Взлом Keystone: стоит ли беспокоиться владельцам кошельков?

Взлом Keystone, обнаруженный 20 октября 2026 года, привёл к утечке данных покупателей и краже ключа WebAuth для проверки подлинности устройств. Компания подтвердила утечку 23 октября, а о краже ключа сообщила 26 октября. По её заявлению, seed-фразы, приватные ключи, пароли и платёжные данные не пострадали.

Для владельцев последствия зависят от даты получения устройства и от того, хранились ли их данные в магазине производителя. Согласно рекомендациям Keystone, устройствами, полученными до 20 октября, можно продолжать пользоваться, если они проходят проверку. При этом утечка адресов и контактов создаёт риск мошенничества, а для устройств, полученных 20 октября или позже, успешной проверки уже недостаточно, чтобы исключить подделку.

Взлом Keystone: что произошло и что подтверждено

Хронология

20 октября системы мониторинга Keystone зафиксировали необычную активность на сайте. В тот же день компания заблокировала злоумышленнику доступ, а впоследствии устранила уязвимость. Проверив 23 октября журнал запросов к программному интерфейсу (API) платформы Shopify, на которой работает интернет-магазин Keystone, компания подтвердила, что посторонний получил данные клиентов. Первое публичное сообщение об утечке появилось 24 октября, а подробное заявление о краже ключа и масштабах инцидента Keystone опубликовала 26 октября.

Злоумышленник воспользовался уязвимостью стороннего инструмента мониторинга данных, который работал на сайте, и получил расширенные права доступа. Keystone не называет этот инструмент и не объясняет, где хранился украденный ключ. В последующих ответах пользователям компания уточнила, что ключ попал к злоумышленнику 20 октября, поэтому рекомендует дополнительную проверку для устройств, полученных в этот день или позже.

Какие данные утекли

По данным Keystone, инцидент затронул 51 083 записи о покупателях в Shopify. В 25 119 записях персональные данные удалили ещё до атаки, поэтому обезличенные сведения о заказах уже не содержали имён, контактов или адресов доставки.

Однако 25 964 записи за 2024–2026 годы ещё содержали персональные данные: имена, контактную информацию, адреса доставки и сведения о заказах, включая список товаров и цены. Отдельно Shopify хранил 12 873 записи о незавершённых заказах: пользователи ввели свои данные при оформлении покупки, но не завершили оплату. Часть этих сведений могла быть неполной или неточной, однако Keystone планирует предупредить о риске и этих пользователей.

По заявлению Keystone, утечка не затронула данные платёжных карт, банковские реквизиты, номера документов, удостоверяющих личность, seed-фразы, приватные ключи и пароли к кошелькам. Компания также сообщила, что данные покупателей, которые заказывали через Amazon и другие каналы продаж, не пострадали.

Почему данные хранились дольше обещанного

Keystone обещала удалять адреса доставки через 180 дней после заказа, однако автоматический инструмент массового удаления работал ненадёжно. Компания вовремя не заметила, что часть заданий на удаление завершалась ошибкой, поэтому в базе остались и записи за 2024 год, которые давно должны были быть удалены.

Теперь Keystone сокращает срок хранения до 90 дней. Компания сообщила, что 24 октября направила Shopify запросы на удаление персональных данных покупателей, которые хранились дольше этого срока. Keystone ожидает, что Shopify удалит эти данные 3 ноября, после обязательного периода ожидания. Для незавершённых покупок отдельно подан запрос на удаление данных старше 30 дней. С похожей проблемой хранения данных дольше заявленного срока столкнулась и Foundation.

Украденный ключ WebAuth и проверка подлинности устройства

Как работает проверка

Для проверки Вы сканируете устройством QR-код на странице Keystone, а затем вводите на сайте код, который появляется на экране кошелька. В открытом коде прошивки видно, что устройство расшифровывает данные из QR-кода с помощью записанного в него ключа и показывает проверочный код. Поскольку правильный ответ подтверждает наличие этого ключа, злоумышленник, у которого есть его копия, может пройти проверку и на поддельном устройстве.

Что ключ даёт злоумышленнику

По заявлению Keystone, ключ WebAuth используется только для проверки подлинности и не участвует в генерации seed-фразы, вычислении приватных ключей или подписании транзакций. Сама по себе его кража не даёт доступа к средствам на подлинных устройствах, которыми владельцы уже пользуются.

С украденным ключом злоумышленник может изготовить подделку, которая пройдёт официальную проверку, и продать её или доставить покупателю. Keystone не описывает конкретного способа кражи средств, однако такая подделка потенциально может передавать seed-фразу злоумышленнику или генерировать её так, чтобы она была ему известна заранее.

Об обнаруженных подделках или кражах средств, связанных с этим инцидентом, Keystone не сообщала.

Почему ключ нельзя заменить на старых устройствах

Keystone объясняет, что записанный при производстве ключ нельзя стереть или перезаписать, поэтому заменить его на уже выпущенных устройствах не получится. В устройства следующих партий будут записывать новый ключ, а 18 835 устройств со старым ключом, оставшихся на складе, компания уничтожит. Отправка заказов с сайта приостановлена до выпуска партии с новым ключом.

Кого это касается

Рекомендации Keystone по проверке подлинности кошельков зависят от даты получения устройства. В заявлении от 26 октября компания разделила устройства, доставленные до и после 20 октября, а в ответе от 27 октября отдельно посоветовала обратиться в поддержку тем, кто получил кошелёк 20 октября или позже. Место покупки имеет значение для другого риска: от него зависит, могли ли злоумышленники получить Ваши персональные данные из магазина производителя.

В Украине Keystone заказывают как напрямую на keyst.one, так и через авторизованных реселлеров. Компания прямо указала, что утечка из её магазина на Shopify не затронула данные покупателей, которые заказывали через Amazon или другие каналы продаж. Это не меняет рекомендаций по самому устройству: они зависят от даты получения, поскольку ключ записан в кошельке.

Утечка адресов и контактов: риски для покупателей

Фишинг от имени Keystone

Зная имя, адрес, телефон и список купленных товаров, мошенник может составить убедительное сообщение с точными деталями покупки. Keystone предупреждает о возможных предложениях вернуть деньги, заменить устройство, «исправить» заказ или адрес либо провести «миграцию активов». Мошенники также могут требовать вернуть кошелёк под предлогом отзыва устройств. Keystone не просит возвращать устройства, поэтому такие требования следует считать мошенническими.

Украденные списки могут использоваться годами. После утечки из базы Ledger в 2020 году стали известны имена, адреса и телефоны около 272 тысяч покупателей. В 2025 и 2026 годах пользователи сообщали о бумажных письмах с QR-кодами, которые вели на поддельные сайты с требованием ввести seed-фразу. Под предлогом отзыва устройств мошенники действовали и против Foundation: в конце октября её клиенты получили письма о якобы модифицированных модулях дисплея.

В Украине похожий приём знаком по звонкам от «службы безопасности банка». Используя данные из утечки, мошенники могут так же обращаться от имени Keystone по телефону, в Telegram или Viber. Знание Вашего имени, адреса и модели устройства делает такое обращение убедительнее, но не подтверждает личность собеседника. Если от имени Keystone у Вас просят seed-фразу, требуют отправить устройство или перевести средства, прекратите общение и проверьте информацию на keyst.one, введя адрес вручную.

В материале про криптофишинг и письма с официальных доменов мы объясняем, как проверять обращения производителя и что делать, если Вы уже передали мошенникам данные.

Физическая безопасность

Адрес доставки аппаратного кошелька может указывать, где живёт человек, владеющий криптовалютой. Сведения о заказе показывают, какие устройства человек купил и сколько за них заплатил, но не раскрывают сумму его криптоактивов. Тем не менее злоумышленники могут использовать связь между именем, адресом и покупкой кошелька для угроз, вымогательства или подготовки физического нападения.

По подсчётам CertiK, в первом полугодии 2026 года произошло 52 подтверждённых нападения с физическим принуждением — так называемые wrench-атаки. Это на треть больше, чем за тот же период предыдущего года. Двадцать случаев были связаны с проникновением в жильё, а 39 из 52 нападений зафиксировали в Европе, в том числе 33 — во Франции.

При будущих покупках доставка в отделение или почтомат позволит не указывать домашний адрес, хотя имя и телефон всё равно могут сохраняться в данных заказа.

Keystone на фоне других инцидентов 2026 года

В этом году инциденты происходили и у других производителей аппаратных кошельков. В случаях с устройствами Ledger, проданными через CryptoBilis, и с Coldcard владельцы потеряли средства.

9 октября Ledger начала расследовать сообщения пользователей из Юго-Восточной Азии о пропаже средств, а 10 октября подтвердила наличие стороннего аппаратного импланта в устройстве одного из пострадавших. 13 октября команда Ledger Donjon объяснила, что дополнительная схема считывает seed-фразу с экрана во время настройки и отправляет её через мобильную сеть. По заявлению Ledger, имплант не изменяет защищённый чип или операционную систему; признаков взлома собственной инфраструктуры компания не обнаружила.

Все случаи потери средств, которые Ledger подтвердила в рамках этого инцидента, были связаны с устройствами от реселлера CryptoBilis. Ранние оценки ущерба превышали 86 миллионов долларов, а в обновлённом исследовании Bitquery от 16 октября говорится о 102 миллионах долларов из 335 кошельков. Это оценка аналитиков: Ledger общую сумму ущерба не подтвердила.

30 июля Coinkite, производитель Coldcard, опубликовала предупреждение об ошибке в генераторе seed-фраз в уязвимых версиях прошивки. Злоумышленники могли воспроизводить соответствующие приватные ключи и красть средства без доступа к устройству. Для Mk2 и Mk3 уязвимы версии 4.0.1–4.1.9. В обновлённом предупреждении Coinkite также перечисляет уязвимые версии для Mk4, Mk5 и Q и приводит исправленные выпуски прошивки для каждой модели. Обновление прошивки не исправляет seed-фразу, созданную ранее, поэтому для таких кошельков производитель даёт отдельные рекомендации по переводу средств. Причину уязвимости и необходимые действия мы подробнее разобрали в статье о взломе Coldcard.

По данным Galaxy Research от 14 августа, потери, которые исследователи считают достоверно подтверждёнными, составили 1 778,84 BTC, или около 112,7 миллиона долларов по тогдашнему курсу. Оценка в 153 миллиона долларов включала также возможные кражи, которые исследователи ещё не подтвердили.

У Trezor произошли утечки через логистического подрядчика ShipMonk и сервис почтовых рассылок Brevo. По обновлённым данным Trezor, первый инцидент затронул 80 689 клиентов; второй позволил рассылать фишинговые письма и скопировать список адресов подписчиков. Инцидент с Brevo также затронул BitBox. В январе Ledger сообщила об утечке данных заказов у Global-e — партнёра, который обрабатывал часть международных покупок на Ledger.com. Платёжные данные в этом инциденте, по заявлению Ledger, не пострадали.

В конце октября Foundation сообщила о компрометации API-ключей Cloudflare и уязвимости приложения на собственных серверах, после чего от её имени рассылали фишинговые письма. Дальнейшее расследование показало, что после миграции базы данных копии заказов остались в старых таблицах, несмотря на настроенное удаление персональных данных через 60 дней после отправки. Компания также обнаружила записи, на которые автоматическая очистка вообще не распространялась.

Взлом Keystone привёл к утечке клиентских данных и риску подделок в цепочке поставок. Первая проблема схожа с инцидентами Trezor и Foundation, вторая — со случаем Ledger. При этом Keystone не сообщала о потере средств в результате своего инцидента.

Что делать сейчас

Если устройство получено 20 октября или позже

• Не инициализируйте устройство и не переводите средства на созданный на нём кошелёк.
• Обратитесь в поддержку Keystone по адресу [email protected] и сохраните результат онлайн-проверки подлинности.
• Начинайте пользоваться устройством только после того, как поддержка подтвердит его подлинность.

Keystone не дала отдельной инструкции для случаев, когда на устройстве уже создали кошелёк и получили средства, но его подлинность ещё не подтвердили. Мы рекомендуем создать новую seed-фразу на устройстве, в подлинности которого Вы уверены, и перевести средства на адреса нового кошелька. Для этого можно использовать Keystone, полученный до 20 октября и проверенный по рекомендациям производителя, либо подлинное устройство другого бренда. Старую seed-фразу следует считать потенциально скомпрометированной: восстановление той же фразы на другом устройстве не устраняет риск. Похожий совет Ledger дала клиентам CryptoBilis, рекомендовав перейти на новую seed-фразу.

Если для нового кошелька Вы выбираете устройство другого производителя, у нас есть Trezor Safe 7 и Ledger Flex. Перед выбором проверьте поддержку нужных Вам монет и приложений. Различия в защите, резервном копировании и работе с multisig разобрали в сравнении Trezor Safe 7 и Ledger Flex.

Если Ваши данные могли украсть

Keystone обещает отправить пострадавшим индивидуальные уведомления, однако отсутствие письма не подтверждает, что Ваши данные остались в безопасности. Компания также анонсировала страницу, где это можно будет проверить, но дату её запуска не назвала.

• Для будущих заказов аппаратных кошельков используйте отдельный адрес электронной почты и, по возможности, отдельный номер телефона.
• Не разглашайте суммы своих активов и не обсуждайте их на открытых площадках.
• Если для входа на биржу или в почтовый ящик Вы получаете SMS-коды на номер, указанный в заказе, перейдите на приложение для аутентификации или аппаратный ключ безопасности, в зависимости от того, что поддерживает сервис. Зная Ваш номер, мошенники могут попытаться перевыпустить SIM-карту, чтобы перехватывать SMS.
• Обращения по поводу возмещения, замены или отзыва устройства либо «миграции активов» считайте мошенническими, даже если собеседник правильно называет детали Вашего заказа. Проверяйте такие сообщения через keyst.one, вводя адрес вручную.

Если Вы храните значительные суммы

Если доступ ко всем Вашим средствам зависит от одной seed-фразы, поддельное устройство или ошибка в прошивке могут поставить под угрозу все активы.

Дополнительная парольная фраза passphrase, которую часто называют «25-м словом», создаёт отдельный кошелёк, для восстановления которого нужны и seed-фраза, и та же passphrase. Храните их отдельно, ведь без passphrase восстановить доступ к этому кошельку не получится. Если же Вы вводите её на поддельном устройстве, злоумышленник потенциально может получить и seed-фразу, и passphrase.

В Bitcoin схема мультиподписи 2 из 3 на устройствах разных производителей уменьшает зависимость от одного устройства: для транзакции нужны подписи двух из трёх независимых ключей. Компрометации одного ключа недостаточно для вывода средств, но заранее нужно сохранить резервные копии и конфигурацию кошелька с мультиподписью. Для будущих заказов также стоит выбрать доставку в отделение, почтомат или доверенному лицу, чтобы не связывать домашний адрес с покупкой кошелька.

Если Вы планируете покупку

В заявлении от 26 октября Keystone объявила о переходе на предзаказы и приостановке отправки устройств со старым ключом. Если планируете приобрести Keystone 3 Pro, попросите производителя или авторизованного реселлера письменно подтвердить, что устройство относится к партии с новым ключом.

Проверяйте целостность пломб на упаковке, проходите проверку подлинности и инициализируйте устройство самостоятельно. Не пользуйтесь готовой seed-фразой, вложенной в коробку. Подделка способна имитировать результаты проверок, которые выполняет само устройство, в том числе сверку контрольной суммы прошивки, поэтому эти шаги нужно сочетать с проверкой продавца и происхождения товара.

Взлом Keystone: выводы для владельцев

Владельцам устройств, полученных до 20 октября, не нужно переводить средства только из-за этого инцидента: ключ WebAuth не связан с seed-фразой, а Keystone считает такие устройства подлинными при условии успешной проверки. Тем, кто получил кошелёк 20 октября или позже, следует обратиться в поддержку до начала использования, а перед новой покупкой — уточнить, какой ключ записан в устройстве.

Для покупателей, чьи контакты и адреса хранились в магазине производителя, риск фишинга сохранится и после устранения уязвимости. Знание деталей Вашего заказа не подтверждает личность собеседника: проверяйте обращения через официальные каналы и не раскрывайте seed-фразу под предлогом проверки, замены или отзыва устройства.