении устройств со старым ключом, полученных после этой даты, Keystone «не может полностью исключить вероятность того, что устройство поддельное» и советует владельцам связаться со службой поддержки, прежде чем пользоваться им.
На данный момент компания не сообщала о поддельных устройствах или кражах.
Срок хранения сократили до 90 дней после сбоя инструмента удаления данных
Keystone заявляла, что удаляет данные о доставке через 180 дней после оформления заказа. Однако покупатели сообщили, что получили уведомления об утечке данных о покупках, совершённых более двух лет назад.
Автоматизированный инструмент компании для удаления данных дал сбой, и старые записи остались в системе.
В результате Keystone сократила срок хранения данных до 90 дней. Компания также попросила Shopify удалить персональные данные старше этого срока; просроченные записи должны быть удалены к 3 ноября.
После инцидента с Keystone конкурирующая компания OneKey также ограничила срок хранения данных 30 днями.
В 2026 году многие криптопроекты переживают непростой период из-за кибератак. Производителей аппаратных кошельков они тоже не обошли стороной.
В августе утечка данных у ShipMonk, одного из логистических партнёров Trezor, затронула около 81 000 клиентов.
Из-за уязвимости в системе отслеживания заказов SafePal раскрыла данные примерно 39 798 клиентов, а Ledger обнаружила скрытые чипы в перепродаваемых устройствах, которые исследователи блокчейна связали с убытками на сумму свыше 86 миллионов долларов.
Не просто читайте новости о криптовалютах — разбирайтесь в них. Подпишитесь на нашу рассылку. Это бесплатно.