Keystone расширила отчёт об атаке на свой сайт: злоумышленник получил WebAuth-ключ, которым компания подтверждает подлинность аппаратных кошельков. Производитель остановил поставки невыполненных заказов и намерен уничтожить 18 835 устройств из запасов, пока новые партии не получат другой ключ.

WebAuth-ключ записывают в устройство при производстве, после чего его нельзя удалить или заменить. Он не участвует в создании фразы восстановления, вычислении приватных ключей и подписи транзакций. Но с украденным ключом можно изготовить поддельный кошелёк, который пройдёт штатную проверку Keystone. О найденных подделках компания не сообщала.

Устройства, доставленные и проверенные до 20 октября, Keystone считает безопасными. Владельцам кошельков со старым ключом, полученных после этой даты, компания советует обратиться в поддержку для дополнительной проверки — даже если сайт уже назвал устройство подлинным. Возвращать кошельки не нужно: просьбу прислать устройство под видом отзыва Keystone называет мошенничеством.

Ранее стало известно об утечке адресов покупателей. Теперь Keystone уточнила масштаб: личные данные оставались в 25 964 записях о покупках за 2024–2026 годы, ещё 12 873 незавершённых заказа тоже содержали сведения клиентов. Это числа записей, а не обязательно уникальных людей. Автоматическое удаление части данных не сработало, поэтому компания сократила срок хранения со 180 до 90 дней и запросила очистку просроченных записей.

Фразы восстановления, приватные ключи, платёжные сведения и документы, по заявлению Keystone, не пострадали; о краже криптоактивов компания не сообщала. Но последствия уже не ограничиваются фишингом по украденным адресам: для части новых устройств с прежним WebAuth-ключом штатная проверка подлинности сама стала недостаточной.